[讨论]一个疑似数网分离的站点 但很奇异 老鸟请进
[讨论]一个疑似数网分离的站点 但很奇异 老鸟请进议题作者：zedge
信息来源：邪恶八进制信息安全团队
一台台湾的肉鸡，顺利获得webshell后，想用mssql的sa用户提权。sa密码找到了，添加administrators组用户后，发现无法使用。直接把ASPNET添加admin组，但我的aspx依然是受限的。开始怀疑是数据库与web服务分离，于是寻找信息如下：
netstat -an信息（在aspx的webshell的cmd中执行与mssql的xp_cmdshell中执行结果完全相同）：
Proto Local Address Foreign Address State
TCP 0.0.0.0:21 0.0.0.0:0 LISTENING
TCP 0.0.0.0:42 0.0.0.0:0 LISTENING
TCP 0.0.0.0:53 0.0.0.0:0 LISTENING
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING
TCP 0.0.0.0:88 0.0.0.0:0 LISTENING
TCP 0.0.0.0:387 0.0.0.0:0 LISTENING
TCP 0.0.0.0:389 0.0.0.0:0 LISTENING
TCP 0.0.0.0:464 0.0.0.0:0 LISTENING
TCP 0.0.0.0:593 0.0.0.0:0 LISTENING
TCP 0.0.0.0:636 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1433 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2289 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2967 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3268 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3269 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3388 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3778 0.0.0.0:0 LISTENING
TCP 0.0.0.0:6004 0.0.0.0:0 LISTENING
TCP 0.0.0.0:8080 0.0.0.0:0 LISTENING
TCP 0.0.0.0:8081 0.0.0.0:0 LISTENING
TCP 0.0.0.0:12174 0.0.0.0:0 LISTENING
TCP 0.0.0.0:34571 0.0.0.0:0 LISTENING
TCP 0.0.0.0:34572 0.0.0.0:0 LISTENING
TCP 0.0.0.0:38292 0.0.0.0:0 LISTENING
TCP 127.0.0.1:389 127.0.0.1:1035 ESTABLISHED
TCP 127.0.0.1:389 127.0.0.1:1036 ESTABLISHED
TCP 127.0.0.1:389 127.0.0.1:1037 ESTABLISHED
TCP 127.0.0.1:389 127.0.0.1:23571 ESTABLISHED
TCP 127.0.0.1:1035 127.0.0.1:389 ESTABLISHED
TCP 127.0.0.1:1036 127.0.0.1:389 ESTABLISHED
TCP 127.0.0.1:1037 127.0.0.1:389 ESTABLISHED
TCP 127.0.0.1:1038 127.0.0.1:1039 ESTABLISHED
TCP 127.0.0.1:1039 127.0.0.1:1038 ESTABLISHED
TCP 127.0.0.1:1058 0.0.0.0:0 LISTENING
TCP 127.0.0.1:1434 0.0.0.0:0 LISTENING
TCP 127.0.0.1:23571 127.0.0.1:389 ESTABLISHED
TCP 127.0.0.1:42424 0.0.0.0:0 LISTENING
TCP 127.0.0.1:43958 0.0.0.0:0 LISTENING
TCP 192.168.0.100:80 203.169.178.72:62704 ESTABLISHED
TCP 192.168.0.100:139 0.0.0.0:0 LISTENING
TCP 192.168.0.100:389 192.168.0.100:26443 TIME_WAIT
TCP 192.168.0.100:26440 204.2.128.153:80 ESTABLISHED
TCP 192.168.0.100:26441 65.55.13.126:80 ESTABLISHED
TCP 192.168.0.100:26442 65.55.13.126:443 ESTABLISHED
TCP 192.168.0.100:26443 192.168.0.100:389 TIME_WAIT
TCP 192.168.0.100:26444 192.168.0.100:389 TIME_WAIT
UDP 0.0.0.0:42 *:*
UDP 0.0.0.0:500 *:*
UDP 0.0.0.0:1029 *:*
UDP 0.0.0.0:1031 *:*
UDP 0.0.0.0:1040 *:*
UDP 0.0.0.0:1052 *:*
UDP 0.0.0.0:1434 *:*
UDP 0.0.0.0:4500 *:*
UDP 0.0.0.0:38037 *:*
UDP 0.0.0.0:38293 *:*
UDP 127.0.0.1:53 *:*
UDP 127.0.0.1:123 *:*
UDP 127.0.0.1:1030 *:*
UDP 127.0.0.1:1032 *:*
UDP 127.0.0.1:1034 *:*
UDP 127.0.0.1:1077 *:*
UDP 127.0.0.1:1083 *:*
UDP 127.0.0.1:1088 *:*
UDP 127.0.0.1:1115 *:*
UDP 127.0.0.1:1150 *:*
UDP 127.0.0.1:1265 *:*
UDP 127.0.0.1:10480 *:*
UDP 192.168.0.100:53 *:*
UDP 192.168.0.100:88 *:*
UDP 192.168.0.100:123 *:*
UDP 192.168.0.100:137 *:*
UDP 192.168.0.100:138 *:*
UDP 192.168.0.100:389 *:*
UDP 192.168.0.100:464 *:*
--------------------------------疑惑的分割线-------------------------
ipconfig(执行结果在两边也是完全相同):
Ethernet adapter 伺服器區域連線:
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 192.168.0.100
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.0.1
-----------------------------颤陡的分割线-----------------
dir c:\(结果也是完全相同，时间、文件夹.....完全相同，这里就不贴了)
-------------------糊涂的分割线------------------
net user(列系统用户，这里两边不同了，下面前者是在webshell的cmd中直接执行的，后者是在xp_cmdshell中执行的，有些不同哦！)：
\\SERVER 的使用者帳戶
-------------------------------------------------------------------------------
Administrator Administrator Tmpl Guest
IUSR_DRFAULT-UHP4RET IWAM_DRFAULT-UHP4RET krbtgt
Power User Tmpl SBS Backup User SBS STS Worker
SUPPORT_388945a0 twuser
命令執行成功。
\\ 的使用者帳戶
-------------------------------------------------------------------------------
2B6102BA-808C-4B68-9 Administrator Administrator Tmpl
ASPNET Guest IIS_Admin
IUSR_DRFAULT-UHP4RET IWAM_DRFAULT-UHP4RET krbtgt
Mobile User Tmpl Power User Tmpl SBS Backup User
SBS STS Worker SUPPORT_388945a0 twuser
User Tmpl
出现一个或多个错误.
-------
不同之处有：
1.\\后一个webshell/cmd有计算机名，而xp_cmdshell没有
2.webshell/cmd中用户数少于xp_cmdshell中的
3.webshell/cmd最后提示成功执行命令，而xp_cmdshell最后提示出现一个或多个错误.
我的猜想：这是台老肉鸡，有老黑手把系统注册表改了，导致xp_cmdshell提权失败...？？！！
帖子5 精华[url=http://forum.eviloctal.com/digest.php?authorid=133661]0[/url] 积分9 阅读权限40 性别男 在线时间17 小时 注册时间2007-8-1 最后登录2008-4-9 [url=http://forum.eviloctal.com/space.php?action=viewpro&uid=133661]查看详细资料[/url][url=http://forum.eviloctal.com/post.php?action=reply&fid=9&tid=32450&repquote=139742&extra=page%3D7&page=1]引用[/url] [url=http://forum.eviloctal.com/misc.php?action=report&fid=9&tid=32450&pid=139742&page=1]报告[/url] [url=http://forum.eviloctal.com/###]回复[/url] TOP [url=http://www.google.cn/search?q=风水&client=pub-0204114945524753&forid=1&prog=aff&ie=UTF-8&oe=UTF-8&cof=GALT%3A#008000;GL%3A1;DIV%3A336699;VLC%3A663399;AH%3Acenter;BGC%3AFFFFFF;LBGC%3A336699;ALC%3A0000FF;LC%3A0000FF;T%3A000000;GFNT%3A0000FF;GIMP%3A0000FF;FORID%3A1&hl=zh-CN]良辰择日，预测咨询，公司改名，权威易经[/url]
[url=http://forum.eviloctal.com/space-uid-16052.html]remax[/url] [img]http://forum.eviloctal.com/images/avatars/noavatar.gif[/img]
晶莹剔透§烈日灼然 重启iis。
/*专业凑字*/20字节够写什么？
[url=http://wpa.qq.com/msgrd?V=1&Uin=37424654&Site=邪恶八进制信息安全团队技术讨论组&Menu=yes][img]http://forum.eviloctal.com/images/default/qq.gif[/img][/url]
帖子325 精华[url=http://forum.eviloctal.com/digest.php?authorid=16052]2[/url] 积分911 阅读权限50 在线时间79 小时 注册时间2005-10-25 最后登录2008-7-13 [url=http://www.remaxz.cn]查看个人网站[/url]
[url=http://forum.eviloctal.com/space.php?action=viewpro&uid=16052]查看详细资料[/url][url=http://forum.eviloctal.com/post.php?action=reply&fid=9&tid=32450&repquote=140057&extra=page%3D7&page=1]引用[/url] [url=http://forum.eviloctal.com/misc.php?action=report&fid=9&tid=32450&pid=140057&page=1]报告[/url] [url=http://forum.eviloctal.com/###]回复[/url] TOP [url=http://www.google.cn/search?q=鲜花预定&client=pub-0204114945524753&forid=1&prog=aff&ie=UTF-8&oe=UTF-8&cof=GALT%3A#008000;GL%3A1;DIV%3A336699;VLC%3A663399;AH%3Acenter;BGC%3AFFFFFF;LBGC%3A336699;ALC%3A0000FF;LC%3A0000FF;T%3A000000;GFNT%3A0000FF;GIMP%3A0000FF;FORID%3A1&hl=zh-CN]爱要怎么说出口[/url]
[url=http://forum.eviloctal.com/space-uid-46286.html]hushui[/url] [img]http://forum.eviloctal.com/images/avatars/pw/sky1.gif[/img]
晶莹剔透§烈日灼然
页:
[1]