【法客周年庆】记一次曲折的Win2008提权.doc

记一次曲折的Win2008提权 作者: 凯文 为记念首次Win2008服务器提权，就写一篇文章参加周年庆吧! 请大牛们多加指导。 目标: 某某大学软件工程学院 前几天在法克看到rootkit牛的提权求助，写是Win2008 / IIS 7.5的，支援MSSQL，SA不是sys权限，小菜就入去看看，先做资料收集。 0x0 可以执行命令，看看权限 IIS 7.5预设是每个站应用程式池独立的，即是降权了，加上服务器是64位，很多神器都用不上。 0x1再看看溢出方面 最常看Windows下的WindowsUpdate.log和bootstat.dat，有时systeminfo跑不出补丁的列表。 一看这服务器是全补丁的，本地溢出就不用试了。 扫下端口…21 80 1433，好，下一步。 0x2档案目录 没发现什么目录可利用的，但整个D盘可读可写十分不安全，先记下，可能以后有用。 D盘找到但发现是用Access的，找个旁站看看 行aspx的，看Web.config应会有发现。 有数据库连资料，看似是用DES方式加密后再用Base64的，就上网找个解密 哈哈，出来了，这时想起rootkit牛说MSSQL不是system权限，就去看被降成什么了。 0x3 MSSQL 读注册表，所有服务都在 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services里。 降成了Network Service…这下蛋痛，先连接试试吧。先看master里的sys.sql_logins。 我靠!! SA被停用!!! 只用一个db_owner的账户，果然是间软件学院，管理员都不是白吃米饭的。数据库方向行不通。 0x4 整理思路 IIS和MSSQL都被降权之下十分蛋痛，想在D盘再找找的可是没有时间，就这样暂停了… 昨天看到rootkit牛说还未有下文，加上我对提Win2008有兴趣，就重燃心中的一团火，提权要有恒心才行!! 今天回家途中在想，这台机又不是很安全，D盘一定可以找出什么的。 就在翻目录，发现大部分都不可利用。个多小时后，终于在一个测试目录找到 这些配置档案应该在System32\inetsvr\config里面的，但管理员抄了出来。  发现一些FTP配置，用户权力应很大，可惜不是Network Service权限，不然就可跑出明文密码了。 再在找着，发现学院主站的应用程式池是以System运行，其他副站则是降权的，那这下可得手了，真是百密一疏啊 呵呵。 0x5 提权 确认主站是System权限  好了终于拿下，多谢欣赏。