Write a privilege

  1. 前言
  2. 正文

前言

今天和某位基友交流然后谈了一些东西后,日了某黄网 。拿到shell后原本想就这样吧,但是后面想练习提权。
t01cfe6fae2c55f39f2.jpg?size=900x600

正文

通过任意文件上传得到webshell
khOPbt.png

但是这个webshell并不是很好用,通过webshell下载黄网的主页在里面添加后门。然后连接到菜刀
khvSv4.png

查看权限
khOlV0.png

进行一系列信息收集

ipconfig
netstat -ano
tasklist /svc
systeminfo
net localgroup
net user

将目标打的补丁贴到这里:提权辅助网页
发现存在MS15-015提权
khO2Md.png

信息如下:

权限:iis apppool\ugwyahx.com
用户:Administrator            Guest     
打了的补丁:
主机名:           WIN-KSQJUD5F488
OS 名称:          Microsoft Windows Server 2012 R2 Standard
OS 版本:          6.3.9600 暂缺 Build 9600
OS 制造商:        Microsoft Corporation
OS 配置:          独立服务器
OS 构件类型:      Multiprocessor Free
注册的所有人:     Windows 用户
注册的组织:       
产品 ID:          00252-70000-00000-AA535
初始安装日期:     2018/9/15, 10:57:30
系统启动时间:     2018/9/16, 21:33:38
系统制造商:       Supermicro
系统型号:         SYS-5038ML-H8TRF
系统类型:         x64-based PC
处理器:           安装了 1 个处理器。
                  [01]: Intel64 Family 6 Model 60 Stepping 3 GenuineIntel ~800 Mhz
BIOS 版本:        American Megatrends Inc. 3.0a, 2015/12/17
Windows 目录:     C:\Windows
系统目录:         C:\Windows\system32
启动设备:         \Device\HarddiskVolume1
系统区域设置:     zh-cn;中文(中国)
输入法区域设置:   zh-cn;中文(中国)
时区:             (UTC+08:00)北京,重庆,香港特别行政区,乌鲁木齐
物理内存总量:     8,151 MB
可用的物理内存:   6,763 MB
虚拟内存: 最大值: 10,071 MB
虚拟内存: 可用:   8,550 MB
虚拟内存: 使用中: 1,521 MB
页面文件位置:     C:\pagefile.sys
域:               WORKGROUP
登录服务器:       暂缺
修补程序:         安装了 3 个修补程序。
                  [01]: KB2883200
                  [02]: KB2894029
                  [03]: KB2894179
网卡:             安装了 2 个 NIC。
                  [01]: Intel(R) I350 千兆网络连接
                      连接名:      以太网
                      状态:        媒体连接已中断
                  [02]: Intel(R) I350 千兆网络连接
                      连接名:      以太网 2
                      启用 DHCP:   否
                      IP 地址
                        [01]: xxx.xxx.xxx.xx
                        [02]: xxx.xxx.xxx.xx
                        [03]: xxx.xxx.xxx.xx
                        [04]: xxx.xxx.xxx.xx
                        [05]: fe80::a0f8:34f0:c917:156a
Hyper-V 要求:     虚拟机监视器模式扩展: 是
                  固件中已启用虚拟化: 是
                  二级地址转换: 是
                  数据执行保护可用: 是

运行的进程:
映像名称                       PID 服务                                        
========================= ======== ============================================
System Idle Process              0 暂缺                                        
System                           4 暂缺                                        
smss.exe                       280 暂缺                                        
csrss.exe                      388 暂缺                                        
csrss.exe                      444 暂缺                                        
wininit.exe                    452 暂缺                                        
winlogon.exe                   504 暂缺                                        
services.exe                   536 暂缺                                        
lsass.exe                      544 SamSs                                       
svchost.exe                    608 BrokerInfrastructure, DcomLaunch, LSM,      
                                   PlugPlay, Power, SystemEventsBroker         
svchost.exe                    660 RpcEptMapper, RpcSs                         
LogonUI.exe                    736 暂缺                                        
dwm.exe                        744 暂缺                                        
svchost.exe                    760 Dhcp, EventLog, lmhosts, Wcmsvc             
svchost.exe                    804 Appinfo, AppMgmt, BITS, CertPropSvc, gpsvc, 
                                   IKEEXT, iphlpsvc, LanmanServer, ProfSvc,    
                                   Schedule, SENS, SessionEnv,                 
                                   ShellHWDetection, Themes, Winmgmt           
svchost.exe                    828 EventSystem, FontCache, netprofm, nsi       
svchost.exe                    904 CryptSvc, Dnscache, LanmanWorkstation,      
                                   NlaSvc, WinRM                               
svchost.exe                    308 BFE, DPS, MpsSvc                            
spoolsv.exe                   1032 Spooler                                     
svchost.exe                   1056 AppHostSvc                                  
svchost.exe                   1088 PolicyAgent                                 
svchost.exe                   1116 Netman, TrkWks, UALSVC, UmRdpService        
svchost.exe                   1132 W3SVC, WAS                                  
svchost.exe                   1580 TermService                                 
ChsIME.exe                    1984 暂缺                                        
msdtc.exe                     1540 MSDTC                                       
csrss.exe                      144 暂缺                                        
winlogon.exe                  1956 暂缺                                        
dwm.exe                       1304 暂缺                                        
taskhostex.exe                2164 暂缺                                        
rdpclip.exe                   2268 暂缺                                        
ChsIME.exe                    2324 暂缺                                        
explorer.exe                  2392 暂缺                                        
DUMeterSvc.exe                3400 DUMeterSvc                                  
DUMeter.exe                   3212 暂缺                                        
phpStudy.exe                  3312 暂缺                                        
mysqld.exe                    1548 MySQLa                                      
notepad.exe                   3452 暂缺                                        
mspaint.exe                   5068 暂缺                                        
w3wp.exe                      4712 暂缺                                        
w3wp.exe                      2788 暂缺                                        
w3wp.exe                      2000 暂缺                                        
w3wp.exe                      2344 暂缺                                        
w3wp.exe                      4560 暂缺                                        
w3wp.exe                      4556 暂缺                                        
cmd.exe                       3444 暂缺                                        
conhost.exe                   4888 暂缺                                        
test.exe                      4356 暂缺                                        
cmd.exe                       4600 暂缺                                        
conhost.exe                   3620 暂缺                                        
test.exe                      3648 暂缺                                        
csrss.exe                     3160 暂缺                                        
winlogon.exe                  2828 暂缺                                        
dwm.exe                       2028 暂缺                                        
rdpclip.exe                   4316 暂缺                                        
taskhostex.exe                1664 暂缺                                        
ChsIME.exe                    2612 暂缺                                        
explorer.exe                  2476 暂缺                                        
wlrmdr.exe                    4160 暂缺                                        
php-cgi.exe                   5084 暂缺                                        
php-cgi.exe                   4708 暂缺                                        
php-cgi.exe                   3788 暂缺                                        
WmiPrvSE.exe                  4980 暂缺                                        
WmiPrvSE.exe                  4756 暂缺                                        
TrustedInstaller.exe          3188 TrustedInstaller                            
TiWorker.exe                  4988 暂缺                                        
cmd.exe                       2400 暂缺                                        
conhost.exe                   3008 暂缺                                        
cmd.exe                       5096 暂缺                                        
tasklist.exe                  3652 暂缺         

开启的端口:
活动连接

  协议  本地地址          外部地址        状态           PID
  TCP    0.0.0.0:80             0.0.0.0:0              LISTENING       4
  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING       660
  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4
  TCP    0.0.0.0:3306           0.0.0.0:0              LISTENING       1548
  TCP    0.0.0.0:5985           0.0.0.0:0              LISTENING       4
  TCP    0.0.0.0:8980           0.0.0.0:0              LISTENING       4
  TCP    0.0.0.0:25341          0.0.0.0:0              LISTENING       1580
  TCP    0.0.0.0:47001          0.0.0.0:0              LISTENING       4
  TCP    0.0.0.0:49152          0.0.0.0:0              LISTENING       452
  TCP    0.0.0.0:49153          0.0.0.0:0              LISTENING       760
  TCP    0.0.0.0:49154          0.0.0.0:0              LISTENING       804
  TCP    0.0.0.0:49155          0.0.0.0:0              LISTENING       1032
  TCP    0.0.0.0:49156          0.0.0.0:0              LISTENING       1088
  TCP    0.0.0.0:49158          0.0.0.0:0              LISTENING       536
  TCP    0.0.0.0:49159          0.0.0.0:0              LISTENING       544
  TCP    xxx.xxx.xxx.xx     0.0.0.0:0              LISTENING       4

上payload,然后提权添加隐藏用户
khXznA.png

khvTJK.md.png

转载请声明:转自422926799.github.io


转载请注明来源,欢迎对文章中的引用来源进行考证,欢迎指出任何有错误或不够清晰的表达。

文章标题:Write a privilege

本文作者:九世

发布时间:2019-02-23, 20:52:27

最后更新:2019-04-19, 20:36:16

原始链接:http://422926799.github.io/posts/88e0ff63.html

版权声明: "署名-非商用-相同方式共享 4.0" 转载请保留原文链接及作者。

目录