mysql数据库udf提权
UDF (user defined function)即用户自定义函数。通过添加新函数 对MySQL数据库的功能进行扩充
就像使用本地MySQL函数如 database() 或 version() 一样。
mysql数据库udf提权步骤
1. 在mysql>5.1版本，udf.dll应放置在mysql安装目录的lib\plugin下。
在mysql<5.1版本，udf.dll应放置在C:\windows或者C:\windows\system32目录
查看mysql数据库版本是5.5.47,所以udf.dll应该放置在mysql\lib\plugin目录下 由于mysql安装
目录下lib\plugin是不存在的，所以手工创建好。
2，查看数据库的导入导出文件权限，可以在my.ini配置文件修改secure_file_priv的值
Secure_file_priv= 表示不对数据库的导入导出权限做限制
Secure_file_priv=\C:\ 表示数据库仅允许在C:下有导入导出权限
Secure_file_priv=’null’ 表示数据库不允许导入导出
3,查看主机操作系统与数据库的位数查看到都是32位
4查看plugin的绝对路径 plugin的绝对路径为C:\phpstudy\mysql\lib\plugin
5查看数据库是否允许远程连接查看到root用户都是仅允许本地连接
后面使用msf向mysql数据库写入udf.dll,所以需要远程连接数据库 这里进行修改允许数据库
进行远程连接,修改完后并重新启动phpstudy。
6 启动msf,加载exploit/multi/mysql/mysql_udf_payload模块
加资完模块后，设置好远程连接数据库的地址，连接数据库的用户名和密码。开始攻击
7 攻击完成后，打开C:\pypstudy\mysql\lib\plugin,可以看到新生成的hHhBWijL.dll (dll名称是随机的)。
8 hHhBWijL.dll文件中包含sys_exec()和sys_eval()两个函数 但是默认只创建sys_exec()函数 sys_exec()函数没有回显
执行正确时返回值为0 执行结果错误时返回值为1。我们可以手动创建 sys_eval() 函数，来执行有回显的命令。
Select sys_exec(‘whoami’)执行正确返回值为0
Select sys_exec(‘whoami222222’)执行错误返回值为1
9使用hHhBWijL.dll创建 sys_eval() 函数,并用sys_eval()函数执行whoami，有回显
|
