某个下午，权漏我拿到一个目标站点的洞挖低权限shell。系统是权漏Windows Server 2016，装了IIS和PHP。洞挖常规思路是权漏查补丁、看服务、洞挖翻配置文件。权漏但真正让我提权的洞挖，是权漏IIS站点目录里一个不起眼的upload文件夹——里面躺着某年某月的备份zip，解压后是洞挖一份数据库连接字符串，明文密码直连sa权限。权漏两分钟后，洞挖我执行了xp_cmdshell，权漏拿到了system。洞挖

这不是权漏什么高深技巧。Web提权的本质，是找到“代码执行”到“系统权限”之间的那条缝隙。缝隙往往不在系统漏洞里，而在业务逻辑的草率处。很多人盯着CVE和EXP，却忘了目标站点本身就是一个巨大的信息泄露源。

最常见的提权路径，是数据库权限滥用。PHP站点连MySQL，连接账号如果给了file权限，你可以用`select load_file('/etc/passwd')`读文件，配合`into outfile`写webshell。但如果是Windows，SQL Server的`xp_cmdshell`更直接。问题在于，很多开发者图省事，直接用sa或root连接Web应用。这不是漏洞，这是习惯性懒惰。我见过一个政府站点，数据库账号是sa，密码是`Admin@123`，连密码字典都不用跑。

另一个容易被忽视的点是组件服务。比如装了ImageMagick的站点，老版本有已知的RCE漏洞，但补丁没打。你可以通过构造恶意图片，触发命令执行，然后反弹shell。这时候提权靠的是系统层面的漏洞利用，比如烂番茄（MS17-010）或者PrintNightmare。但说实话，2024年了，打补丁的服务器越来越多，纯系统漏洞提权的成功率在下降。

真正有意思的是利用Windows服务配置错误。比如某个第三方软件装了个服务，运行权限是LocalSystem，但服务路径指向一个用户可写的目录。你用低权限shell替换掉那个exe，重启服务，直接变system。这种问题在老旧OA系统里特别常见。有个案例，目标站点的文件上传功能只校验了Content-Type，没校验文件头。我传了个.jpg后缀的exe，配合目录下的某个计划任务，等它自动执行，就拿到了权限。

别小看配置文件。IIS的web.config、Apache的httpd.conf、PHP的php.ini，都可能暴露敏感信息。比如某个应用把Redis密码写在配置里，而Redis以root权限运行，并且没有启用保护模式。你可以通过SSRF或者直接连接，写一个cron任务反弹shell。Windows下则是写启动文件夹或者注册表Run键。这些路径，比硬怼系统漏洞要省力得多。

最后说个反直觉的点。有时候提权不需要“提”，而是“换”。你拿到的是网络服务权限，比如iis apppool\xxx，这个账号默认有`impersonate`权限。如果你能找到一个以高权限运行的服务，用`createprocesswithtokenw`或者`token manipulation`去窃取它的令牌，就能模拟成system。这种技术在Metasploit的`incognito`模块里有现成的，但很多人懒得试。

Web提权不是一道数学题，没有固定解法。它更像开锁——你得先摸清楚锁芯的结构，再决定用锡纸还是电钻。多数时候，赢在细节：一个备份文件、一个弱密码、一个错误配置。少看点花哨的0day，多翻翻目标自己的“家底”，往往更快。