記一次繞過安全狗和360提權案例
0x01 前言
最近遇到這樣一個場景：目標僅支持ASP腳本，而且還存在網站安全狗和360安全衛士，目前存在的兩個問題。
安全狗"禁止IIS執行程序"限制了命令執行；360"進程防護"攔截了執行木馬和提權、抓明文等；
這篇文章我們就來分享下在這種場景下的繞過思路，以及在測試中遇到的一些問題。
0x02 繞過安全狗命令執行限制
找一個能過安全狗的免殺ASP Webshell，我用的是幾年前做的一個ASP圖片馬，沒想到居然還能過。
中國蟻劍連接，編碼器選擇用insert_percent，否則可能會連接失敗。
連上后發現在虛擬終端中執行不了命令，提示：ActiveX 部件不能創建對象。
這是因為wscript.shell命令執行組件被卸載了，試了下shell.application組件，結果發現也不行。
在虛擬機裝了一個網站安全狗IIS版，并進行了一些測試，最后發現是安全狗【網站防護->行為防護->危險組件防護】給攔截了，默認規則就有wscript.shell、shell.application。
之前我們遇到這種只支持ASP腳本，WScript.Shell、Shell.Application組件被卸載而無法執行命令的都是直接放棄了，因為當時那會確實沒有更好的繞過方法。
現在可以用中國蟻劍As-Exploits執行自定義Payload來上線MSF，這種方式是加載到w3wp.exe內存中運行的，不依賴于Wscript.shell、Shell.Application。
這里不僅獲取到了目標主機會話，而且也解決了WScript.Shell、Shell.Application組件被卸載而無法執行命令的問題，通過shell命令就能執行系統命令了。
注：不過我們還是得注意下安全狗【網站防護->行為防護->禁止IIS執行程序】，這功能也會攔截命令和程序的執行，得通過網站安全狗中的內置白名單來繞過。
execute -Hc -i -f "c:\windows\system32\cmd.exe" -a "C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\csc.exe"
sysinfo看了下系統基本信息，可以看到目標系統為x64，而獲取的主機會話為x86，這是因為iis應用池設置啟用了32，所以我們在利用加載w3wp.exe內存上線時也必須用x86的Payload。
注：ASP/ASP.NET腳本木馬上線、冰蝎/哥斯拉/中國蟻劍/中國菜刀的shellcode加載和自定義代碼執行等上線方式都是直接加載到w3wp.exe內存中運行的，得根據iis應用池位數選擇對應Payload。
0x03 繞過360執行木馬/提權等
ms16_075_reflection、ms16_075_reflection_juicy模塊提權時發現報錯了，這是因為當前會話與目標主機位數不一樣，需要先將當前x86會話遷移至x64進程。
看了下進程列表中只有一個x86的w3wp.exe，沒有其他可用于遷移的x64進程，不過有看見MSSQL數據庫相關進程，所以我們可以通過執行sqlps.exe得到一個可遷移的x64進程。
x86：C:\Windows\Microsoft.NET\Framework\v4.0.30319\vbc.exex64：C:\Program Files (x86)\Microsoft SQL Server\100\Tools\Binn\SQLPS.exe
cd切換到sqlps.exe文件所在目錄，ls -S查看sqlps.exe文件是否存在，然后再用execute執行sqlps.exe即可得到一個可遷移的x64進程，注意得加網站安全狗內置白名單文件執行。
meterpreter > cd "C:\\Program Files (x86)\\Microsoft SQL Server\\100\\Tools\\Binn\\"meterpreter > ls -S "sqlps"meterpreter > execute -Hc -f "sqlps.exe" -a "C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\csc.exe"meterpreter > ps -c
migrate遷移至剛執行的sqlps.exe進程，接著我們再利用ms16_075_reflection、ms16_075_reflection_juicy模塊都能直接獲取到目標主機System權限，而且也不會再報錯了。
當我們執行進程遷移跳出IIS的w3wp.exe進程后就已經完全繞過了安全狗"禁止IIS執行程序"限制命令執行，這時可以直接通過執行shell命令進入執行系統命令了。
0x04 注意事項
為什么我不在繞過安全狗命令執行后直接在命令行下進行提權？因為目標主機還存在360，大概率還會攔截我們執行提權EXP和木馬上線等行為，即使是免殺的也會被攔，實戰中自己去測試一下
