[[256163]]

近期美國某些大型商務(wù)網(wǎng)站和政府網(wǎng)站被黑客通過Adminer數(shù)據(jù)庫入侵，根本原因是 MySQL服務(wù)器的協(xié)議缺陷。

具體來說，客戶端主機(jī)和MySQL服務(wù)器之間的文件傳輸交互存在一個(gè)開源關(guān)系數(shù)據(jù)庫管理系統(tǒng)(RDBMS)設(shè)計(jì)缺陷，允許運(yùn)行惡意MySQL服務(wù)器的攻擊者訪問所連接的客戶端具有讀取訪問權(quán)限的任何數(shù)據(jù)。

若被惡意利用此漏洞，攻擊者可以從配置不當(dāng)?shù)腤eb服務(wù)器(允許連接到不受信任的服務(wù)器)或數(shù)據(jù)庫管理應(yīng)用程序中檢索敏感信息。

MySQL

MySQL是一個(gè)開放源碼的小型關(guān)聯(lián)式數(shù)據(jù)庫管理系統(tǒng)，開發(fā)者為瑞典MySQL AB公司。目前MySQL被廣泛地應(yīng)用在中小型網(wǎng)站中。由于其體積小、速度快、總體擁有成本低，尤其是開放源碼這一特點(diǎn)，許多中小型網(wǎng)站為了降低網(wǎng)站總體擁有成本而選擇了MySQL作為網(wǎng)站數(shù)據(jù)庫。

MySQL的特性：

• 使用C和C++編寫，并使用了多種編譯器進(jìn)行測試，保證源代碼的可移植性;
• 支持AIX、BSDi、FreeBSD、HP-UX、Linux、Mac OS、Novell Netware、NetBSD、OpenBSD、OS/2 Wrap、Solaris、SunOS、Windows等多種操作系統(tǒng);
• 為多種編程語言提供了API。這些編程語言包括C、C++、C#、Delphi、Eiffel、Java、Perl、PHP、Python、Ruby和Tcl等;
• 支持多線程，充分利用CPU資源，支持多用戶;
• 優(yōu)化的SQL查詢算法，有效地提高查詢速度;
• 既能夠作為一個(gè)單獨(dú)的應(yīng)用程序應(yīng)用在客戶端服務(wù)器網(wǎng)絡(luò)環(huán)境中，也能夠作為一個(gè)庫而嵌入到其他的軟件中;
• 提供多語言支持，常見的編碼如中文的GB 2312、BIG5，日文的Shift_JIS等都可以用作數(shù)據(jù)表名和數(shù)據(jù)列名;
• 提供TCP/IP、ODBC和JDBC等多種數(shù)據(jù)庫連接途徑;
• 提供用于管理、檢查、優(yōu)化數(shù)據(jù)庫操作的管理工具;
• 可以處理擁有上千萬條記錄的大型數(shù)據(jù)庫。

安全隱患顯而易見

此次出現(xiàn)的問題在于LOCAL修飾符使用的LOAD DATA(加載數(shù)據(jù))語句，在MySQL文檔中被認(rèn)為具有安全風(fēng)險(xiǎn)。

開發(fā)人員進(jìn)一步解釋了它的運(yùn)行方式，客戶端根據(jù)其在LOAD DATA語句中提供的信息從MySQL服務(wù)器接收文件傳輸請(qǐng)求。LOAD DATA語句可以加載位于服務(wù)器上的文件，如果請(qǐng)求中使用了LOCAL關(guān)鍵字，則可以加載客戶端主機(jī)上的文件。因此，惡意服務(wù)器也可以通過使用LOADDATA LOCAL(加載本地?cái)?shù)據(jù))語句進(jìn)行響應(yīng)，并要求獲取客戶端具有讀取權(quán)限的任何文件。

“理論上來說，構(gòu)建一個(gè)補(bǔ)丁MySQL服務(wù)器，回復(fù)任何語句的文件傳輸請(qǐng)求，而不僅僅是LOAD DATALOCAL語句，這樣的服務(wù)器可以訪問客戶端用戶具有讀訪問權(quán)限的客戶端主機(jī)上的任何文件，因此更基本的問題是客戶端不應(yīng)該連接到任何不受信任的服務(wù)器，” MySQL文檔中寫道。

這同樣適用于Web服務(wù)器，它在連接到MySQL服務(wù)器時(shí)能夠充當(dāng)客戶端。在這種情況下，攻擊者可以使用該漏洞竊取包含用戶帳戶記錄在內(nèi)的“/ etc / passwd”文件。

只有在服務(wù)器知道文件完整路徑的情況下，才能以這種方式獲取文件。但是，可以通過請(qǐng)求“/ proc / self /environ”文件，提供正在運(yùn)行的進(jìn)程的環(huán)境變量，從而暴露主目錄和有關(guān)內(nèi)部文件夾結(jié)構(gòu)的詳細(xì)信息。

隨時(shí)可用的無管理系統(tǒng)MySQL服務(wù)器

安全研究員Willem deGroot(Twitter:@gwillem)在Reddit上，討論了用戶受惡意MySQL服務(wù)器影響可能出現(xiàn)的隱患。其中盜取SSH密鑰和訪問加密貨幣錢包的詳細(xì)信息首當(dāng)其沖。

根據(jù)de Groot的說法，2018年10月的Magecart攻擊正是利用MySQL漏洞向購物網(wǎng)站注入了惡意代碼，以便在用戶付款時(shí)竊取支付卡詳細(xì)信息。

早在五年前，GitHub上就已經(jīng)開始提供無管理系統(tǒng)MySQL服務(wù)器的惡意代碼，因此如果網(wǎng)絡(luò)犯罪分子在攻擊中使用它，并不會(huì)讓人感到意外。de Groot推測無管理系統(tǒng)MySQL服務(wù)器的修改版本很有可能已經(jīng)在暗網(wǎng)上出售。

在上周的一篇博客文章中，de Groot 解釋了攻擊者是如何利用這個(gè)漏洞在Adminer(一個(gè)管理PostgreSQL和MySQL數(shù)據(jù)庫的工具)的幫助下提取敏感細(xì)節(jié)信息的。

攻擊者的目的似乎是竊取Magento商業(yè)平臺(tái)存儲(chǔ)其數(shù)據(jù)庫密碼的文件('local.xml')。

這在運(yùn)行易受攻擊版本Adminer(修訂版4.3.1至4.6.2被發(fā)現(xiàn)受此漏洞的影響)的網(wǎng)站上是極有可能實(shí)現(xiàn)的。因此，管理員應(yīng)更換或升級(jí)為更安全的版本，至少是4.6.3版本。除此之外，還可以通過設(shè)置二級(jí)密碼和IP過濾器來保護(hù)數(shù)據(jù)庫信息。