通过恶意软件劫持MySQL服务器来执行DDoS攻击_mysql教程_开发教程

我们已经发现针对 MySQL 服务器的恶意软件可以让服务器对其他网站进行分布式拒绝服务（DDoS）攻击。

首先，攻击者将恶意的用户定义功能(Downloader.Chikdos) 注入到服务器中，使用 Trojan.Chikdos.A DDoS 恶意软件入侵服务器。

根据赛门铁克的遥测数据，大部分被侵害的计算机位于印度，其次是中国、巴西和荷兰。

通过恶意软件劫持MySQL服务器来执行DDoS攻击

图. 按区域统计的 Downloader.Chikdos 和 Trojan.Chikdos.A 感染情况

我们的分析发现，受侵害的服务器被用户向中国 IP 地址和美国托管服务提供商发起 DDoS 攻击。

使用恶意的用户定义功能

用户定义功能 (UDF) 是经过编译的代码，可从MySQL 中调用来完成一些在数据库管理系统所提供之外的功能。UDF 以文件方式停留在服务器的文件系统上。

使用恶意 UDF 来获取 MySQL 服务器的访问权限并不是新出现的活动。Matthew Zimmerman 在这份报告中全面地记录了这一方法。使用这种技术，攻击者创建 UDF，实施一些恶意活动，例如下载恶意软件或者创建远程shell。然后，攻击者通过 SQL 注入攻击，将 UDF 安装到目标 MySQL 服务器上。

如果攻击者能够执行 SQL 命令，则可以使用DUMP 参数在系统上有效地上传 UDF 文件，这些文件随后加载到MySQL 中。然后执行 UDF，随之运行攻击者创建的任意恶意代码。

Chikdos 攻击技术

Chikdos 在 2013 年 12 月由 CERT.PL 首次记录在案，发现这一威胁同时针对Linux 和 Windows。安装在计算机上的 Linux 版本被 Secure Shell (SSH) 字典攻击侵入。

在最新发现的 Chikdos 攻击活动中，攻击者偏好使用自动化扫描程序或者可能使用蠕虫来侵害 MySQL 服务器并安装 UDF 。但是，尚未识别确切的感染媒介。感染服务器之后，UDF 下载 DDoS 工具，这是 Trojan.Chikdos.A的变种。

Downloader.Chikdos

Downloader.Chikdos 的变种，通常是随机命名的 .dll文件。它们可能位于服务器上 MySQL 安装的下列子文件夹中：

Lib\
Lib\plugin
Bin\

通过 MySQL 执行下载程序时，它修改注册表条目以启用TerminalServices，如下所示：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\netcache\“Enabled”= “0”
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\“EnableAdminTSRemote”= “1”
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermDD\“Start”= “2”
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermService\“Start”= “2”
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\“TSEnabled” = “1”
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\“fDenyTSConnections” = “0”