前幾日群友提供一目標站點請求滲透測試。本文記錄完整攻擊鏈，僅供安全研究與防禦參考。

一、資產偵察與防火牆識別

ping www.111.com 超時，疑似部署防火牆或禁 ping 策略。使用 SuperScan 進行全端口掃描，發現多個異常開放端口，特徵符合軟件防火牆（而非硬件防火牆）行為模式。

二、SQL 注入與 Webshell 植入

通過源代碼關鍵字 asp 定位注入點，利用 NBSI 工具確認為 SA 權限注入。成功添加數據庫用戶後，上傳「老兵」ASP 大馬建立持久化訪問通道。習慣上會優先植入 Webshell 再提權，此法在實戰中靈活性極高。

三、提權至 SYSTEM 權限

檢查 IIS 特權組件：

cscript C:\Inetpub\AdminScripts\adsutil.vbs get /W3SVC/InProcessIsapiApps

返回列表包含 idq.dll、httpext.dll、httpodbc.dll、ssinc.dll、msw3prt.dll。將 asp.dll 加入該列表：

cscript C:\Inetpub\AdminScripts\adsutil.vbs set /W3SVC/InProcessIsapiApps "C:\WINNT\system32\idq.dll" "C:\WINNT\system32\inetsrv\httpext.dll" "C:\WINNT\system32\inetsrv\httpodbc.dll" "C:\WINNT\system32\inetsrv\ssinc.dll" "C:\WINNT\system32\msw3prt.dll" "c:\winnt\system32\inetsrv\asp.dll"

隨後利用 ASP 木馬添加系統用戶，命令執行成功，確認已獲 SYSTEM 權限。

四、繞過防火牆建立遠程桌面連接

net start 顯示 Terminal Service 已啟動，但 3389 端口未見於監聽列表，疑為端口修改。netstat -an 確認 3389 實際監聽中，判斷防火牆過濾了掃描流量。上傳特征碼修改過的 20CN 反彈木馬，在 GUI 下關閉防火牆，直接使用 3389 客戶端登錄。補充說明：若防火牆不可關閉，可嘗試 fpipe 端口轉發、httptunnel 或 despoxy（HTTP 代理 TCP 隧道）等隧道技術繞過限制。

五、持久化與痕跡清理

1. 重命名 FSO 組件，保留 SYSTEM 權限 Webshell 供後續使用
2. 部署少量 Rootkit 及罕見後門，避免過多後門增加被發現風險
3. 原則上不濫用後門，保持環境乾淨

六、內網偵察與價值評估

通過 ARP 嗅探發現無內網存活主機；外網段雖 IP 眾多，但 webdavscan 掃描僅發現 2-3 個微型站點，目標價值有限，測試結束。

總結與防禦啟示

本案例展示了「偵察→注入→提權→繞過防火牆→持久化→內網偵察」的經典滲透路徑。防禦重點建議：

• 嚴格限制數據庫賬號權限，禁用 SA 等高權限賬號對外服務
• Web 應用層面實施參數化查詢、WAF 防禦與定期代碼審計
• 系統層面禁用不必要的 ISAPI 擴展，監控 adsutil.vbs 等管理腳本異常調用
• 防火牆需配置「拒絕所有，僅放行必要」策略，並啟用出站流量監控
• 部署主機入侵檢測系統（HIDS）監控關鍵文件完整性與異常進程行為