一次曲折的提权过程+心得
小菜文章,大牛略过。文中如有不对之处,请众大神提出指正。小菜先谢过了!
因为某原因搞某个站。主站搞不动,只能从二级域名下手,二级域名大多也不好搞,but,发现其中一个站上有其他不少旁站,于是从旁站下手。
拿shell无亮点,一笔带过吧,上传,bingo~
提权过程得到点心得和经验,重点分享下:
Shell允许跨目录,看了下权限,network service:
因为数据库是sqlserver,故想尝试找到数据库连接串,用sa来提,but:
用其他库的库用户登录可以成功,能够读库,可就是用sa账户登录失败,难道密码不对?或者密码过期了?
于是想上各种溢出继续XO,看了下补丁情况:
有不好的预感,结果事实就是各种本地溢出都不用了。
用ms11080时,能够进行到前4步,到添加用户和添加用户组时就没动静了。其他的工具都不能执行。用前段时间的windows全版本提权大0day也不好使。
Net user一下发现有个很奇怪的账户,其中administrator重命名了:(箭头所指用户名比较敏感,在网上能直接搜到域名,故打码了。望见谅。)
箭头所指用户名是其中一个旁站的网站目录名。
于是重点看一看:
发现是远程桌面组内的用户。
但是苦于没有密码。不过还是想上服务器看看。于是先把端口转出来吧。
虽然上面有瑞星,但妨碍不到这些工具。找了可读可写木录上传了lcx。把3389转出来。从外面只能看到80。其他端口包括1433都看不到。
上去后手痒随便乱试了一下。发现用密码用户名+123!@#居然进去了!(此处全靠人品!)
But!!!!进来后发现该用户权限比菜刀还不如:
菜刀下还能跨目录任意访问,用这个用户进来了却连跨盘符访问都不行了。
到这一步时,真心有点不知咋办了。各种溢出上了,数据库连不上。好不容易猜到一个用户(系统管理员没猜中),权限还特别低。感觉基本上有点没招使的了。
后来经过身边某大牛提醒:
现在这个用户是以其中一个旁站的域名命名的,所以至少该用户在自己所在的网站目录下的权限是比较高的。事实证明是这样的。
用菜刀传了一个windows全版本提权的exp到该网站目录下。
然后在该目录下cmd。终于能够用该exp执行命令!
后面的动作就是导注册表,破hash,用管理员账号登陆。(发现管理员的密码是1qaz!QAZ,当时猜密码时差一点就猜中了。)
在然后就是内网横向走了。(这台服务器的内网地址是192这个段的,而且有两块网卡,分别连了两个不同的网。猜测是DMZ区的某服务器,价值比较大,所以才死磕着要先拿这台。内网的过程就暂不分享了,还在继续中……..)
收获的经验总结下就是。
在旁站很多的情况下,如果有某个用户是其中某旁站的用户,就算在系统中权限较低,但是在自己网站所在的目录下,权限还是很高的。
小菜文章,大牛略过。文中如有不对之处,望众大神提出指正。小菜先谢过了!
By:sword2
评论96次
@sword2 传了一个windows全版本提权的exp 这是什么,呵呵,发上来学xi
能猜到密码真厉害。
其实我一直想问lcx在web用户下为什么就能执行起来? 还有本地控制台进行exp提权也真是醉了,毕竟都能到本地了还需要提权的场景实在太奇葩了。。。
"WebShell下以管理员身份运行" 这个小工具可以在webshell在检测一些管理的若密码,很方便
上去后手痒随便乱试了一下。发现用密码****123!@#居然进去了! 这个是要多大的人品。反正我没几试过猜对这样的密码。
对的 既然用户的权限还不如SHELL的权限大,仅仅是域名目录的权限很大 LZ应该附个在域名目录下是什么权限 我想应该也是network的吧
shell下的network不能执行exp。只在域名目录下成功了。所以我很好奇是不是这个用户只在自己网站目录下才是权限比较高?
你在webshell下(也就是你的菜刀)执行那个新的exp当然是不行的。此处如果想使用webshell成功提权还是要做些小修改的。后来你登上3389(也就是说你到了桌面环境了,或者说本地控制台),在执行这个exp成功这是正常现象
我靠,我的怎麼就沒猜中過密碼,日的站也不少
没权限怎么用lcx转发的?
有个shell就可以把?
上去后手痒随便乱试了一下。发现用密码****123!@#居然进去了! 这人品我也是醉了。常人的思维,没提权拿到system 谁会去转发3389啊。。哎。NB
在服务器看看cmd及其余目录权限是怎么样子的
这不算弱口令了吧 亲``
上去后手痒随便乱试了一下。发现用密码****123!@#居然进去了! 人品有这么好,我也是给跪了。
这密码 随便猜就中了?
既然在3389下能提权成功,那么理论上相同的EXP在webshell下也是可行的。 之前那个全版本通杀0DAY应该是能用的,楼主何不试试将shell反弹出来再提权
人品才是本文最大亮点?
对外端口只有80 你可以3389转出用8888 可以连上?
看服务器是03的,其实楼主可以试试iis6的那个提权, 还是很好用的
在shell下试过了的,but,一样没法执行。
看服务器是03的,其实楼主可以试试iis6的那个提权, 还是很好用的
这运气 挺好的 用户名后加个123!@# 123!@# 用的从还是挺多的 哈
有此人品果断不敢出门了。人品相对论,这么败人品后,出门可能会出事