本书主要讨论目前常见的漏洞利用与提权技术，分别从攻击和防御的角度介绍渗透过程中相对*难，同时又是渗透*境界的部分如何获取服务器乃至整个网络的权限。本书共分9章，由浅入深，按照读者容易理解的方式对内容进行分类，每一节介绍一个典型应用，同时结合案例进行讲解，并给出一些经典的总结。本书的目的是介绍漏洞利用与提权技术，结合一些案例来探讨网络安全，从而远离黑客的威胁。通过本书的学习，读者可以快速了解和掌握主流的漏洞利用与提权技术，加固自己的服务器。

营造在案例中学习漏洞利用与提权技术的实战环境，涵盖Windows及Linux的漏洞利用与安全防范，以及MSSQL、MySQL、Oracle、Metasploit和Serv-U、Winmail、Radmin、pcAnywhere、JBoss、Struts、JspRun、Gene6 FTP Server、Tomcat、Citrix、VNC、ElasticSearch、Zabbix等的漏洞利用与提权，每一节介绍一个典型应用，为网络攻防打下坚实基础。

推荐序
在安全行业从业这么多年，回过头来发现，和小兵居然相识10年了。作为10年前就对网络安全有浓厚兴趣，在安全圈子里扎根、生长的技术人，小兵的自学能力和分享精神都是我所佩服的。
我一直认为，安全人才没有办法定向培养，只能依赖天赋，而我们要做的就是发掘和激发少部分人的天赋，最好的办法则是通过活生生的案例引发兴趣，让兴趣成为最好的导师。这本书也和小兵的为人一样实在，有大量干货、新货，能帮助刚对安全产生兴趣却不知道从哪里入手的读者快速入门、上手，通过本书捅破那层窗户纸，找到自己感兴趣的新领域。阅读本书，你将在网络安全的路上走得更快、更远！
360网络攻防实验室负责人
陆羽（林伟）

在经典的渗透测试过程中，有很多行之有效的漏洞利用及相关场景下的提权思路，这本书对这些内容做了全面的介绍。这本书不仅覆盖攻击，还详细讲解了相应的防御方法，内容皆来自一线实战，值得参考。
《Web前端黑客技术揭秘》作者
余弦

Shadow Brokers发布NSA武器库在网络世界所造成的影响，让我们感受到了渗透之下，漏洞利用工具为王的可怕。当漏洞利用工具并不完备时，网络渗透测试就无法有效地进行了吗？显然不是这样的。渗透的精髓在于组合与细节利用，在一万种网络系统环境中有一万种渗透思路和方法。这种极具创造性的入侵行为体现了渗透测试人员的能力与水平，经验老道的安全人员总有自己独特的奇淫技巧，这些技巧就像弹药一样，根据渗透目标的不同有的放矢，以最终获得目标高权限为结果的过程是有趣的且具有艺术性的。我想，这就是渗透测试的魅力所在。当一个安全人员通过别人从未尝试过的组合拳最终渗透了目标时，他所收获的成就感是无与伦比的。每个安全人员都对拥有大师级的网络渗透技术梦寐以求，而获得此水平的前提就在于基础一定要扎实，如果现在有一万种渗透技巧存在，那就将它们融会贯通，唯有消化和吸收了所有已知的渗透技巧，才能进一步缔造崭新的攻防手法。
本书是一本渗透技巧极其丰富的工具书，涵盖了渗透测试中绝大部分环境下的攻防利用之道，是初学者打基础、高手查缺补漏的绝佳教材。
360独角兽安全团队创始人
杨卿


前言
2017年5月15日爆发的WannaCry勒索病毒，中毒者欲哭无泪，全球损失惨重！通过此次事件，人们发现，网络安全不再遥远。以前提到网络安全黑客等字眼，人们大都会认为那是传说和传奇，一般都是一笑而过。而今，随着互联网攻防技术的发展，谁还能说自己在信息世界里可以独善其身？2016年雅虎泄露10亿条个人账号信息，国内被公开泄露的个人隐私数据甚至高达几十亿条。截至2017年年底，由于网络电信诈骗等导致的个人及公司损失超过100亿元。在科技飞速发展的今天，如果我们能掌握一些安全知识、提高自己的安全意识，就极有可能避免个人财产损失。
在2016年出版《黑客攻防：实战加密与解密》后，我们的团队经过一年多的努力，将全部研究成果分享给广大读者朋友。在本书中，我们从更加专业、更加体系化的角度来讨论和研究网络安全，对关键技术进行详细的研究、再现和总结，同时介绍了一些典型案例，让读者身临其境，充分了解和掌握漏洞利用与提权的精髓！
2017年6月1日，《中华人民共和国网络安全法》正式实施，国家对网络安全的重视程度前所未有，很多高校都新增或者加强了网络安全专业建设，将信息安全提升到一级学科，提升到国家战略层面！没有网络空间的安全，就没有国家的安全！
本书内容
本书主要讨论目前常见的漏洞利用和提权技术，从攻击与防御的角度介绍渗透过程中相对最难，同时又是渗透最高境界的部分如何获取服务器乃至整个网络的权限。本书共分9章，由浅入深，按照读者容易理解的方式对内容进行分类，每一节介绍一个典型应用，同时结合案例进行讲解，并给出一些经典的总结。
第1章 提权基础
提权是整个黑客攻防过程中最难的环节，提权过程则汇聚了思路、技巧、工具和技术。本章着重介绍提权的基础知识，包括如何进行提权，如何破解Windows及Linux密码，一些后门工具的使用，如何实现对提权工具的免杀，以及端口转发和代理工具的使用。
第2章 Windows漏洞利用与提权
Windows是目前使用最为广泛的操作系统之一。从2000年开始，计算机操作系统飞速发展，从Windows 95到Windows Server 2017，人们感受到了互联网技术的跌宕起伏。在操作系统层面，曾经多次爆发高危漏洞，攻击者可以远程直接获取目标服务器的权限。在渗透过程中，很多人认为提权是最难攻克的，其实不然，只要掌握了相关的知识点，在各种技术的配合下，99%都可以提权成功。本章着重介绍Windows提权的基础知识、Windows提权技巧、常用的口令扫描方法及一些新颖的提权方法和思路。
第3章 Linux漏洞利用与提权
在网络渗透过程中，经常碰到通过CMS等漏洞获取了服务器的WebShell，但因为Linux服务器设置了严格的权限而较难获取root账号权限的情况。在本章中讨论了Linux密码的获取与破解，以及利用一些Linux漏洞来提权的方法和技巧。本章原来的设想是对Linux中存在的各种本地提权漏洞进行介绍和利用，但在实际测试过程中，未能达到大众化利用的程度，因此将在后续的图书中陆续介绍这些方法。本章将着重介绍如何对Linux密码进行破解，以及如何通过各种漏洞来渗透并提权Linux服务器。
第4章 MSSQL漏洞利用与提权
MSSQL数据库是微软开发的目前世界上最为流行的数据库软件之一，它只能运行在Windows平台上，最常见的架构为ASP MSSQL和ASP.NET MSSQL。在Windows Server 2008以下版本中，只要获取了sa账号及其密码，就可以快速、方便地通过一些技巧获取系统权限。在Windows Server 2008以上版本中，虽然不能直接获取系统权限，但可以通过恢复存储过程等方式执行命令，通过系统中存在的提权漏洞进行提权。本章着重介绍SQL Server提权的基础知识，以及Windows下SQL Server的提权方法，同时通过一些案例介绍了如何利用sa账号来提权。
第5章 MySQL漏洞利用与提权
MySQL数据库是目前世界上最为流行的数据库软件之一，很多流行的架构都会用到MySQL，例如LAMPP（Linux Apache MySQL PHP Perl）架构。目前很多流行的CMS系统使用MySQL PHP架构，MySQL主要在Windows和Linux操作系统中安装使用。因此，在获取了root账号的情况下，攻击者通过一些工具软件和技巧极有可能获取系统的最高权限。本章着重介绍MySQL提权的基础知识，以及Windows下MySQL的提权方法，同时通过一些案例介绍了如何利用MySQL来提权。
第6章 Oracle漏洞利用与提权
Oracle是一款大型的数据库系统，市场占有率很高，在数据库领域有极其重要的地位。作为世界上第一个支持SQL语言的关系型数据库，Oracle提供了丰富的包和存储过程，支持Java和创建library等特性，拥有丰富的系统表，几乎所有的信息都存储在系统表里，包括当前数据库运行的状态、用户的信息、数据库的信息、用户所能访问的数据库和表的信息等，在提供强大功能的同时，也带来了众多隐患。从第一代Oracle产品发布起，互联网上就不断有Oracle数据库的安全漏洞被公开。虽然Oracle一直在努力弥补这些缺陷，例如定期发布更新补丁去修复已发现的安全漏洞，但是随着Oracle数据库版本的更新，新的漏洞层出不穷。此外，由于数据库管理员安全意识较弱或未进行全面、有效的安全策略配置，导致数据库存在被攻击的安全风险。对Oracle的攻击主要包括弱口令或默认口令的猜解、SQL注入、权限配置不当、拒绝服务攻击等。本章针对Oracle数据库漏洞介绍了常见的提权方法及相应的防御手段。
第7章 Metasploit漏洞利用与提权
在Metasploit下所说的提权，通常是指在已经获得MSF的Meterpreter Shell后采取的各种提升权限的方法。通常，在渗透过程中很有可能只获得了一个系统的Guest或User权限的Meterpreter Shell，如果在网络环境中仅获得受限用户权限，那么在实施横向渗透或者提权攻击时将很困难。在主机上，如果没有管理员权限，就无法进行获取Hash值、安装软件、修改防火墙规则和修改注册表等操作，所以，必须将访问权限从Guset提升到User，再到Administrator，最后到System级别。可以说，渗透的目的是获取服务器的最高权限，即Windows操作系统中管理员账号的权限或Linux操作系统中root账户的权限。
第8章 其他应用程序漏洞利用与提权
在本章主要介绍一些应用程序的提权，包括Serv-U、Winmail、Radmin、pcAnywhere、JBoss、Struts、JspRun、Gene6 FTP Server、Tomcat、Citrix、VNC、ElasticSearch、Zabbix等。
第9章 Windows及Linux安全防范
本章就一些常见的系统漏洞和弱点进行分析。真正的安全防范是一个持续的改进和完善过程，我们需要随时关注0day及安全漏洞。在网络攻防过程中，安全防范非常重要：攻击方需要隐藏自己的IP地址、消除痕迹、防止被发现；而防守方则关注如何加固，如何使自己的系统更安全，牢不可破是终极目标。在武侠小说中经常提及一个理念：最好的防御就是攻击。通过攻击自身系统发现漏洞，对漏洞进行分析、修补和加固，也就有了日常听到的安全公司进行某项目的安全评估。
虽然本书内容已经比较丰富和完整了，但仍然无法涵盖所有的漏洞利用与提权技术。通过本书的学习，读者可以快速了解和掌握主流的漏洞利用与提权渗透技术，加固自己的服务器。本书的目的是介绍漏洞利用与提权技术，结合一些案例来

陈小兵，高级工程师，目前在某政府部门任职。从事网络安全工作15年，拥有丰富的网络安全管理、维护和渗透经验，已出版《SQL Server 2000培训教程》、《黑客攻防实战案例解析》、《Web渗透技术及实战案例解析》及《安全之路-Web渗透技术及实战案例解析》专著，在《黑客防线》、《黑客手册》、《网管员世界》、51cto、Freebuf以及IT168等杂志和媒体发表文章100余篇，在国内外刊物发表学术论文10余篇，其中核心期刊2篇。

第1章 提权基础1
1.1 提权概述1
1.1.1 提权简介1
1.1.2 提权条件2
1.1.3 提权准备工作2
1.1.4 实施提权4
1.2 Windows账号和密码的获取与破解6
1.2.1 使用GetHashes获取Windows系统密码Hash值6
1.2.2 使用gsecdump获取Windows系统密码7
1.2.3 使用PwDump获取域控密码9
1.2.4 使用PwDump获取系统账号和密码11
1.2.5 使用SAMInside获取及破解Windows系统密码12
1.2.6 使用oclHashcat破解Windows系统账号密码13
1.2.7 使用L0phtCrack破解Windows及Linux密码16
1.2.8 使用Ophcrack破解系统Hash密码20
1.3 使用John the Ripper破解Linux密码25
1.3.1 准备工作25
1.3.2 John的4种破解模式26
1.3.3 使用John破解Linux密码26
1.3.4 查看破解结果28
1.4 Linux提权辅助工具Linux Exploit Suggester28
1.4.1 列出可能的漏洞28
1.4.2 下载可利用的脚本30
1.4.3 编译并执行30
1.4.4 总结与思考30
1.5 PHP WeBaCoo后门30
1.5.1 简介30
1.5.2 使用方法31
1.5.3 参数详解31
1.5.4 使用实例32
1.5.5 总结与思考33
1.6 对提权工具PR的免杀34
1.6.1 什么是PR34
1.6.2 如何对提权工具进行免杀34
1.6.3 加壳软件VMProtect Ultimate37
1.7 通过LCX端口转发实现内网突破39
1.7.1 确定被控制计算机的IP地址39
1.7.2 在被控制计算机上执行端口转发命令40
1.7.3 在本机上执行监听命令40
1.7.4 在本机上使用远程终端进行登录41
1.7.5 查看本地连接41
1.8 使用SocksCap进行内网突破42
1.8.1 安装并运行SocksCap42
1.8.2 设置SocksCap43
1.8.3 建立应用程序标识项43
1.8.4 运行命令行代理44
1.8.5 总结与思考44
1.9 Windows系统提权基础命令44
1.9.1 获取IP地址信息44
1.9.2 获取端口信息45
1.9.3 获取服务信息和进程信息45
1.9.4 进程结束命令46
1.9.5 用户管理命令47
1.9.6 开启3389端口48
第2章 Windows漏洞利用与提权49
2.1 Windows提权基础49
2.1.1 Windows提权信息的收集50
2.1.2 Windows提权准备52
2.1.3 使用MSF平台搜索可利用的POC53
2.1.4 实施提权54
2.1.5 相关资源54
2.1.6 Windows本地溢出漏洞及对应版本55
2.1.7 停用安全狗58
2.2 提权辅助工具Windows-Exploit-Suggester58
2.2.1 Windows-Exploit-Suggester简介58
2.2.2 使用Windows-Exploit-Suggester59
2.2.3 技巧与高级利用60
2.3 Windows低权限进程及服务提权65
2.3.1 AccessChk简介及使用65
2.3.2 获取低权限可操作服务的名称66
2.3.3 修改服务并获取系统权限68
2.4 Windows口令扫描及3389口令暴力破解70
2.4.1 口令扫描准备工作70
2.4.2 使用NTscan扫描口令71
2.4.3 使用Tscrack扫描3389口令75
2.4.4 使用Fast RDP Brute暴力破解3389口令79
2.5 使用WinlogonHack获取系统密码81
2.5.1 远程终端密码泄露分析81
2.5.2 WinlogonHack截取密码原理81
2.5.3 使用WinlogonHack获取密码实例82
2.5.4 攻击与防范方法探讨83
2.5.5 自动获取并发送密码到指定网站85
2.6 Windows Server 2003域控服务器密码获取86
2.6.1 域控服务器渗透思路87
2.6.2 内网域控服务器渗透常见命令87
2.6.3 域控服务器用户账号和密码获取实例88
2.7 MS05-039漏洞利用实战92
2.7.1 MS05-039漏洞简介92
2.7.2 实战MS05-039漏洞利用93
2.8 MS08-067远程溢出漏洞利用实战95
2.8.1 MS08-067漏洞描述95
2.8.2 实战MS08-067远程漏洞利用95
2.8.3 防范措施102
2.9 通过Pr提权渗透某高速服务器102
2.9.1 分析AWS扫描结果102
2.9.2 获取WebShell103
2.9.3 服务器信息收集与Pr提权104
2.10 以Public权限渗透某ASP.NET网站110
2.10.1 寻找漏洞并进行渗透测试110
2.10.2 寻找、测试和获取WebShell113
2.10.3 尝试提权116
2.10.4 使用lcx命令转发并登录远程桌面116
2.10.5 总结与思考118
2.11 Windows 7/2008服务器64位版本MS12-042漏洞提权118
2.11.1 MS12-042漏洞简介118
2.11.2 提权工具118
2.11.3 实战提权利用119
2.12 对某虚拟主机的一次SiteManager提权121
2.12.1 获取虚拟主机某站点的WebShell121
2.12.2 使用WebShell中的提权功能尝试提权122
2.12.3 查看可写目录122
2.12.4 渗透成功124
2.12.5 继续渗透内外网126
2.13 社工渗透并提权某服务器127
2.13.1 网站挂马的检测和清除127
2.13.2 入侵痕迹的搜索和整理129
2.13.3 利用社会工程学进行反渗透129
2.14 通过SQL注入漏洞渗透某服务器并直接提权132
2.14.1 对目标站点的分析和漏洞利用132
2.14.2 尝试提权获取管理员权限134
2.15 phpinfo函数信息泄露漏洞的利用与提权135
2.15.1 phpinfo函数简介135
2.15.2 phpinfo函数信息泄露漏洞135
2.15.3 通过phpinfo函数信息泄露漏洞渗透获取WebShell权限136
2.15.4 服务器提权138
2.15.5 总结与思考139
2.16 通过简单的漏洞渗透某公司内外部网络140
2.16.1 测试页面漏洞的检测140
2.16.2 测试页面漏洞的利用思路140
2.16.3 登录服务器并进行口令扫描142
2.16.4 获取域控密码142
2.16.5 测试页面漏洞的修复143
2.17 通过文件上传漏洞渗透某Windows 2012服务器并提权143
2.17.1 初步渗透143
2.17.2 获取WebShell145
2.17.3 使用WebShell进行提权并登录服务器146
2.17.4 总结与思考146
2.18 通过戴尔服务器远程访问管理卡获取服务器权限148
2.18.1 获取服务器远程访问管理卡的账号和密码148
2.18.2 加载ISO文件149
2.18.3 替换文件获取服务器权限150
第3章 Linux漏洞利用与提权151
3.1　使用fakesu记录root用户的密码151
3.1.1　使用kpr-fakesu.c记录root用户的密码151
3.1.2　运行键盘记录程序153
3.1.3　查看密码记录文件154
3.1.4　删除安装文件155
3.2　使用Hydra暴力破解Linux密码155
3.2.1　Hydra简介155
3.2.2　Hydra的安装与使用156
3.2.3　Hydra应用实例158
3.3　Linux操作系统root账号密码获取防范技术研究162
3.3.1　Linux密码原理162
3.3.2　Linux系统采用的加密算法163
3.3.3　获取Linux root密码方法研究164
3.3.4　Linux root账号密码防范技术167
3.4 通过Linux OpenSSH后门获取root密码167
3.4.1 OpenSSH简介167
3.4.2 准备工作168
3.4.3 设置SSH后门的登录密码及其密码记录位置169
3.4.4 安装并编译后门170
3.4.5 登录后门并查看记录的密码文件170
3.4.6 拓展密码记录方式171
3.4.7 OpenSSH后门的防范方法172
3.4.8 总结173
3.5　利用FCKeditor漏洞渗透某Linux服务器174
3.5.1　对已有WebShell进行分析和研究175
3.5.2　测试上传的WebShell177
3.5.3　分析与收集WebShell所在服务器的信息177
3.5.4　服务器提权179
3.6 chkrootkit 0.49本地提权漏洞利用与防范研究181
3.6.1 漏洞分析181
3.6.2 漏洞利用条件182
3.6.3 实际测试183
3.6.4 漏洞利用扩展183
3.6.5 漏洞利用与防范方法探讨184
3.7 从服务器信息泄露到Linux服务器权限获取185
3.7.1 服务器信息泄露的危害185
3.7.2 服务器信息泄露的获取185
3.7.3 服务器信息泄露的利用186
3.7.4 服务器信息泄露渗透实例186
3.8 通过WinSCP配置文件获取Linux服务器权限188
3.8.1 发现主站SQL注入漏洞并获取WebShell189
3.8.2 发现弱口令190
3.8.3 进入主站所在服务器及相关服务器191
3.8.4 总结193
3.9　通过网上信息获取某Linux服务器权限193
3.9.1　通过SSH账号和密码进行登录测试193
3.9.2　成功登录Linux服务器194
3.9.3　查看服务器文件及所有信息194
3.9.4　查看服务器所在IP地址下网站的域名情况195
3.9.5　尝试获取WebShell195
3.9.6　总结与思考195
3.10 渗透某Linux服务器并提权196
3.10.1 收集网站基本信息196
3.10.2 扫描端口开放情况197
3.10.3 漏洞扫描和测试197
3.10.4 服务器提权197
3.11　通过SQL注入获取某Linux服务器权限198
3.11.1 漏洞扫描与利用198
3.11.2 获取Linux账号和密码200
3.11.3　破解Linux账号200
3.11.4　获取Linux SSH账号权限201
3.11.5　总结与思考201
3.12 Struts 2远程代码执行漏洞s2-032及其提权利用202
3.12.1 Struts简介202
3.12.2 s2-032漏洞简介202
3.12.3 漏洞测试样例202
3.12.4 网上公开的检测地址204
3.12.5 网上公开的s2-032漏洞综合利用工具204
3.12.6 s2-032漏洞的利用及提权204
3.13 快速利用s02-45漏洞获取服务器权限206
3.13.1 CVE-2017-5638漏洞简介206
3.13.2 漏洞实际利用206
3.13.3 修改POC利用代码207
3.13.4 在Windows下快速实施渗透208
3.13.5 Linux下的快速渗透思路209
3.13.6 相关源代码210
3.13.7 利用s02-045漏洞快速渗透某服务器212
3.14 安全设置Linux操作系统的密码214
3.14.1 修改login.defs中的参数215
3.14.2 设置加密算法215
3.14.3 破解Linux密码215
第4章 MSSQL漏洞利用与提权217
4.1 SQL Server提权基础217
4.1.1 SQL Server简介217
4.1.2 sa口令的获取218
4.1.3 常见SQL Serve