本文介绍了MySQL UDF（用户自定义函数）提权的原理和思路，包括将UDF文件上传到特定位置，从文件中引入自定义函数并执行，以及如何清除操作痕迹。在MySQL的不同版本中，UDF文件的存放位置有所不同，如5.1及以上版本需放入libplugin目录。提权过程中，可以使用sys_eval和sys_exec等函数执行系统命令。
0x00 原理
udf = ‘user defined function‘，即‘用户自定义函数’。文件后缀为‘.dll’，常用c语言编写。
通过在udf文件中定义新函数，对MYSQL的功能进行扩充，可以执行系统任意命令。将MYSQL账号root转化为系统system权限。
0x01 思路
1. 将udf文件上传到指定位置
sqlmap中有现成的udf文件，分为32位和64位，一定要选择对版本，否则会显示：Can‘t open shared library ‘udf.dll‘。
- sqlmap\udf\mysql\windows\32目录下存放着lib_mysqludf_sys.dll_
- sqlmap\udf\mysql\windows\64目录下为64位的lib_mysqludf_sys.dll_
但是sqlmap 中 自带 的shell 以及一些二进制文件，为了防止被误杀都经过异或方式编码，不能直接使用的。
可以利用sqlmap 自带的解码工具cloak.py，进入到 sqlmap\extra\cloak\cloak 目录下，执行命令：
cloak.py -d -i D:\sqlmap\udf\mysql\windows\32\lib_mysqludf_sys.dll_sqlmap中的udf文件提供的函数：
sys_eval，执行任意命令，并将输出返回。
sys_exec，执行任意命令，并将退出码返回。
sys_get，获取一个环境变量。
sy
最低0.47元/天 解锁文章
扫一扫
1047
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
