SQL Privilege Escalation. Разбираем эскалацию привилегий через базу данных

SQL Privilege Escalation быва­ет двух типов: повыше­ние при­виле­гий внут­ри базы дан­ных и повыше­ние при­виле­гий в опе­раци­онной сис­теме. При повыше­нии при­виле­гий в ОС важ­но, что­бы база дан­ных была запуще­на от име­ни при­виле­гиро­ван­ного поль­зовате­ля. Как минимум это дол­жен быть дру­гой поль­зователь, что­бы мож­но было поис­кать дру­гие век­торы для эска­лации.

От MySQL до root на сервере

Для демонс­тра­ции уяз­вимос­ти будем исполь­зовать лабора­тор­ную работу с VulnHub под наз­вани­ем Kioptrix: Level 1.3. Ска­чай ее, если собира­ешь­ся пов­торять все упражне­ния из статьи. Рекомен­дую: так ты гораз­до луч­ше пой­мешь изло­жен­ное, плюс у тебя будет воз­можность поэк­спе­римен­тировать самос­тоятель­но.

Для запус­ка в VirtualBox бери вер­сию VMware. В архи­ве лежит файл Kioptrix4_vmware.vmdk, VirtualBox понима­ет этот фор­мат. Соз­дай новую машину, задай наз­вание, выбери тип Linux и ука­жи ОС Ubuntu. Образ ISO выбирать не нуж­но. В нас­трой­ках жес­тко­го дис­ка выбери «Исполь­зовать сущес­тву­ющий». Наж­ми кноп­ку выбора дис­ка, добавь новый носитель, ука­зав путь к Kioptrix4_vmware.vmdk. Машина готова к стар­ту.

Я не буду опи­сывать путь получе­ния логина и пароля. Если инте­рес­но, поп­робуй прой­ти этот путь пол­ностью — начиная со ска­ниро­вания пор­тов и до момен­та получе­ния кред.

Для аутен­тичнос­ти ата­ки под­клю­чись по SSH. Или, как я, исполь­зуй тер­минал запущен­ной машины. Раз­ницы никакой нет: все коман­ды и реак­ция на них оди­нако­вые.

За­логинь­ся с учет­ными дан­ными john/MyNameIsJohn. Машина выдаст при­ветс­твие, но это огра­ничен­ная обо­лоч­ка lshell. Limited Shell филь­тру­ет коман­ды поль­зовате­ля, оставляя толь­ко самое необ­ходимое. Нап­ример, ls, cd, echo. Если попыта­ешь­ся выпол­нить mysql, получишь сооб­щение о неиз­вес­тной коман­де. Что­бы заг­рузить при­выч­ный bash, выпол­ни

Обо­лоч­ка написа­на на Python, поэто­му echo проб­росит интер­пре­тато­ру os.system(). Фун­кция system() из стан­дар­тно­го пакета os выпол­нит сис­темный вызов. Теперь у тебя есть пол­ноцен­ный шелл.

Поп­робуй запус­тить mysql от рута: mysql -u root. На тес­товой машине для поль­зовате­ля root базы дан­ных пароль не уста­нов­лен. Сов­ремен­ные вер­сии MySQL все­ми спо­соба­ми защища­ют от вхо­да под root с пус­тым паролем, но сре­ди айтиш­ников мно­го талан­тли­вых ребят, которые не приз­нают пароль для root.

Чек­ни поль­зователь­ские фун­кции:

Поль­зователь­ские фун­кции — это спо­соб рас­ширить воз­можнос­ти MySQL. Код пишут на сис­темном язы­ке прог­рамми­рова­ния, вро­де C или C++. Его ком­пилиру­ют в обыч­ные биб­лиоте­ки: .so для Linux или .dll для Windows. Биб­лиоте­ку помеща­ют в пап­ку пла­гинов MySQL, пос­ле чего фун­кцию мож­но добавить как UDF (user-defined function). UDF нуж­ны, нап­ример, при обра­бот­ке слож­ных струк­тур дан­ных и реали­зации собс­твен­ных алго­рит­мов, а еще ког­да нуж­ны сис­темные вызов и про­чие вещи, которые не под­держи­вает MySQL.

В выводе есть инте­рес­ная фун­кция sys_exec из биб­лиоте­ки lib_mysqludf_sys.so. Ско­рее все­го, такая фун­кция выпол­няет сис­темные вызовы, а наз­вание биб­лиоте­ки lib_mysqludf_sys.so доволь­но популяр­но в сре­де хакин­га, исходный код может быть подобен это­му коду на GitHub.

Но жес­тко­го рег­ламен­та по наз­вани­ям нет. В учеб­ной машине фун­кция и либа так наз­ваны для удобс­тва и прос­тоты. В реаль­нос­ти наз­вание может не отоб­ражать наз­начение. Ситу­ацию осложня­ет то, что по выводу тоже не всег­да понят­но наз­начение. Поп­робуй

В резуль­тате будет NULL, а не ожи­даемый вывод id. Нап­рямую фун­кция не рас­кры­вает информа­цию, но оста­ется кос­венный вари­ант — некор­рек­тный вызов:

MySQL отва­лит­ся с ошиб­кой. Зна­чит, есть хороший шанс, что UDF дей­стви­тель­но выпол­няет сис­темные вызовы, но при этом не обра­баты­вает ошиб­ки. Поп­робуй добавить поль­зовате­ля john в груп­пу адми­нис­тра­торов:

От­вет NULL дает надеж­ду, что все прош­ло успешно. Вый­ди из MySQL в обо­лоч­ку и выпол­ни sudo su. Бин­го! Ты добил­ся эска­лации при­виле­гий через MySQL.

Загрузка UDF на сервер

Ис­поль­зовать буду ту же машину — Kioptrix: Level 1.3.