议题作者：plaodj
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

得到 一个虚拟主机中一个 网站的 FTP 用户名与密码 登入 直接用FTP工具上传 木马 我上传了海洋 还有另外两个 不知道啥名的 木马

其中经过的风雨就不叙述了 现在用浏览器连接 木马 发现 我所能登入的哪个网站 存放在 E盘
盘格式是 NTFS
这个主机有4个盘  对于权限的限制很严格 我所能看到的就是 所在网站的文件夹 连 E盘主目录也访问不了 C盘能 反问一些 如 C:\WINDOWS\system32\config\ 但没有 read权限(木马提示是这样的)  我下载里面 的 sam 也下载得到的是 0个字节的空白  用X-scan 扫描 发现只开了80  8080 21 三个端口 安装了 天盾防火墙 和 赛铁门的anti-virus

访问  C:\Program Files

[AntiARP Stand-alone Edition]
[cmak]
[Common Files]
[ComPlus Applications]
[Dimac]
[Helicon]
[InstallShield Installation Information]
[Intel]
[Internet Explorer]
[LIWEIWENSOFT]
[NetMeeting]
[Outlook Express]
[Persits Software]
[PowerEasy5]
[Symantec]
[Symantec AntiVirus]
[Tian-Dun Company]
[Uninstall Information]
[VoptXP v7]
[Windows Media Player]
[Windows NT]
[WindowsUpdate]
[winrar]
[Zend]

发觉 只有看的权限 不能写入
访问
C:\Documents and Settings
[Administrator]  无权限
[All Users]  能读
[CQZR-N4SPG1V2OG] 无权限
[Default User] 能读
[LocalService] 无权限
[NetworkService] 无权限

两个能读 但貌似不能写 看了看  没有发现 安装 PCAnywhere 和 serv-u 的迹象 但在

C:\Docume~1\All Users\Documents 里发现了 被入侵的的迹象 su.exe 和cmd.exe 等其他好象不是正常 exe文件的东东  其中cmd.exe 在几个文件夹看到过

俺是初次这样做 还不清楚该怎样提权 望大侠门 赐教 认为有挑战的大侠门 联系我 我给地址
给你们  我的QQ 383963420 望大侠们 赐教啊 谢谢拉!

有[Zend]

看看可能支持PHP。去c:\windows\ 目录下找找 my.ini 看能找到root密码不。

找到的话就有希望拿下服务器了。 MYSQL提权。

如果有apache的话 传php马 默认权限是system

发现只开了80 8080 21 　？？　有防火墙
　什么数据库？　　用ＣＭＤ　或ＳＨＥＬＬ里面看下服务什么的｀｀仔细找找
上次偶们老大找个管理员登陆页面都找了２天

sam 也下载得到的是 0个字节的空白 ...2003就算是admin权也下载不了这个文件...
8080 是什么端口占用，有返回端口信息么？
现在一般虚拟主机都添加了规则，某些危险端口不能对外连接，试着用ASP木马扫描...
传个aspx 看看有没有可以不可以浏览其他目录..一般2003提权无非 信息收集，my mssql 加su而已...

HTTP://IP:8080/看看是什么猪~`有可能这台猪机装了Apache Tomcat 哦~~~不过WEBSHELL不转跳目录看~~要可以跳的话到处翻翻咯~看看有木什么猪PHP JSP什么猪的目录,丢个毛线马进去.然后翻翻那些猪毛文件~看看里面是否写有此站地址是多少~``如果有的话~OK,系统权限到手,默认配置的是SYSTEM.不过这个前提是~~8080那猪端口对应的服务是APACHE..ZEND,装这个猪东西,肯定装有PHP咯~~丢个PHP马到WEB目录~`看看支持不~如果支持,则可以去碰下运气,执行下命令net user zhu /add.如果你RP够好~`管理猪PHP配置不当的话就....可以加上个用户咯~` ~再看看windows目录下是否有my.ini~如果有~看一下~`里面有木有ROOT密码什么猪的~`运气好得到ROOT密码~`而MYSQL服务又是以SYSTEM运行~`那......

主机装有SERV-U ，程序菜单能找到路径，各个盘不允许访问，但是改SERV-U目录可条，无修改权限，里面不知道为什么，也许是先头有人进去过，有一个系统用户帐号，破解之，用FTP登陆发现可登陆，此主机不支持wscript.shell，FTP登陆进去加帐号，发现不可执行加帐号命令，也许net.exe被限制，自己上传了一个net.exe加帐号，因为没有回显，所以只能看到是命令成功，想恢复wscript.shell发现不可执行恢复命令，同样上传组件，命令提示成功，可是没有恢复成功，3389端口不知道，主要是因为没有回显，哪位高手可赐教，应该装有防火墙，扫端口不可行，不支持PHP

虚拟机，居然存在wscript.shell组件。。。佩服。
有serv-u丢个svu.exe过去看能不能加到个用户。。
如果不能找密码吧~找什么密码？当然是mssql的sa密码或者MYSQL密码咯。如1楼所说的
找不到？替换服务吧，应该服务器安装了些软件目录，如果能写文件就应该可以替换服务了。呵呵。觉得麻烦？
那放弃吧

最好的方法，也是最简单的方法，请尝试本地溢出，关于溢出程序的话，你的事，呵呵。。。

你这个清单我看得好眼熟阿！！！
不会是这个吧：210.74.232.*
hack520，我问你个问题哈！我现在看一个服务器，CMD不能用，自己传上去个（非WEB目录，在D盘TOOLS下，应该有执行exe权限的），却发现执行任何命令都没回显，后来用> 定向到一个txt文件了，txt文件倒是创建了，却无法打开阅读，提示“ 输入超出了文件尾”。这样情况怎么办？
服务器支持PHP，也有MYSQL，就是怎么也找不到My.ini文件

在wscript.shell上传CMD下面 md c:\QQ77424251.txt
这个文件夹等于授予了可写权限。

因为C盘根目录是没有权限的。你可以直接跳到c:\qq77424251.txt这个文件夹。这个自己建的文件夹完全有权限的。
然后建立一个自动播放， 目标为可以下标指定文件的VBS脚本。等管理员哪天在服务器打开C盘。就种了你的后门。后门放什么。你自个的心情。
----------------可以结贴了。
    我就是水晶。

引用:

引用第10楼jjzj8于2007-10-25 09:38发表的 :
在wscript.shell上传CMD下面 md c:QQ77424251.txt
这个文件夹等于授予了可写权限。

因为C盘根目录是没有权限的。你可以直接跳到c:qq77424251.txt这个文件夹。这个自己建的文件夹完全有权限的。
然后建立一个自动播放， 目标为可以下标指定文件的VBS脚本。等管理员哪天在服务器打开C盘。就种了你的后门。后门放什么。你自个的心情。
.......

楼上的是在扯蛋么？结什么帖？你凭什么说建个c:\QQ77424251.txt就可以有写权限？C盘本身还是无法浏览的？

虚拟主机提权大多都很难搞,基本靠RP,看能不能翻到一些口令喽..或者尝试下NB的社工

偶也碰到很多 权限设置的极其变态 启动想多留意下 有的管理员疏忽了没设置权限 可以防鸽子 然后如果是有USER的权限 可以执行让服务器卡死的一批处理 我忘了 服务器卡死了后 后面的就继续ing。。咯

引用:

引用第1楼dingking于2007-10-11 22:13发表的 :
有[Zend]

看看可能支持PHP。去c:windows 目录下找找 my.ini 看能找到root密码不。

找到的话就有希望拿下服务器了。 MYSQL提权。

my.ini里面的MYSQL密码..

不会吧~`
这几天新网的和万网的弄了不少..

机子都是NT的.2000的..
现在2000的机子还有多少呀!
看上面的信息..
机子上2004年的文件..

几年了.没有换过系统..

真行~!

我也只是听说有的，也是从来也没找到过，不论2000还是2003系统，都是这样。

楼上门说的貌似 都没有用啊 我试了 最近看了一本老书 说什么有个 pl的脚本后门 cmdshell.pl 可是不知道哪有

PHP马我怎么用不了CMD阿，改了路径也没反应。我现在弄的那个跟楼主差不多。试了ASP和ASPX马，CMD可以上传后用，就PHP不行

引用:

引用第18楼scloo于2007-11-04 23:05发表的 :


本来已经应该结帖子了,

但心有疑难需解
.......

那就更奇怪了，安装目录里倒是有哪个my.ini文件，可惜就是没有密码。我那个是MYSQL5.0