IT技術互動交流平台(tai)

吉林快三官网

作者︰wy  來源︰網絡整理  發布(bu)日期︰2020-02-25 23:02:00
   大家(jia)一定要(yao)小心警惕的看待MySQL這個標簽和它整個的應用(yong),因為它最近(jin)又(you)出現問題了在網絡界(jie)里(li)面它被(bei)業(ye)界(jie)人(ren)士(shi)稱為流氓,如果你不知道它為何有這個稱呼那麼請你一定要(yao)認真(zhen)看這篇(pian)文章了,因為它利用(yong)服(fu)務器非法盜取(qu)秘(mi)密文件。

   客戶端主機(ji)和MySQL服(fu)務器之(zhi)間(jian)的文件傳輸(shu)交互中的設計缺陷允許運(yun)行xie)褚ySQL服(fu)務器的攻擊者訪問連接(jie)的客戶端具有xie)寥qu)訪問權限(xian)的任何數據(ju)。

  不huan) 腫涌梢yi)利用(yong)此問題從配置不當(dang)的web服(fu)務器(允許連接(jie)到(dao)不受信(xin)任的服(fu)務器)或數據(ju)庫管理應用(yong)程(cheng)序檢索(suo)敏(min)感信(xin)息。

  安全問題根(gen)源

  問題出在與本地修飾符一起使(shi)用(yong)的LOAD DATA語句上,該語句在MySQL文檔中被(bei)引(yin)用(yong)為安全風險。

  開發人(ren)員對此shuo)慕饈褪牽 突?爍gen)據(ju)客戶端在LOAD DATA語句中提(ti)供(gong)的信(xin)息從MySQL服(fu)務器接(jie)收文件傳輸(shu)請求(qiu)。但是,惡意服(fu)務器可以(yi)使(shi)用(yong)LOAD DATA LOCAL語句進行回復,並要(yao)求(qiu)客戶端具有任何文件的權限(xian)。

  打補丁的服(fu)務器實際上可以(yi)用(yong)文件傳輸(shu)請求(qiu)對任何語句進行響應,而不僅僅是加載本地數據(ju),因此更根(gen)本的問題是客戶端不應該連接(jie)到(dao)不受信(xin)任的服(fu)務器,這同(tong)樣適(shi)用(yong)于web服(fu)務器,它們在連接(jie)到(dao)MySQL服(fu)務器時充當(dang)客戶端。在這種情況下,攻擊者可以(yi)使(shi)用(yong)該缺陷竊取(qu)/etc/passwd文件,而這些文件包含用(yong)戶帳戶記錄。

  只有當(dang)服(fu)務器知道文件的完整路徑(jing)時,才能通(tong)過這種方(fang)式獲取(qu)文件。但是,操作者還可以(yi)通(tong)過請求(qiu)“/proc/self/ environmenton”文件來了解這路徑(jing),該文件提(ti)供(gong)運(yun)行進程(cheng)的環(huan)境變量,從而公開主目錄和關于內部文件夾結構的詳細信(xin)息。

  隨時可用(yong)的流氓MySQL服(fu)務器

文件

  安全研究(jiu)員Willem de Groot 1月20日在Reddit上發起了一場討論,引(yin)發了諸多議論,討論者構思了惡意MySQL服(fu)務器的可能發揮作用(yong)的場景,如竊取(qu)SSH密鑰和tu)用(yong)芑醣儀qian)包的訪問細節。

  根(gen)據(ju)de Groot的說(shuo)法,2018年10月的Magecart攻擊利用(yong)MySQL漏(lou)洞(dong)向(xiang)購物網站注入代碼(ma),竊取(qu)結賬時的銀(yin)行卡信(xin)息。過去五(wu)年,GitHub上已經出現了針對流氓MySQL服(fu)務器的代碼(ma),因此,如果網絡犯罪分子在攻擊中使(shi)用(yong)了它,也就(jiu)不足為奇(qi)。

  在上周的博客文章中,de Groot解釋了騙子yong)鞘僑綰衛yong)這個漏(lou)洞(dong)在Adminer(一個管理PostgreSQL和MySQL數據(ju)庫的工具)的幫(bang)助(zhu)下提(ti)取(qu)敏(min)感細節的。攻擊者的目的似乎(hu)是盜取(qu)Magento商業(ye)平台(tai)存(cun)儲(chu)數據(ju)庫密碼(ma)的文件(“local.xml”)。

  這在運(yun)行一個易受攻擊的Adminer版本的網站上是可能的(版本4.3.1到(dao)4.6.2被(bei)huan) 質艿dao)了這個bug的影響)。管理員應該轉向(xiang)更安全的版本,版本最好不低于4.6.3。

  如果小伙(huo)伴(ban)們遇到(dao)了類似的問題請一定要(yao)抓住這個機(ji)遇將我們文章里(li)所推薦(jian)的軟件和產(chan)品一一都試一遍,如果你還很(hen)感興趣(qu)的話(hua)請一定要(yao)認真(zhen)閱讀本篇(pian)文章因為它可能給(gei)你帶來無窮(qiong)無盡的知識(shi)。

吉林快三官网

    • 吉林快三官网

    About IT165 - 廣告服(fu)務 - 隱私聲明 - 版權申(shen)明 - 免責條(tiao)款 - 網站地圖(tu) - 網友投稿 - 聯系方(fang)式
    本站內容(rong)來自于互聯網,僅供(gong)用(yong)于網絡技術學習,學習中請遵循相關法律法規(gui)
    吉林快三官网 | 下一页