Hzktester`s Blog
0%

中间件降权，宝塔偷梁换柱提权

发表于 更新于 分类于 阅读次数：
本文字数： 700 阅读时长 ≈ 1 分钟

windwos用户/用户组

net user：用户操作

以下以操作用户名test为例

  • net user test 密码 /add：添加用户
  • net user test 密码：修改用户名密码
  • net user test：查看test用户详情
  • net user test /active:yes：激活test用户
  • net user test /active:no：禁用test用户

net localgroup：用户组操作

  • net localgroup Administrators：查询Administrators用户组成员
  • net localgroup Administrators test /add：添加test到Administrators用户组
  • net localgroup Administrators test /del：从Administrators用户组删除test

默认可写目录

  • windows：C:/Windows/Temp
  • linux：/tmp

宝塔中间件降权

Apache使用www用户运行

image.png

Mysql使用mysql用户运行

image.png

getshell之后登录宝塔

前提条件

需要管理员权限
image.png

查看宝塔面板登录入口

默认存储位置：C:/BtSoft/panel/data/admin_path.pl
image.png
image.png

下载查看宝塔数据库文件

默认位置：C:/BtSoft/panel/data
image.png
找到users表的值。密码采用了MD5加密
image.png
这里我用123456的MD5密文：
image.png
修改后，注意将新建的用户id改为1：
image.png
使用大马覆盖掉原本的default.db文件
image.png
使用test，123456登录成功
image.png
image.png
之后把default.db文件改回原来的重新覆盖即可

getshell之后寻找mysql密码

安装dedecms

image.png
利用大马找到密码：
image.png