渗透提权：从一条webshell到域管的渗透提权三小时

凌晨两点，甲方发来一条webshell路径，渗透提权说内网某台测试机被日了，渗透提权让我过去看看能不能提权。渗透提权我盯着那个冰蝎的渗透提权加密流量，心里清楚，渗透提权真正的渗透提权麻烦才刚刚开始。拿到shell只是渗透提权敲门，提权才是渗透提权翻墙——翻不过去，前面全是渗透提权白干。

第一次探测就碰壁。渗透提权服务器是渗透提权Windows Server 2016，补丁打得比我想象的渗透提权勤。systeminfo一拉，渗透提权MS17-010、渗透提权CVE-2020-1472全被堵死。我试着传个土豆家族，JuicyPotato跑起来直接报“存储控制块地址无效”，一看进程权限，连SeImpersonatePrivilege都没给。这台机器把服务账号的权限收得很紧，管理员显然懂点安全。

我换了条路，去看IIS的应用程序池。很多管理员有个毛病——池子跑得爽，权限给得宽。点开applicationHost.config，果然，DefaultAppPool的processModel里identity写的是LocalSystem。这不是给我递刀吗？我往web目录扔了个aspx的cmd马，以池子身份执行，whoami一敲，nt authority\system。三分钟，从普通user到system，没打任何补丁，没碰任何漏洞，纯粹是配置失误。

但system不是终点。内网里有域，域控是DC01，我的目标是把这台机器变成域管手里的跳板。system权限能读本机SAM，但域管账号的hash不在这台机器上。我抓了内存里的lsass，运气不错，有个域用户“zhang.wei”的明文密码，密码是“Spring@2024”。这哥们儿八成是运维，密码敢这么起，说明域里密码策略形同虚设。我用这个账号跑了一圈BloodHound，发现他对域管组有GenericAll权限——具体路径是：zhang.wei → 某个GPO的编辑权限 → 域管组被这个GPO影响。绕了一圈，其实就是一个错误的委派。

我直接改那个GPO，把域管的本地管理员密码重置成我自己的。等GPO刷新，我用新密码登录DC01，拿到域管shell。前后算下来，从webshell到域控，一共三小时十七分钟。中间没有一次真正的“提权漏洞利用”，全是配置审计和权限滥用。

事后我给甲方写报告，标题就一句话：“你们不是缺补丁，是缺心眼儿”。IIS池跑LocalSystem、域委派乱给GPO权限、密码复杂度形同虚设——这三样随便哪个堵上，我都得在webshell那儿卡一晚上。提权这事儿，很多时候不是比谁0day多，是比谁先找到那扇没锁的门。你锁了正门，窗户开着，一样白搭。