SeImpersonatePrivileget模拟提权

利用

获取asp/aspx webshell之后可以尝试模拟提权，使用PrintSpoofer 或者土豆家族提权，原理大致为：拥有SeImpersonatePrivileget、强制system连接当前管道(可利用强制身份验证的接口/函数)、模拟system令牌

printspoofer -i -c whoami

webshell可执行目录

我这里方便测试给test目录加了权限，实际中上传了文件时不能执行文件的，以下是一些可能可以执行文件的目录

C:\windows\system32\spool\PRINTERS\
C:\WINDOWS\IIS Temporary Compressed Files\
C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\Temporary ASP.NET Files
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files
C:\Documents and Settings\NetworkService\Local Settings\Temp
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files
C:\Windows\system32\inetsrv\data\
C:\Windows\temp

C:\Documents and Settings\All Users\Application Data\Microsoft\Media Index\
C:\php\PEAR\
C:\Program Files\Zend\ZendOptimizer-3.3.0\
C:\Program Files\Common Files\
C:\7i24.com\iissafe\log\
C:\WINDOWS\7i24.com\FreeHost
C:\RECYCLER
C:\windows\temp\
C:\Program Files\Microsoft SQL Server\90\Shared\ErrorDumps\
E:\recycler\
F:\recycler\
C:\Program Files\Symantec AntiVirus\SAVRT\
C:\php\dev
C:\~1
C:\System Volume Information
C:\Program Files\Zend\ZendOptimizer-3.3.0\docs
C:\Documents and Settings\All Users\DRM\
C:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection
C:\Documents and Settings\All Users\Application Data\360safe\softmgr\
C:\documents and settings\all users\application data\symantec\liveupdate\
C:\HostMonitor\
C:\program files\ggsafe\temp\
C:\Program Files\freeime\skin\blueness
C:\Documents and Settings\All Users\Application Data\Thunder Network\KanKan\Cookie\

来自当你的webshell可传文件，没法执行，或者找不到网马的可写目录时，找以下可写目录可执行目录 | Jarett's Blog (nigesb.com)

浅析

为什么能模拟？

目前有四个模拟级别：

模拟级别	说明
SecurityAnonymous	服务器无法模拟或标识客户端。
SecurityIdentification	服务器可以获取客户端的标识和特权，但无法模拟客户端。
SecurityImpersonation	服务器可以模拟本地系统上客户端的安全上下文。
SecurityDelegation	服务器可以在远程系统上模拟客户端的安全上下文。

SecurityImpersonation 级别是命名管道、RPC 和 DDE 服务器的默认级别

为什么有这个特权？

一般服务都有这个特权，以此来确定客户端是否有权限执行一些操作例如删除服务器文件请求

从利用的工具来看最上面的父进程是system完整性级别，到w3wp.exe也是high级别，这个级别是不会删除SeImpersonatePrivileget特权，只有中级及中级以下的完整性级别才会被UAC删除该特权