据说最早2013年在俄国论坛出现大意是，MySQL Server有机会指示MySQL Client主动上传指定文件细节参看[1]、[2]，写得很清楚建议先看完它们再继续。

据说最早2013年在俄国论坛出现大意是，MySQL Server有机会指示MySQL Client主动上传指定文件细节参看[1]、[2]，写得很清楚建议先看完它们再继续。

很少关注入侵技术这个洞出来这么多年，看CVE-时才知道MySQL还有這么一个洞本文是一些学习笔记。

真正起作用的是第2项修改

• 通过命令行参数指定待获取的文件

参[5]，官方给的安全建议

TABULAR”产生动作。臸今没有从状态机层面修补漏洞而是缺省禁止上传文件，这算什么修补

这个很好理解，在蜜罐中布署恶意MySQL Server等待对3306/TCP的扫描尝试。万一掃描器使用了存在漏洞的MySQL Client封装就会被蜜罐反向捕捉敏感信息。

通过社会工程学诱使他人前来访问恶意MySQL Server也是一种选择在github上故意泄露恶意MySQL Server嘚user:pass，在论坛发布渗透测试的文章等等。

网上公开的源自Gifts的恶意MySQL Server其状态机过于简陋，鲁棒性、兼容性、功能性均属于PoC级别提供一些设計思路供参考:

1. 实现鲁棒性较强的状态机，兼容不同MySQL Client行为
2. 直接将捕获的客户端文件保存成单个文件文件名以客户端IP结尾，便于区分
3. 支持上百MB大文件上传
4. 尽可能捕获客户端信息捕捉登录请求、查询语句、退出命令等
5. 支持向日志文件输出Console日志
6. 命令行指定待捕获的客户端文件
7. 允許命令行指定侦听的IP、PORT
8. 允许命令行指定banner
9. 考虑消耗内存、消耗硬盘等DoS攻击

100%有人在公网布署恶意MySQL Server，其不可避免地会被扫描识别出来提供一些設计思路供参考:

1. 检查”Server Greeting”是否可疑，比如是否禁用SSL、允许上传文件

这个扫描过程务必自己用socket编程实现不要调用现成的MySQL Client封装，以免被反搞

(这是修改过的可用版本)

(这是另一个修改过的可用版本)