sqlmap --os-shell原理
字数 1415 2025-08-25 22:59:09

SQLMap --os-shell 原理深度解析

前言

sqlmap --os-shell 是一个强大的功能，允许通过SQL注入漏洞获取操作系统的shell访问权限。该功能支持MySQL、PostgreSQL和Microsoft SQL Server数据库，但需要满足特定条件。

核心原理概述

  1. MySQL/PostgreSQL：上传包含自定义函数（sys_exec()和sys_eval()）的二进制库
  2. Microsoft SQL Server：利用xp_cmdshell存储过程执行系统命令

通用必要条件

  • 数据库支持外连
  • 当前用户有足够权限使用特定函数
  • 对目标系统有写入权限（针对文件上传方式）

注入方式实现原理

基础环境要求

  • 操作系统：Windows Server 2012 Standard
  • 数据库：MySQL 5.1.60
  • Web环境：PHP 5.4.45 + Apache 2.4.39

执行流程

  1. 目标基础信息探测
  2. 上传Webshell到目标网站
    • 通过into outfile进行文件写入
    • 上传内容进行16进制编码
  3. 通过Webshell执行命令
  4. 退出时删除Webshell

必要条件

  • 拥有网站写入权限
  • secure_file_priv参数为空或为指定路径

Microsoft SQL Server实现原理

核心机制

利用xp_cmdshell存储过程执行系统命令

必要条件

  • 数据库支持外连
  • 数据库权限为SA权限

详细步骤

  1. 连接数据库

    sqlmap -d "mssql://user:password@ip:port/dbname"

    注意：需要安装pymssql模块

  2. 执行--os-shell时的操作

    • 识别数据库类型
    • 检测是否为DBA/SA权限
    • 检测xp_cmdshell状态，尝试启用（如被禁用）

  3. 手动启用xp_cmdshell

    EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

  4. 状态检查命令

    -- 检查是否为SA
select IS_SRVROLEMEMBER('sysadmin');

-- 检查xp_cmdshell是否存在
select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell';

MySQL实现原理

核心机制

通过UDF（用户自定义函数）执行命令，主要使用sys_exec和sys_eval函数

必要条件

  • 数据库支持外连
  • secure_file_priv参数为空或为指定路径
  • 对MySQL目录有写入权限
  • 对于MySQL >5.1，需要存在/lib/plugin目录

详细步骤

  1. 连接MySQL数据库

    sqlmap -d "mysql://user:password@ip:port/dbname"

    注意：需要安装pymysql模块

  2. 执行--os-shell时的操作

    • 获取数据库版本信息
    • 检测是否为DBA权限
    • 检查sys_exec和sys_eval函数是否存在
    • 上传DLL文件到对应目录
    • 退出时默认删除创建的函数

技术细节分析

文件上传机制

  • 使用into outfile语句写入文件
  • 内容进行16进制编码以避免特殊字符问题
  • 上传分两个阶段：先上传上传器，再上传实际Webshell

命令执行流程

  1. 执行测试命令（如ping -n 10 127.0.0.1和echo 1）
  2. 用户输入的命令被16进制编码后执行
  3. 通过HTTP请求返回命令执行结果

防御措施

  1. 数据库层面

    • 限制数据库用户权限
    • 禁用或删除危险函数/存储过程
    • 设置适当的secure_file_priv值

  2. 系统层面

    • 限制Web目录写入权限
    • 监控异常文件创建

  3. 应用层面

    • 使用参数化查询
    • 实施输入验证

总结

sqlmap --os-shell功能通过多种技术路径实现从SQL注入到系统命令执行的跨越，理解其工作原理对于渗透测试和防御都具有重要意义。不同数据库的实现方式虽有差异，但核心思路都是利用数据库提供的扩展执行机制来突破边界。

SQLMap --os-shell 原理深度解析 前言 sqlmap --os-shell 是一个强大的功能，允许通过SQL注入漏洞获取操作系统的shell访问权限。该功能支持MySQL、PostgreSQL和Microsoft SQL Server数据库，但需要满足特定条件。 核心原理概述 MySQL/PostgreSQL ：上传包含自定义函数（ sys_exec() 和 sys_eval() ）的二进制库 Microsoft SQL Server ：利用 xp_cmdshell 存储过程执行系统命令 通用必要条件 数据库支持外连 当前用户有足够权限使用特定函数 对目标系统有写入权限（针对文件上传方式） 注入方式实现原理 基础环境要求 操作系统：Windows Server 2012 Standard 数据库：MySQL 5.1.60 Web环境：PHP 5.4.45 + Apache 2.4.39 执行流程 目标基础信息探测 上传Webshell到目标网站 通过 into outfile 进行文件写入 上传内容进行16进制编码 通过Webshell执行命令 退出时删除Webshell 必要条件 拥有网站写入权限 secure_file_priv 参数为空或为指定路径 Microsoft SQL Server实现原理 核心机制 利用 xp_cmdshell 存储过程执行系统命令 必要条件 数据库支持外连 数据库权限为SA权限 详细步骤 连接数据库 注意：需要安装pymssql模块 执行--os-shell时的操作 识别数据库类型 检测是否为DBA/SA权限 检测 xp_cmdshell 状态，尝试启用（如被禁用） 手动启用xp_ cmdshell 状态检查命令 MySQL实现原理 核心机制 通过UDF（用户自定义函数）执行命令，主要使用 sys_exec 和 sys_eval 函数 必要条件 数据库支持外连 secure_file_priv 参数为空或为指定路径 对MySQL目录有写入权限 对于MySQL >5.1，需要存在 /lib/plugin 目录 详细步骤 连接MySQL数据库 注意：需要安装pymysql模块 执行--os-shell时的操作 获取数据库版本信息 检测是否为DBA权限 检查 sys_exec 和 sys_eval 函数是否存在 上传DLL文件到对应目录 退出时默认删除创建的函数 技术细节分析 文件上传机制 使用 into outfile 语句写入文件 内容进行16进制编码以避免特殊字符问题 上传分两个阶段：先上传上传器，再上传实际Webshell 命令执行流程 执行测试命令（如 ping -n 10 127.0.0.1 和 echo 1 ） 用户输入的命令被16进制编码后执行 通过HTTP请求返回命令执行结果 防御措施 数据库层面 限制数据库用户权限 禁用或删除危险函数/存储过程 设置适当的 secure_file_priv 值 系统层面 限制Web目录写入权限 监控异常文件创建 应用层面 使用参数化查询 实施输入验证 总结 sqlmap --os-shell 功能通过多种技术路径实现从SQL注入到系统命令执行的跨越，理解其工作原理对于渗透测试和防御都具有重要意义。不同数据库的实现方式虽有差异，但核心思路都是利用数据库提供的扩展执行机制来突破边界。