WooYun.org

相关案例：

通用的sa密码：
      58.221.185.221 用户sa 密码：sqlpwd
      218.91.211.2   用户sa 密码：sqlpwd
      218.91.211.3   用户sa 密码：sqlpwd
      通用的web程序：
      http://58.221.185.221:88/
      http://218.91.211.3:88/
      http://218.91.211.2:88/

开始记录全部过程吧，获得通用的sa密码，然后想进一步的谅解。
无意发现了这个枚sa密码，

于是想提权，比较渗透测试中，要为用户列举到最大危害程度，和修复方案。
通过常用的命令收集信息。

发现web端口为88，远程终端为9001

sa降权了，不过还是有guest的权限，果断来写shell吧。

提权步骤就不详细说明了，因为这用了很多时间，服务器补丁和限制很多、
开始一提权服务器就挂掉。

好吧，我想说我是无奈，等到服务器重启以后，换了一个exp果断的提权下了服务器。

提权到服务器，于是果断进入服务器看源码，挖掘下源码中有撒权限的。
文件：/charger/upinc/upload_flash.asp（3~6行）

uppath=request("uppath")&"/"			
filelx=request("filelx")				
formName=request("formName")			
EditName=request("EditName")

很明显这里的uppath是自己定义的&"/" 后面的”/”是把文件上传的跟目录的意思

完全没有对uppath进行任何处理，然后我们再来看upfile_flash.asp文件，代码我就不贴出来了。

很明显只是对filelx进行了判断，白名单后缀~对于IIS漏洞来说结合利用的话，过来没有很合作用啊。
然后下面案例复现上传漏洞：

直接上传一句话木马啊，嘎嘎~
Getshell就这么出来啦，嘎嘎~

案例二：

通过上面，不怎么清晰的讲解中，获得了通用的sa弱口令，上传漏洞。