转载自:phpMyAdmin LOAD DATA INFILE 任意文件读取漏洞
有许多文章指出一个恶意的 MySQL 服务器可以利用LOAD DATA LOCAL命令来读取MYSQL客户端的任意文件。根据这篇公开的文章 (phpMyAdmin开启远程登陆导致本地文件读取),我们知道 phpMyAdmin 在AllowArbitraryServer开启(允许连接到任意MySQL服务器)的情况下(如云主机/云数据库提供商),可以利用该缺陷来读取phpMyAdmin服务器上的文件。
VulnSpy 已为大家提供在线 phpMyAdmin 环境地址:https://github.com/vulnspy/phpmyadmin-4.8.4-allowarbitraryserver
漏洞细节
LOAD DATA LOCAL
导致的任意文件读取是个由来已久的问题,根据前人们的研究:
我们知道下列的下列情况都存在该问题:
- MySQL Client
- PHP + mysql/mysqli
- PHP + PDO (MYSQL_ATTR_LOCAL_INFILE)
- Python + MySQLdb
- Python3 + mysqlclient
- Java + JDBC Driver
- ...
phpMyAdmin 属于典型的 php+mysqli 组合,当 AllowArbitraryServer 开启的情况下(默认关闭),我们可以让phpMyAdmin连接到恶意的MySQL服务器来触发任意文件读取漏洞。
漏洞利用
EXP: https://github.com/Gifts/Rogue-MySql-Server/blob/master/rogue_mysql_server.py
此处我们使用 VulnSpy 的在线 phpMyAdmin 环境作演示:
1. 点击右上角 START TO HACK
创建实验环境
创建成功后会自动生成2个虚拟环境:
- phpmyadmin:运行phpmyadmin,目标主机
- mysql:运行mysql,假设为黑客的服务器
2. 登录mysql的终端
1). 点击控制栏终端图标,选择db
2). 点击右上角Connect
按钮,登录终端
3). 终端下运行 cd /root/exp/
进入/root/exp/
目录
4). 使用vim编辑rogue_mysql_server.py
文件,将PORT = 3306
修改为PORT = 3307
PORT为监听端口,filelist为要读取的文件
5). 运行python rogue_mysql_server.py
,启动服务
6). 打开phpMyAdmin的登录页面,地址输入db:3307
、用户名vulnspy
、密码vulnspy
,提交登录。
7). 回到db
的终端,如果文件读取成功会将文件内容记录到mysql.log
文件中
在该演示中成功读取/etc/passwd文件