Mysql溯源-任意文件讀取👻

前言

讀了《MySQL蜜罐獲取攻擊者微信ID》的文章，文中說明了通過mysql蜜罐讀取攻擊者微信ID的過程，抱着學習的態度嘗試了一下

原理

mysql中有一個load data local infile函數能夠讀取本地文件到mysql數據庫中。當攻擊者用爆破mysql密碼的掃描器掃描到我們的mysql並連接上的時候，客戶端（攻擊者）會自動發起一個查詢，我們（服務端）會給與一個回應，我們在回應的數據包中加入load data local infile讀取攻擊者的本地文件到我們數據庫中，達到反制的目的。

具體過程

LOAD DATA INFILE

LOAD DATA INFILE語句用於高速地從一個文本文件中讀取行，並寫入一個表中。文件名稱必須為一個文字字符串。
LOAD DATA INFILE 是 SELECT ... INTO OUTFILE 的相對語句。把表的數據備份到文件使用SELECT ... INTO OUTFILE，從備份文件恢復表數據，使用 LOAD DATA INFILE。基本語法如下：

LOAD DATA [LOW_PRIORITY | CONCURRENT] [LOCAL] INFILE 'file_name.txt'
    [REPLACE | IGNORE]
    INTO TABLE tbl_name
    [FIELDS
        [TERMINATED BY 'string']
        [[OPTIONALLY] ENCLOSED BY 'char']
        [ESCAPED BY 'char' ]
    ]
    [LINES
        [STARTING BY 'string']
        [TERMINATED BY 'string']
    ]
    [IGNORE number LINES]
    [(col_name_or_user_var,...)]
    [SET col_name = expr,...)]

這個功能默認是關閉的，當我們本地mysql服務器沒有開啟這個功能執行時會報錯：

我們可以通過如下命令查看功能狀態

show global variables like 'local_infile';

我們通過如下命令開啟這個功能：

set global local_infile=1;

然后我們通過如下命令嘗試讀取本地的C盤目錄下的1.txt文件

load data local infile 'C:/1.txt' into table test fields terminated by '\n';

通信過程

我們模擬一下攻擊者通過掃描器連接MySQL數據庫的通信過程
工具：Wireshark
首先我們通過Wireshark抓取通信流量查看一下通信過程

注意：
當自己電腦既是客戶端又是服務器時，互相訪問時流量並沒有經過網卡，windows系統又沒有提供本地回環網絡的接口，
wireshark在windows系統上默認使用的是WinPcap來抓包的，用它監控網絡的話只能看到經過網卡的流量，看不到訪問
localhost的流量，所以才會出現第一次連接始終沒有數據包的狀況。解決這個問題的兩種辦法是：要么服務器和客戶端
不要在同一台機器上，要么用Npcap來替換掉WinPcap，Npcap提供環回接口