欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

?
內(nèi)容中心
按關(guān)鍵字查找
Mysql數(shù)據(jù)庫安全漏洞之越權(quán)執(zhí)行漏洞
作者:安華金和 發(fā)布時間:2017-02-01

由于近年來,Mysql的數(shù)據(jù)庫安全漏洞數(shù)量逐年增加,安華金和數(shù)據(jù)庫安全攻防實驗室(DBSec Labs)對Mysql的漏洞加大了關(guān)注,本文將對Mysql的一個典型漏洞進行技術(shù)分析,進一步說明數(shù)據(jù)庫漏洞可能帶來的安全威脅。

Mysql5.5.5及以上的版本曾被發(fā)現(xiàn)了一個整數(shù)溢出報錯,引起越權(quán)執(zhí)行的安全漏洞。由于5.5.5及以上版本中引入了整數(shù)溢出報錯機制。該機制在報錯信息中會顯示部分查詢結(jié)果,低于5.5.5的版本整數(shù)溢出不會顯示報錯信息(無法利用溢出報錯漏洞)。漏洞發(fā)現(xiàn)者指出這個漏洞主要是用于SQL注入攻擊,但經(jīng)過研究,我們確認此漏洞的危害遠比發(fā)現(xiàn)者認為的大。除了前文中提到的幾種SQL注入攻擊,此漏洞還可以用于在數(shù)據(jù)庫上進行越權(quán)訪問和對數(shù)據(jù)庫所在操作系統(tǒng)進行非法訪問。越權(quán)訪問無權(quán)限表的核心思路是:從文件系統(tǒng)中讀取數(shù)據(jù)庫表的內(nèi)容到可訪問的表中。

最直接的方法是利用mysql的load_file函數(shù)對本地核心文件做讀操作。但在實際應(yīng)用中往往是通過網(wǎng)站獲取的用戶不具備FILE權(quán)限。不具備file權(quán)限的Mysql的用戶是無法通過Load_file讀文件或者通過into dumpfile 和into outfile去寫文件。我們可以要采用迂回的手段,先把想讀取的數(shù)據(jù)庫表文件信息讀入到數(shù)據(jù)庫中,然后在從數(shù)據(jù)中去訪問。這其中的關(guān)鍵是load data infile函數(shù)。

下面用Mysql庫下的user(user表負責(zé)存儲Mysql的賬號密碼)表給大家做個示例。首先創(chuàng)建一個不具備FILE權(quán)限的數(shù)據(jù)庫用戶test.去讀取user.MYD從其中獲取到ROOT賬號的加密字符串,然后再通過對加密字符串的破解獲得root用戶的密碼,User表在本地文件中具體體現(xiàn)為USER.MYD。

20170201-1.png

把user.MYD寫入test有訪問權(quán)限的表中:select exp(~(LOAD DATA LOCAL INFILE 'C:\Program Files\MySQL\MySQL Server 5.5\data\mysql/user.MYD' INTO TABLE test2 fields terminated by '')x));

然后執(zhí)行 select * from test2;

20170201-2.png

至此獲取root密碼的加密字符串。mysql采用的是md5進行加密。可以通過訪問相關(guān)網(wǎng)站對加密字符串進行破解,從而得到ROOT的真實密碼,最終得到MYSQL ROOT權(quán)限,從而達到訪問數(shù)據(jù)庫中任意敏感信息的目的,同理其他的表也可以通過類似的手段獲得表中的敏感數(shù)據(jù)信息。

越權(quán)訪問在多種數(shù)據(jù)庫安全威脅中危害等級極高,在獲取了數(shù)據(jù)庫的高權(quán)限賬戶后,獲取核心敏感數(shù)據(jù)對于黑客來說猶如囊中取物般簡單。很多數(shù)據(jù)庫安全漏洞并不像其表面看起來簡單,很多中級漏洞到了黑客手中完全有可能進階為高危漏洞,安華金和數(shù)據(jù)庫安全攻防實驗室將持續(xù)關(guān)注并積極發(fā)現(xiàn)漏洞,并給予專業(yè)的技術(shù)分析及防護思路,與大家分享經(jīng)驗。


?
工头搡老女人老妇女老熟女| 性饥渴的老妇教我玩她| 日本护士做爰视频| 亚洲国产成人精品女人久久久 | 亚洲av成人无码久久精品| 成人毛片18女人毛片免费看视频| 亚洲免费在线观看| 国产下药迷倒白嫩美女 | 猫咪av成人永久网站在线观看| 无码人妻熟妇AV又粗又大| 黑人勃起太大进不去| 日本片在线看的免费网站| 怀孕高潮潮喷大肚子孕妇| 男人狂躁进女人免费视频| 极品少妇被猛得白浆直流草莓视频| 粉嫩虎白扒开视频毛女片| 久久久久久av无码免费网站下载| 少妇高潮灌满白浆毛片免费看| 色偷偷人人澡久久超碰97位| yin荡小镇h男男| 男受被做哭激烈娇喘gv视频| 丰满人妻中伦妇伦精品APP| 苍井空av成人片免费观看| 成人免费视频在线观看| 黑人巨大jeep日本人| 波多野结衣作品| AV毛片无码不卡中文字幕| 免费毛片在线看不用播放器| 日日噜噜噜噜夜夜爽亚洲精品| 男人吃奶摸下挵进去好爽在线观| 成人妇女免费播放久久久| 国产嫖妓一区二区三区av视频| 久久精品国产99国产精品图片| 四虎影视www在线观看免费| 重口老熟七十路黑崎礼子| 美女视频黄a视频全免费网站| 亚洲av片在线观看| 惩罚小核不停高潮h| 女人做爰高潮呻吟17分钟| 无码区a∨视频| 亚洲精品AV中文字幕在线|