windows靶场提权总结

最近做了几个i春秋的靶场，从getshell到提权，练习的还是很全面的，这里主要对提权做个总结。

先从提权反推一下思路： 提权 -> 上传提权工具 -> 找上传点 -> 连接菜刀getshell -> 写入或上传一句话 -> 找到写入点或上传点

一句话的写入点或上传点大多都是在管理后台发现的，因为用户的权限较低，可以操作的功能也较少，而且对于用户的输入或上传也有很严格的过滤机制，所以使用用户权限来写入或上传一句话的成功率很低。

那么就需要登录管理后台来写入或上传一句话，登录管理后台有两个条件： ①找到管理后台 。 ②拿到管理员账号和密码 （爆破也可以，但是成功率很低，这里就不多做讨论了）。登录进管理员后台后，就可以测试哪个地方可以利用，可以上传或写入一句话了。然后就是上面的一系列操作，最后拿到flag。

拿我做的这几个靶场为例，首先打开浏览器看到页面，发现都是一些CMS，从页面信息可以知道CMS版本等信息，然后信息搜集看看这个版本之前有没有爆出过漏洞，如果有SQL注入最好，可以尝试通过注入拿到管理员账号、密码。当然也可以使用其他的方法，怎么猥琐怎么来。

然后扫描目录，如果管理员没有修改CMS的默认目录的话，管理后台还是很好扫出来的，如果修改过就比较困难了，就看你的字典强不强大了。当然也可以利用一些其他方法，比如信息泄露，如果是dedeCMS的话可以尝试访问 /data/mysqli_error_trace.inc 路径或 /data/mysql_error_trace.inc 路径，有可能会爆出后台路径。

拿到账号密码和管理后台路径后就可以登录后台了，然后寻找哪个地方可以执行一句话，比如上传图片马然后利用文件包含或解析漏洞执行一句话，或者试一下发表文章功能，试一下网站配置信息。反正姿势越猥琐越好。

拿到一句话的路径后可以连菜刀了，连上菜刀后由于权限问题，C盘一般是没有读写权限的，而大多数flag都放在C盘，所以我们就要找一个有上传文件权限的目录上传提权工具进行提权，这里着重总结两种提权方法。

利用 CVE-2009-0079 的漏洞，工具： Churrasco.exe + cmd.exe + 3389.bat ，其中 cmd.exe 是为了代替原服务器中权限受限的命令行交互环境，Churrasco.exe 是用于提权的漏洞利用工具，3389.bat 是打开 3389 端口及远程桌面服务的批处理脚本文件。

提权命令：

同样是利用 CVE-2009-0079 的漏洞，工具： pr.exe + cmd.exe + 3389.bat ，与churrasco类似，命令和churrasco提权命令一样，不过第一次输入命令会报错，再输入一遍就好了。

iis.exe 与前两者不同，是基于 CVE-2009-1535 漏洞的提权工具，工具： iis6.exe + cmd.exe + 3389.bat ，用法与前两种工具类似，第一次创建用户时也可能会报错，若创建失败，再次执行即可。

现在提权已经完成了，打开CMD输入 mstsc 启动远程桌面登录，输入目标ip和刚才创建的用户的登录账号密码就可以远程访问服务器了，然后进入C盘拿到flag即可。

参考链接：

【i春秋】渗透测试入门 —— 我很简单，请不要欺负我

到webshell后提权的三种方法，当然还有其它的方法在以后的时间呈现给大家，祝大家国庆愉快。好好把握时间。webshell提权是一门学问。它涉及到不只是一些软件，一些方法。最重要的是思路。今天就是来学习webshell的提权的两种特别常见的方法。以及一些提权思路在学习之前呢。推荐大家看一下这个文章。] http://bbs.hackbase.com/viewthread.php?tid=2686993&fpage=1 虽然有些办法而今已经不适用了。但是有的办法还依然可以提升权限。。下图为察看本地察看权限的方法：新仔是当前用户zxpc为计算机名，大家可以看他的权限我们再提权之前。要知道什么是提权。为什么要提权。提权的原因是，我们拿到一个服务器的webshell以后。如果想进而扩大战果。拿下整个服务器。开这个服务器的3389，。远程桌面登陆。仅仅靠一个webshell是不可能作到的。因为webshell的权限是GUEST。很低的权限。而我们想在服务器上运行我们的木马后门。必须要在administrator权限以上。所以我们就要把我们的权限提升成为administrator权限。知道原理以后，我们就来看一看提权基本上有哪些方法1。首先是利用serv-u提权。serv-u是一款出色的FTP工具。很多企业。服务器都使用它作为本地传输文件的媒介。默认来说。serv-u是以系统权限执行的。所以会每次开机都自动以系统权限启动。。安装。，使用过serv-u的朋友们估计都知道。serv-u 有一个本地的帐户。也就是本地管理serv-u服务器的admin。我们就可以利用这个admin帐户。来执行我们需要的命令。这就是serv-u本地提权的来路。假设我们已经拿到了一个站的webshell。我们来看一下这个站的设置。以及构造。从结构上来看。cmd.exe不能直接被执行。net user一些基本的命令也不能直接在webshell里运行。图1输入命令图2运行错误图3 cmd执行成功但是有写权限。，所以我们就需要找到一个可以运行文件的目录。传一个cmd.exe 和一个serv-u的本地提权工具过去。工具已经打包。大家可以到我们的主页去下载。 www.hackbase.com 好了。，我们首先要找可以执行文件的目录。什么是能执行文件的目录呢？如图1。当本地IISUSER可执行。或者everyone可执行。的时候，该目录就为能执行文件的目录。当然，我们在webshell里是看不到这些的。所以我们就要逐一尝试。一般来说。网站跟目录里面的任何目录都具有可写，可执行的权限。我们现在就来看看如何在这种情况下。提权成功。。利用工具。3389.exe ftp.exe cmd.exe 修改版本图4 这是上传到webshell中的工具我们假设找到了可执行文件的目录。d:\1 我们把我们的3个工具都放上去。我们在海洋木马的，执行如下命令。d:\1\ftp.exe "里面为我们任意希望执行的DOS命令"比如.我们希望加一个用户在里面。我们就执行。d:\1\ftp.exe “net user 123 /add”这样就建立了一个名字为123密码是空的用户了。继续执行 d:\1\ftp.exe “net localgroup administrators 123 /add”就把它提升到了管理员组图5传说中的管理员组然后我们需要开3389。在这里我推荐给大家一款能开XP 2000SERVER 和2003三种系统的3389.exe图6 3389.exe的使用，就是在webshell中输入图中的命令非常方便。而且开XP 和03系统不用重起。本身才17K大小。可以再加个别的壳。好了。我们到d:\1\ftp.exe “d:\1\3389.exe”这样就提权了。。如图7 我们还可以利用这个FTP本地提权执行我们的反弹木马。这样一来。就算对方是内网。，也乖乖的上线了。。第2种方法。PCANYWHERE提权。 图8pcanywhere是一款非常优秀的远程控制软件。它可以修改任意连接端口。设置访问权限。所以很多网站的管理员都舍弃了3389。而使用它。但是。它的密码文件都保存在了C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\目录下。我们直接在webshell里面如果能跳转到这个目录。就可以拿到它的*.cif文件。下载回本地以后。用专门破它密码的工具一跑。。马上就出来了。。然后呢。就是本地安装一个pcanywhere来连接对方。如果对方有IP限制。或者做了连接防范，我们就只好端口映射了。。具体方法。进参阅 http://bbs.hackbase.com/viewthread.php?tid=2715744&fpage=1 里的“新手入门第8课”好了。第3种方法。就是利用系统漏洞进行溢出。在这里我向大家推荐一篇MS05039漏洞提权的文章 http://bbs.hackbase.com/viewthread.php?tid=2772128&fpage=1

---