搭建MySQL恶意服务器读取文件这件事，虽然直接利用门槛较高，但是由于在网上看到了一种比较新颖的利用方式（利用社会工程学引诱用户连接MySQL进而读取用户文件），个人觉得比较有意思，总结了一下攻击原理以及攻击方式，因此就有了这篇文章。
在阐述具体原理之前，先介绍几个SQL语句，以便后文理解
首先在tmp目录下新建一个tmp.txt
内容如下：
然后执行下方SQL语句，即可将tmp.txt文件导入其中：
这个时候可能就会绕不清楚，什么是服务端，什么是客户端？
因为一般情况下，调试SQL都是在本机，并且数据库也在本机，这样的情况就导致，客户端和服务端都是在本地，有点难区分，下面我用一张图来简述。
在本地，由于客户端和服务端都是在同一个磁盘下，因此，在本地，无论是否加local都是可以将文件传入数据库的，而后面讲到利用MySQL恶意服务器读取文件的漏洞，就是需要使用local，来达到将文件带出的目的。
下面我画了两张图，第一张图是正常业务流程，第二张图是攻击者恶意攻击的流程。
正常的后端业务流程如下：
当攻击者劫持后端服务器，并且在公网中搭建恶意的MySQL后，流程图如下：
这样攻击者就可以在后端达到任意文件下载的目的。
首先在本地先启动一个ThinkPHP3.2.3的框架，连接好数据库，在Application/Home/Controller/HelloController.class.php控制器中写一个反序列化入口。
具体的链子，我就不跟了，网上也有很多，虽然链子具体的方法不跟进，但是我还是需要介绍一下这条链子能起到一个什么作用。
这里我就直接将链子放出来，然后演示一下如何搭建一个恶意的MySQL数据库，获取敏感文件，进而getshell。
上方链子中的数据库信息为我本地的数据库信息，执行该文件后，得到序列化字符串如下：
传给url
可以看到报错注入成功。
然后，在公网上搭建一个恶意的MySQL服务，这个脚本在Github中已经有前辈写好了，具体原理就是分析相关的MySQL报文，然后与后端服务器创建恶意连接，并且获得自己想要的文件。
下载好POC之后，修改一下要读取的文件名。
然后利用Python启动，启动完成后，恶意的MySQL就在监听3307端口。
接下来修改之前的链子，把IP和端口修改为远程恶意的MySQL地址，然后生成链子。
得到：
传给HomeController控制器，
然后就可以在远程ＶＰＳ中的mysql.log得到之前需要恶意下载的文件。
现在得到了相关数据库信息，然后就可以再次构造链子，利用堆叠注入写入一句话木马getshell了。
评论已关闭！