前言

Mysql反向读取文件感觉蛮有意思的，进行了解过后，简单总结如下，希望能对在学习Mysql反向读取文件的师傅有些许帮助。

前置知识

在Mysql中存在这样一条语句

LOAD DATA INFILE

它的作用是读取某个文件中的内容并放置到要求的表中，具体的话又分为两种

1、load data infile "C:/Windows/win.ini" into table test FIELDS TERMINATED BY '\n';
2、load data local infile "C:/Windows/win.ini" into table test FIELDS TERMINATED BY '\n';

第一个语句是读取服务端本地的win.ini文件而后插入到test表中
第二个语句是读取客户端的win.ini文件而后插入到test表中
而这个也就是Mysql实现反向读取文件的关键点。

环境搭建

环境准备

客户端 Win11 192.168.134.1
服务端 Kali 192.168.134.132

这个还有一个先决条件，就是需要

服务端开启 Load data infile

师傅们可以通过如下语句来查询是否开启Load data infile，

Kali自带Mysql服务，所以我们只需要开启一下就好，指令如下

service mysql start

在这里插入图片描述
接下来需要开启一下允许远程连接，因为默认的话是只允许本机连接mysql的，具体指令如下：

1、use mysql
//使用mysql数据库
2、GRANT ALL PRIVILEGES ON *.* TO 'myuser'@'%'IDENTIFIED BY 'root' WITH GRANT OPTION
//允许任意主机以root为密码登录，这里密码是我默认的密码，如果师傅们更改密码的话需要更改root为自己的密码
3、flush privileges
//刷新权限

此时环境就大致准备好了。

demo

刚刚已经在服务端开启过Mysql服务，接下来尝试本地连接(打开wireshark准备抓包)，指令如下：

mysql -u root -p -h 192.168.134.132

在这里插入图片描述
成功连接，接下来利用刚刚学习的语句，来传一个文件：

load data local infile "C:/Windows/win.ini" into table test FIELDS TERMINATED BY '\n';
//加载客户端的win.ini文件到服务端的test表中

在这里插入图片描述
接下来看Wireshark。

流量分析

在这里插入图片描述
可以看到这里的话首先是一个Sever Greeting包。

返回了服务端的协议号、版本号和salt值等信息，接下来看第二个包。

这个应该是客户端的登录包，返回了用户名和登录密码的哈希值。

再往下看，
在这里插入图片描述
这个是登录包，接下来的就是正常的语句查询了。

然后就是查询语句的回显结果的包。

接下来分析一下读取文件的流量包，在Mysql命令行执行语句过后，得到流量包。

首先是客户端发送查询。
服务端返回了需要的路径。
在这里插入图片描述这里可以看出来读取文件成功，同时可以看出文件是由客户端发送到服务端的，那么我们能不能控制这个文件，实现服务端恶意读取其他文件呢？我们先来分析一下正常流程。

1、客户端:将Win.ini文件插入到表test中
2、服务端:读取Win.ini文件内容
3、客户端:Win.ini内容为xxx

而我们想实现的流程是

1、客户端:我想查看当前数据库(任何指令皆可)
2、服务端:读取flag.php文件内容
3、客户端:flag.php内容为xxx

那么这个可不可行呢？其实是可行的。
那么这里想实现恶意的读取文件的话，其实我们可以伪造一个假的Mysql服务，当客户端请求连接时，我们运行连接，然后无论对方输入什么密码都可以连接，接下来向客户端发送读取文件要求，然后等客户端发送文件即可，具体过程如下所示：

1、服务端向客户端发送Greeting包
2、客户端向服务端发送请求以root身份登录
3、服务端运行客户端登录
4、客户端向服务端发送查询版本号等信息请求
5、服务端向客户端请求'C:\windows\system32\drivers\etc\hosts'文件内容
6、客户端向服务端发送该文件内容
7、服务端成功接收，向客户端返回响应包

在这里插入图片描述那么我们伪造的Mysql服务需要做些什么此时就显而易见了。

1、需要构造一个Greeting包发送给客户端
2、需要允许用户以任意密码登录，然后给予一个响应
3、需要构造一个TABULAR包发给客户端（将想要读取的文件名发给客户端）
4、接收文件内容后发送一个响应包

这里的话不对如何构造Gretting包和TABULAR包进行讲解，师傅们若想自己构造可以参考crow大师傅的这篇文章
https://cloud.tencent.com/developer/article/1856248
里面对如何构造进行了较为细致的讲解。
这里利用大佬写好的脚本来试一下，脚本链接如下
<https://github.com/allyshka/Rogue-MySql-
Server/blob/master/rogue_mysql_server.py>
首先需要修改一下脚本查看的文件，因为我们的客户机是Windows环境，而原脚本读取的是Linux环境下的文件，所以需要稍作修改
将filelist修改为c:\windows\system32\drivers\etc\hosts
在这里插入图片描述
启动脚本

接下来用nmap查看端口是否开启

nmap -sS -p- 192.168.134.132

在这里插入图片描述
可以看到端口已经开启，接下来就可以尝试用Navicat进行连接尝试(空密码即可，因为这本就是一个不存在的Mysql服务，只是一个恶意服务端)。

接下来就可以发现服务端的当前路径下多了一个mysql.log，文件，查看一下。
在这里插入图片描述
成功获取到文本内容，
接下来结合Wireshark分析一下流量看与我们设想是否一致。
可以发现跟我们之前所想是相同的，接下来试一下Mysql命令行连接Mysql恶意服务，分析流量有什么不同。

可以看到过程其实都是一致的，不同点就在于Mysql命令行连接过恶意服务后请求的是查看版本号等信息，而Navicat请求的是set names utf 8mb4来获取指纹等信息。
在这里插入图片描述

最后

分享一个快速学习【网络安全】的方法，「也许是」最全面的学习方法：
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

在这里插入图片描述