线程注入拿服务器——我亲历的一次惊险渗透实录
说实话，今天想跟大家聊这个话题，是因为前两天在一个技术群里看到有人问“线程注入到底能不能拿到服务器权限”，底下吵得不可开交，有人说早过时了，有人说还是利器，我坐在电脑前看着屏幕，忍不住笑了一下——因为我自己，就真的靠线程注入拿服务器这个思路，在一次授权测试里翻过盘，那种感觉，怎么说呢，就像你本来只是去敲个门，结果发现门后面整栋楼都是你的，心里那个爽啊,真的没法形容。
先说清楚哈，这篇文章是我个人的实战复盘，纯技术交流，所有测试都是在合法授权的前提下做的，大家千万别拿去乱搞，不然出了事我可担不起这个责任,真的！
一开始我是怎么盯上线程注入的？
那次项目其实挺棘手的，目标是一台Windows业务服务器，对外只开了一个Web服务，防火墙规则收得很紧，常规的端口扫了一圈基本没啥突破口，我先试了Web层面的一些老套路，上传点、SQL注入都摸了一遍，最后只捞到一个低权限的Webshell，权限低到啥程度呢？连个像样的目录都列不全,更别提碰系统核心了。
当时我坐在那儿，盯着终端里那个whoami的结果，心里其实有点烦躁，你想啊，费了半天劲就这？不过转念一想，好歹有个落脚点了，低权限怕啥，思路对了照样能往上爬，于是我就开始琢磨：既然从应用层打不透，那就往系统层钻，看看能不能靠线程注入拿服务器的方式，把权限从Web进程身上“借”过来。
线程注入到底是个啥思路？
我用大白话解释一下啊，别整那些教科书式的定义，听着累，简单说就是：操作系统里每个程序跑起来都是一个个进程，进程里面又有很多线程在干活，线程注入呢，就是想办法把你自己的一段代码，硬塞进别人已经在运行的线程里去执行，那塞进谁的线程最划算？当然是塞进权限高的进程里啊！
我当时盯上的是服务器上跑着的那个系统级服务进程，它的权限比我手里那个Web进程高出一大截，如果能想办法让它的线程替我干活，那线程注入拿服务器这事儿不就成了嘛，想到这里我自己都有点小激动，手都有点抖,哈哈。
实际操作中踩的坑，真是一把辛酸泪
说起来轻松，真动手的时候可没那么顺，第一步得先确认目标进程，我用低权限shell去查进程列表，结果好多关键信息看不到，折腾了好一会儿,才通过一些侧面信息判断出那个高权限进程的PID。
然后是内存操作那一步，低权限进程想往高权限进程里写东西，默认是被拦得死死的，我试了好几次都失败，屏幕上全是报错，当时真有点上火，心里骂了一句“这玩意儿咋这么倔”，后来冷静下来重新捋思路，发现得先想办法给自己争取一点点内存操作的权限，再配合注入的时机去“蹭”那个高权限线程，具体细节我就不展开写了，懂的都懂，不合适摆在明面上,哈哈。
最紧张的是注入成功那一瞬间，我盯着屏幕，手心都出汗了，敲了个命令下去，返回的结果一出来——好家伙，权限直接上了一个大台阶！那种感觉就像钓鱼钓了半天没动静，突然竿子猛地一沉，整个人都精神了，到这一步，线程注入拿服务器的思路算是真正落地了,后面拿服务器控制权就是水到渠成的事儿。
这事儿给我留下的几点体会
第一，别小看任何一个低权限的落脚点，很多人拿到Webshell觉得权限太低就放弃了，其实它往往是个跳板,关键在于你有没有顺着它往系统层想的意识。
第二，线程注入这类技术看着“老”，但在真实环境里依然能打，关键不是技术新不新，而是你会不会用、用得巧不巧。
第三，也是最重要的，一定要守规矩，这次是授权测试，所以我敢放开手脚去试，要是没授权，这些操作分分钟就是违法，真的,别拿自己的前途开玩笑。
好了，今天就唠到这儿，写这篇文章的时候我又把当时的笔记翻了一遍，心情还是挺复杂的，技术这东西啊，用对了是本事，用歪了就是麻烦，希望大家看完能有点收获，也欢迎在评论区跟我聊聊你们的想法,我看到都会回！