枫林在线论坛精华区>>信息安全
[248187] 主题: MySQL Authentication Bypass (转载)
作者: tshxp. (tshxp.)
标题: MySQL Authentication Bypass (转载)[转载]
来自: 202.194.*.*
发贴时间: 2004年07月07日 22:03:42
长度: 6689字
发信人:tshxp@smth.org-SPAM.no (La Traviata),信区:cn.bbs.comp.
security
标  题:MySQL Authentication Bypass (转载)
发信站:BBS 水木清华站
转信站:FengLin!netnews.sdu.edu.cn!maily.cic.tsinghua.edu.cn!SMT
H

【 以下文字转载自 BugTraqML 讨论区 】
发信人: nisr@nextgenss.com (NGSSoftware Insight Security Researc
h), 信区: BugTraqML
标  题: MySQL Authentication Bypass
发信站: NCTU CSIE FreeBSD Server (Tue Jul  6 05:53:52 2004)
转信站: SMTH!maily.cic.tsinghua.edu.cn!whnet.dhs.org!netnews.sdu
.edu.cn!news-ou
出  处: freebsd.csie.nctu.edu.tw

NGSSoftware Insight Security Research Advisory

Name: MySQL Authentication Bypass / Buffer Overflow
Systems Affected: MySQL 4.1 prior to 4.1.3, and MySQL 5.0.
Severity: High
Vendor URL: http://www.mysql.com
Author: Chris Anley [ chris@ngssoftware.com ]
Date of Advisory: 1st July 2004

Whitepaper
**********

We have written a paper that accompanies this advisory. The pape
r
provides details of various MySQL lockdown techniques, and a rev
iew of
common attacks on MySQL, including SQL injection. The paper can 
be found
at

http://www.ngssoftware.com/papers/HackproofingMySQL.pdf

Description
***********

"The MySQL database server is the world's most popular open
 source
database." [www.mysql.com].

This advisory details a bug that allows a remote user to entirel
y bypass
the MySQL password authentication mechanism, allowing them to au
thenticate
as a MySQL user without knowing that user's password. Using a si
milar
method, a stack buffer used in the authentication mechanism can 
be
overflowed, though exploitation of the overflow is not straightf
orward.

Details
*******

MySQL 4.1 Authentication Bypass

By submitting a carefully crafted authentication packet, it is p
ossible
for an attacker to bypass password authentication in MySQL 4.1.


From check_connection (sql_parse.cpp), line ~837:

  /*
    Old clients send null-terminated string as password; new cli
ents send
    the size (1 byte) + string (not null-terminated). Hence in c
ase of
empty
    password both send '\0'.
  */
  uint passwd_len= thd->client_capabilities & CLIENT_SECU
RE_CONNECTION ?
    *passwd++ : strlen(passwd);


Provided 0x8000 is specified in the client capabilities flags, t
he use can
specify the passwd_len field of their choice. For this attack, w
e will
choose 0x14 (20) which is the expected SHA1 hash length.

Several checks are now carried out to ensure that the user is
authenticating from a host that is permitted to connect. Provide
d these
checks are passed, we reach:

        /* check password: it should be empty or valid */
        if (passwd_len == acl_user_tmp->salt_len)
        {
          if (acl_user_tmp->salt_len == 0 ||
              acl_user_tmp->salt_len == SCRAMBLE_LENGTH &
&
              check_scramble(passwd, thd->scramble, acl_user_
tmp->salt) == 0 ||
              check_scramble_323(passwd, thd->scramble,
                                 (ulong *) acl_user_tmp->salt
) == 0)
          {
            acl_user= acl_user_tmp;
            res= 0;
          }
        }


the check_scramble function fails, but within the check_scramble
_323
function we see:

my_bool
check_scramble_323(const char *scrambled, const char *message,
                   ulong *hash_pass)
{
  struct rand_struct rand_st;
  ulong hash_message[2];
  char buff[16],*to,extra;                      /* Big enough fo
r check */
  const char *pos;

  hash_password(hash_message, message, SCRAMBLE_LENGTH_323);
  randominit(&rand_st,hash_pass[0] ^ hash_message[0],
             hash_pass[1] ^ hash_message[1]);
  to=buff;
  for (pos=scrambled ; *pos ; pos++)
    *to++=(char) (floor(my_rnd(&rand_st)*31)+64);
  extra=(char) (floor(my_rnd(&rand_st)*31));
  to=buff;
  while (*scrambled)
  {
    if (*scrambled++ != (char) (*to++ ^ extra))
      return 1;                                 /* Wrong passwor
d */
  }
  return 0;
}


At this point, the user has specified a 'scrambled' string that 
is as long
as they wish. In the case of the straightforward authentication 
bypass,
this is a zero-length string. The final loop compares each chara
cter in
the 'scrambled' string against the string that mysql knows is th
e correct
response, until there are no more characters in 'scrambled'. Sin
ce there
are no characters *at all* in 'scrambled', the function returns 
'0'
immediately, allowing the user to authenticate with a zero-lengt
h string.

This bug is relatively easy to exploit, although it is necessary
 to write
a custom MySQL client in order to do so.

In addition to the zero-length string authentication bypass, the

stack-based buffer 'buff' can be overflowed by a long 'scramble'
 string.
The buffer is overflowed with characters output from my_rnd(), a
 pseudo
random number generator. The characters are in the range 0x40..0
x5f. On
some platforms, arbitrary code execution is possible, though the
 exploit
is complex and requires either brute force, or knowledge of at l
east one
password hash.

Fix Information and workarounds
*******************************

MySQL AB were contacted on the 1st of June 2004 and the patch fo
r this bug
was present in the source code by the 2nd of June. Since MySQL p
refer
users to install via pre-built binary packages, NGS have delayed
 the
release of this advisory until appropriate 'patch' packages were

available.

MySQL AB have fixed this bug in version 4.1.3, and the most rece
nt builds
of version 5.0.

In addition to patching, various workarounds are possible for th
is bug.
The attacker must know or be able to guess the name of a user in
 order
for this attack to work, so renaming the default MySQL 'root' ac
count is
a reasonable precaution. Also, the account in question must be a
ccessible
from the attacker's host, so applying ip-address based login res
trictions
will also mitigate this bug.

A check for this vulnerability has been added to Typhon III, NGS
Software's
advanced vulnerability assessment scanner. For more information 
please
visit the NGSSoftware website at http://www.ngssoftware.com/


About NGSSoftware
*****************

NGSSoftware design, research and develop intelligent, advanced a
pplication
security assessment scanners. Based in the United Kingdom, NGSSo
ftware
have offices in the South of London and the East Coast of Scotla
nd.
NGSSoftware's sister company NGSConsulting, offers best of breed
 security
consulting services, specializing in application, host and netwo
rk
security assessments.

http://www.ngssoftware.com/

Telephone +44 208 401 0070
Fax +44 208 401 0076

enquiries@ngssoftware.com















========== * * * * * ==========
返回