mysql udf提权原理_udf提权原理详解

0x00-前言

这个udf提权复现搞了三天，终于搞出来了。网上的教程对于初学者不太友好，以至于我一直迷迷糊糊的，走了不少弯路。下面就来总结一下我的理解。

想要知道udf提权是怎么回事，首先要先知道udf是什么。

环境：

本机os: win10

靶机os: win7

php: 5.4.45

mysql: 5.5

0x01-udf是什么？

udf = 'user defined function'，即‘用户自定义函数’。是通过添加新函数，对MYSQL的功能进行扩充，性质就象使用本地MYSQL函数如abs()或concat()。udf在mysql5.1以后的版本中，存在于‘mysql/lib/plugin’目录下，文件后缀为‘.dll’，常用c语言编写。

那么如何使用udf呢？

0x02-如何使用udf?

假设我的udf文件名为‘udf.dll’，存放在Mysql根目录(通过select @@basedir可知)的‘lib/plugin’目录下。在udf中，我定义了名为sys_eval的mysql函数，可以执行系统任意命令。如果我现在就打开mysql命令行，使用select sys_eval('dir');的话，系统会返回sys_eval()函数未定义。因为我们仅仅是把‘udf.dll’放到了某个文件夹里，并没有引入。类似于面向对象编程时引入包一样，如果没有引入包，那么这个包里的类你是用不了的。

所以，我们应该把‘udf.dll’中的自定义函数引入进来。看一下官方文档中的语法：

不要慌，看看实例用法：

CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll';

只有两个变量，一个是function_name(函数名)，我们想引入的函数是sys_eval。还有一个变量是shared_libra