搜索

[16958] 2021-06-27_内网渗透基石篇--权限提升

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-06-27_内网渗透基石篇--权限提升 内 网 渗 透 基 石 篇 - - 权 限 提 升 原 创   p o n y 6 8 6   F r e e B u f   2 0 2 1 - 0 6 - 2 7 一 、 基 础 知 识 一 、 基 础 知 识 在 w i n d o w s 中 ， 权 限 大 概 分 为 四 种 ， 分 别 是 U s e r 、 A d m i n i s t r a t o r 、 S y s t e m 、 T r u s t e d I n s t a l l e r T r u s 1 . u s e r ： 普 通 用 户 权 限 ， 是 系 统 中 最 安 全 的 权 限 （ 因 为 分 配 给 改 组 的 默 认 权 限 不 允 许 成 员 操 作 修 改 操 作 系 统 的 设 置 或 用 户 资 料 ） 2 . A d m i n i s t r a t o r ： 管 理 员 权 限 。 可 以 利 用 w i n d o w s 的 机 制 将 自 己 提 升 为 s y s t e m 权 限 ， 以 便 操 作 S A m 文 件 3 . S y s t e m ： 系 统 权 限 。 可 以 对 s a m 等 敏 感 文 件 进 行 读 取 ， 往 往 需 要 将 a d m i n i s t r a t o r 权 限 提 升 到 s y s t e m 权 限 才 可 以 对 散 列 值 进 行 D U m p 操 作 4 . T r u s t e d I n s t a l l e r ： w i n d o w 中 的 最 高 权 限 ， 对 系 统 文 件 ， 即 将 拥 有 s y s t e m 权 限 也 无 法 进 行 获 取 散 列 值 、 安 装 软 件 、 修 改 防 火 墙 规 则 、 修 改 注 册 表 等 纵 向 提 权 纵 向 提 权 ： 低 权 限 角 色 获 得 高 权 限 角 色 的 权 限 ， 例 如 ， 一 个 w e b s h e l l 权 限 通 过 提 权 ， 拥 有 了 管 理 员 权 限 ， 这 种 提 权 就 是 纵 向 提 权 。 横 向 提 权 横 向 提 权 ： 获 取 同 级 别 角 色 的 权 限 。 二 、 系 统 内 核 溢 出 漏 洞 提 权 分 析 及 防 范 二 、 系 统 内 核 溢 出 漏 洞 提 权 分 析 及 防 范 溢 出 漏 洞 就 像 往 杯 子 里 面 装 水 —   如 果 水 太 多 ， 杯 子 装 不 下 了 ， 就 会 溢 出 来 。 系 统 内 核 溢 出 漏 洞 提 权 是 一 种 通 用 的 提 权 方 法 ， 攻 击 者 通 常 可 以 使 用 该 方 法 绕 过 系 统 的 所 有 安 全 限 制 。 攻 击 者 利 用 该 漏 洞 的 关 键 是 目 标 系 统 没 用 及 时 补 丁 。 1 .   通 过 手 动 执 行 命 令 发 现 缺 失 补 丁 通 过 手 动 执 行 命 令 发 现 缺 失 补 丁 1 . w h o a m i / g r o u p s 2 . 查 看 目 标 机 器 的 补 丁 查 看 目 标 机 器 的 补 丁   s y s t e m i n f o
3 . 使 用 使 用 w m i c   命 令 ： 命 令 ： w m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n   , H o t F i x I D , I n s t a l l e d O n 实 验 实 验 1 ： 2   . 利 用 利 用 M e t a s p l o i t 发 现 缺 失 补 丁 发 现 缺 失 补 丁 3 .   w i n d o w s   e x p l o i t   s u g g s e t e r 可 以 将 已 经 安 装 的 补 丁 和 微 软 的 漏 洞 数 据 库 进 行 比 较 并 且 可 以 帮 助 识 别 出 能 导 致 权 限 提 升 的 漏 洞 下 载 地 址 :
h t t p s : / / g i t h u b . c o m / A o n C y b e r L a b s / W i n d o w s - E x p l o i t - S u g g e s t e r 拿 到 s e s s i o n 必 做 的 2 件 事 , 可 以 快 速 识 别 系 统 可 以 利 用 的 漏 洞 ， 比 如 提 权 ～ 4   P o w e r S h e l l   的 的 s h e r l o c k 脚 本 脚 本 三 、 三 、 w i n d o w s   操 作 系 统 配 置 错 误 利 用 分 析 及 规 范 操 作 系 统 配 置 错 误 利 用 分 析 及 规 范 前 言 ： 在 w i n d o w s 操 作 系 统 中 ， 攻 击 者 通 常 会 通 过 系 统 内 核 溢 出 漏 洞 来 提 权 ， 但 如 果 碰 到 无 法 通 关 系 统 溢 出 漏 洞 提 取 所 在 服 务 器 权 限 的 情 况 ， 就 会 利 用 系 统 中 的 配 置 错 误 来 提 权 。 管 理 员 凭 证 配 置 错 误 u s e   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s u s e   p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r
服 务 配 置 错 误 故 意 削 弱 的 安 全 措 施 用 户 权 限 过 高 系 统 服 务 权 限 配 置 错 误 系 统 服 务 权 限 配 置 错 误 w i n d o w s 系 统 服 务 文 件 在 操 作 系 统 启 动 时 加 载 执 行 ， 并 在 后 台 调 用 可 执 行 文 件 。 如 果 一 个 低 权 限 的 用 户 对 此 类 系 统 服 务 调 用 的 可 执 行 文 件 拥 有 写 权 限 ， 那 么 就 可 以 替 换 该 文 件 ， 并 随 着 系 统 启 动 获 得 控 制 权 限 。 w i n d o w s 服 务 是 以 s y s t e m 权 限 运 行 的 ， 其 文 件 夹 、 文 件 和 注 册 表 k e y - v a l u e 都 是 受 强 制 访 问 控 制 保 护 的 。 但 是 在 某 些 情 况 下 ， 操 作 系 统 中 依 然 存 在 一 些 没 有 得 到 有 效 保 护 的 服 务 系 统 服 务 权 限 配 置 错 误 （ 可 写 目 录 漏 洞 ） 有 如 下 两 种 可 能 。 1 . 服 务 未 运 行 ： 攻 击 者 会 使 用 任 意 服 务 来 替 换 原 来 的 服 务 ， 然 后 重 启 服 务 。 2 . 服 务 正 在 运 行 且 无 法 被 终 止 ： 这 种 情 况 符 合 绝 大 多 数 的 漏 洞 利 用 情 景 ， 攻 击 者 通 常 会 利 用 D L L 劫 持 技 术 并 尝 试 重 启 服 务 来 提 权 。 1 . P o w e r U P 下 的 实 战 利 用 下 的 实 战 利 用 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / b l o b / m a s t e r / P r i v e s c / P o w e r U p . p s 1 p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " &   { i m p o r t - M o d u l e   . P o w e r u p . p s 1 ;   I n v o k e - A l l C h e c k s } " P o w e r s h e l l . e x e   - n o p   - e x e c   b y p a s s   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' C : P o w e r U p . p s 1 ' ) ;   I n v o k e - A l l C h e c k s "
2 . M e t a s p l o i t 下 的 实 战 利 用 下 的 实 战 利 用 2   注 册 表 键 注 册 表 键   A L w a y s I N s t a l l E l e v a t e d 允 许 低 权 限 用 户 以 S y s t e m 权 限 安 装 文 件 。 如 果 启 用 此 策 略 设 置 项 ， 那 么 任 何 权 限 的 用 户 都 以 N T   A u t h o r i t y S y s t e m 权 限 来 安 装 恶 意 的 M S I 文 件 。 w i n d o w s   i n s t a l l 是 w i n d o w s 操 作 系 统 的 组 件 之 一 ， 专 门 用 来 管 理 配 置 软 件 服 务 。 它 除 了 是 一 个 安 装 程 序 ， 还 用 于 管 理 软 件 的 安 装 、 组 件 的 添 加 、 删 除 、 监 视 文 件 的 还 原 、 通 过 回 滚 进 行 灾 难 恢 复 。 w i n d o w s   i n s t a l l 通 过 m s i e x e c . e x e 安 装 M S I 文 件 ， 双 击 M S I 文 件 就 会 运 行 m s i e x e c . e x e 。 在 运 行 中 输 入 ， 然 后 以 管 理 员 方 式 打 开 ： 配 置 「 计 算 机 配 置 」 配 置 「 用 户 配 置 」 g p e d i t . m s c
W I n d o w s   I N s t a l l e r 的 相 关 知 识 点 通 过 命 令 查 询 是 否 开 启 开 启 返 回 ： 未 开 启 就 会 返 回 如 果 系 统 开 启 了 A l w a y s I n s t a l l E l e v a t e d ， 可 以 使 用 m s f v e n o m 创 建 恶 意 m s i 文 件 ， 然 后 使 用 进 行 开 火 r e g   q u e r y   H K C U S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d r e g   q u e r y   H K L M S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d H K E Y _ C U R R E N T _ U S E R S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r A l w a y s I n s t a l l E l e v a t e d   R E G _ D W O R D   0 x 1 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r A l w a y s I n s t a l l E l e v a t e d   R E G _ D W O R D   0 x 1 系 统 找 不 到 指 定 的 注 册 表 项 或 值 m s i e x e c m s f v e n o m   - f   m s i   - p   w i n d o w s / a d d u s e r   U S E R = m s i   P A S S = Y o g a 1 2 3 ! @   - o   / r o o t / m s i . m s i m s i e x e c   / q u i e t   / q n   / i   d : m s i . m s i #   / q u i e t   安 装 过 程 中 禁 止 向 用 户 发 送 消 息 #   / q n   不 使 用 G U I #   / i   安 装 程 序
或 者 直 接 使 用 模 块 提 至 S y s t e m 权 限 计 划 任 务 计 划 任 务 适 用 系 统 版 本 ： w i n d o w s 2 0 0 0 w i n d o w s 2 0 0 3 w i n d o w s   X P a t   是 一 个 发 布 定 时 任 务 计 划 的 命 令 行 工 具 ， 语 法 比 较 简 单 。 通 过 a t 命 令 发 布 的 定 时 任 务 计 划 ， W i n d o w s 默 认 以 S y s t e m 权 限 运 行 。 定 时 任 务 可 以 是 批 处 理 ， 也 可 以 是 一 个 二 进 制 文 件 语 法 ： ， 可 以 开 启 界 面 交 互 模 式 利 用 模 块 3 . P o w r U p 下 的 实 战 利 用 下 的 实 战 利 用 1 . p o w e r s h e l l   - n o p   - e x e c   b y p a s s   I E X ( N e w - O b j e c t e x p l o i t / w i n d o w s / l o c a l / a l w a y s _ i n s t a l l _ e l e v a t e d a t   1 1 : 0 0 P M   c a l c . e x e / i n t e r a c t i v e R e g s v r 3 2 + e x p l o i t / m u l t i / s c r i p t / w e b _ d e l i v e r y N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' C : U s e r s t e s t u s e r D e s k t o p S h e r l o c k - m a s t e r P o w e r U p . p s 1 ' ) ; G e t - R e g i s t r y A l w a y s I n s t a l l E l e v a t e d G e t - R e g i s t r y A l w a y s I n s t a l l E l e v a t e d W r i t e - U s e r A d d M S I m s i e x e c . e x e   / q   / i   U s e r A d d . m s i
四 、 四 、   可 信 任 服 务 路 径 漏 洞 可 信 任 服 务 路 径 漏 洞 利 用 了 w i n d o w s 文 件 路 径 解 析 的 特 性 ， 如 果 一 个 服 务 调 用 的 可 执 行 文 件 没 有 正 确 处 理 所 引 用 的 完 整 路 径 名 ， 这 个 漏 洞 就 会 被 攻 击 者 用 来 上 传 任 意 可 执 行 文 件 。 通 俗 的 说 ， 如 果 一 个 服 务 的 可 执 行 文 件 的 路 径 （ 带 空 格 ） 没 有 被 双 引 号 引 起 来 ， 那 么 这 个 服 务 就 有 漏 洞 。 一 个 例 子 ， 编 译 之 后 存 放 在 为 从 命 令 行 直 接 通 过 其 绝 对 路 径 执 行 该 程 序 ： 对 于 上 面 的 空 格 ， W i n d o w s 都 会 尝 试 寻 找 并 执 行 名 字 与 空 格 前 的 名 字 相 匹 配 的 程 序 ， 所 以 不 加 引 号 的 时 候 就 会 报 错 。 此 时 ， 假 如 能 上 传 一 个 适 当 命 名 的 后 门 程 序 ， 那 么 当 服 务 重 启 的 时 候 就 会 以 s y s t e m 权 限 运 行 （ 大 多 数 情 况 下 ） 所 以 ， 理 论 上 一 个 服 务 的 可 执 行 文 件 的 路 径 没 有 用 双 引 号 封 闭 ， 且 包 含 空 格 ， 那 么 就 是 存 在 漏 洞 的 检 测 是 否 存 在 漏 洞 检 测 是 否 存 在 漏 洞 检 查 对 有 漏 洞 的 目 录 是 否 具 有 写 入 权 限 检 查 对 有 漏 洞 的 目 录 是 否 具 有 写 入 权 限 使 用 使 用 模 块 模 块 T r u s t e d   S e r v i c e   P a t h s 漏 洞 产 生 的 原 因 漏 洞 产 生 的 原 因 w i n d o w s 服 务 通 常 都 是 以 S y s t e m 权 限 运 行 的 ， 所 以 系 统 在 解 析 服 务 的 二 进 制 文 件 对 应 的 文 件 路 径 中 的 空 格 的 时 候 也 会 以 系 统 权 限 进 行 解 析 。 如 果 我 们 能 利 用 这 一 特 性 ， 就 有 机 会 进 行 权 限 提 升 。 比 如 ： C : P r o g r a m   F i l e s S o m e   F o l d e r S e r v i c e . e x e C : P r o g r a m . e x e C : P r o g r a m   F i l e s T e s t t e s t . e x e # i n c l u d e   < s t d i o . h > i n t   m a i n ( i n t   a r g c ,   c h a r   * a r g v [ ] ) { p r i n t f ( " [ * ]   E x e c u t e d   % s n " ,   a r g v [ 0 ] ) ; } $   " C : P r o g r a m   F i l e s T e s t t e s t . e x e " [ * ]   E x e c u t e d   C : P r o g r a m   F i l e s T e s t t e s t . e x e $   C : P r o g r a m   F i l e s T e s t t e s t . e x e ' C : P r o g r a m '   不 是 内 部 或 外 部 命 令 ， 也 不 是 可 运 行 的 程 序 或 批 处 理 文 件 。 # 将 t e s t 改 为 P r o g r a m . e x e 之 后 并 放 入 C 盘 下   $   C : P r o g r a m   F i l e s T e s t t e s t . e x e [ * ]   E x e c u t e d   C : P r o g r a m w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e | f i n d s t r   / i   " A u t o "   | f i n d s t r   / i   / v   " C : W i n d o w s "   | f i n d s t r / i   / v   " " " i c a c l s   " C : P r o g r a m   F i l e s " t r u s t e d _ s e r v i c e _ p a t h
C : P r o g r a m   F i l e s S o m e . e x e C : P r o g r a m   F i l e s S o m e   F o l d e r S e r v i c e . e x e 所 以 如 果 我 们 能 够 上 传 一 个 适 当 命 名 的 恶 意 可 执 行 程 序 在 受 影 响 的 目 录 ， 服 务 一 旦 重 启 ， 我 们 的 恶 意 程 序 就 会 以 s y s t e m 权 限 运 行 ( 大 多 数 情 况 下 ) 。 1 . M e t a s p l o i t 下 的 实 战 利 用 下 的 实 战 利 用 1 . 先 检 测 目 标 主 机 是 否 存 在 该 漏 洞 。 理 论 上 讲 ， 如 果 一 个 服 务 的 可 执 行 文 件 的 路 径 没 有 用 双 引 号 封 闭 ， 并 且 包 含 空 格 ， 那 么 这 个 服 务 就 是 有 漏 洞 的 。 我 们 在 m e t e r p r e t e r   s h e l l 命 令 提 示 符 下 输 入 s h e l l 命 令 进 入 目 标 机 c m d 下 ， 然 后 使 用 下 列 w m i 查 询 命 令 来 列 举 受 害 者 机 器 上 所 有 的 没 有 加 引 号 的 服 务 路 径 ( 除 去 了 w i n d o w s 本 身 的 服 务 ) 。 可 以 看 到 ， 有 “ V u l n e r a b l e   S e r v i c e ” 、 “ O m n i S e r v ” 、 “ O m n i S e r v e r ” 、 “ O m n i S e r v e r s ” 四 个 服 务 对 应 的 二 进 制 文 件 路 径 没 有 引 号 包 含 起 来 ， 并 且 路 径 中 包 含 空 格 。 是 存 在 该 漏 洞 的 ， 但 在 上 传 可 执 行 文 件 进 去 之 前 ， 我 们 需 要 确 定 我 们 对 目 标 文 件 夹 是 否 有 写 入 的 权 限 。 2 . 检 查 对 有 漏 洞 目 录 是 否 有 写 入 的 权 限 检 查 对 有 漏 洞 目 录 是 否 有 写 入 的 权 限 ， 这 个 很 关 键 。 这 里 我 们 使 用 W i n d o w s 内 建 的 一 个 工 具 ， i c a c l s ， 下 面 我 们 用 这 个 工 具 依 次 来 检 查 “ C : P r o g r a m   F i l e s ” “ C : P r o g r a m   F i l e s C o m m o n   F i l e s ” “ C : P r o g r a m   F i l e s C o m m o n   F i l e s m i c r o s o f t   s h a r e d ” “ E v e r y o n e ” 用 户 对 这 个 文 件 有 完 全 控 制 权 ， 就 是 说 所 有 用 户 都 具 有 全 部 权 限 修 改 这 个 文 件 夹 。 参 数 说 明 ： “ M ” 表 示 修 改 ， “ F ” 代 表 完 全 控 制 ， “ C I ” 代 表 从 属 容 器 将 继 承 访 问 控 制 项 ， “ O I ” 代 表 从 属 文 件 将 继 承 访 问 控 制 项 。 这 意 味 着 对 该 目 录 有 读 ， 写 ， 删 除 其 下 的 文 件 ， 删 除 该 目 录 下 的 子 目 录 的 权 限 。 3 . 我 们 确 认 了 目 标 主 机 存 在 此 漏 洞 后 ， 将 便 开 始 正 式 攻 击 我 们 确 认 了 目 标 主 机 存 在 此 漏 洞 后 ， 将 便 开 始 正 式 攻 击 ， M e t a s p l o i t 中 相 对 应 的 是 W i n d o w s   S e r v i c e   T r u s t e d   P a t h   P r i v i l e g e E s c a l a t i o n 本 地 利 用 模 块 ， 该 模 块 会 将 恶 意 的 可 执 行 程 序 放 到 受 影 响 的 文 件 夹 中 去 ， 然 后 将 受 影 响 的 服 务 重 启 。 接 着 我 们 输 入 命 令 b a c k g r o u n d , 把 当 前 的 m e t e r p r e t e r   s h e l l 转 为 后 台 执 行 。 然 后 在 M e t a s p l o i t 中 搜 索 t r u s t e d _ s e r v i c e _ p a t h 模 块 4   自 动 安 装 配 置 文 件 自 动 安 装 配 置 文 件 网 络 管 理 员 在 内 网 中 给 多 台 机 器 配 置 同 一 个 环 境 时 ， 通 常 不 会 逐 台 配 置 ， 而 会 使 用 脚 本 化 批 量 部 署 的 方 法 。 在 这 一 过 程 中 ， 会 使 用 安 装 配 置 条 件 。 C : s y s p r e p . i n g C : s y s C : s y s p r p . x m l C : w i n d o w s s y s t e m 3 2 s y s r e p . i n f w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   |   f i n d s t r   / i   " A u t o "   |   f i n d s t r   / i   / v   " C : W i n d o w s "   |   f i n d s t r   / i   / v   " " "
可 以 在 m e t a s p l o i t 中 利 用 这 个 漏 洞 ： 5 .   计 划 任 务 计 划 任 务 A c c e s s C h k 用 于 在 w i n d o w s 中 进 行 一 些 高 级 查 询 、 管 理 和 故 障 排 除 工 作 。 由 于 它 是 微 软 官 方 提 供 的 工 具 ， 所 以 杀 毒 软 件 不 会 有 告 警 。 如 果 黑 客 对 以 高 权 限 运 行 的 任 务 ， 所 在 的 目 录 具 有 写 权 限 ， 那 么 就 可 以 使 用 恶 意 程 序 覆 盖 原 有 的 程 序 。 这 样 ， 在 计 划 任 务 下 次 执 行 的 时 候 ， 就 会 以 高 权 限 运 行 恶 意 程 序 。 通 过 A c c e s s C h k 查 看 指 定 目 录 的 权 限 配 置 情 况 ： 6   E m p i r e   内 置 模 块 内 置 模 块 E m p i r e 内 置 了 P o w e r U p 的 部 分 模 块 。 输 入 ” u s e r m o d u l e   p r i v e s / p o w e r u p ” 五 、 五 、   组 策 略 首 选 项 提 权 分 析 及 防 范 组 策 略 首 选 项 提 权 分 析 及 防 范 s y s v o l 是 活 动 目 录 里 面 的 一 个 用 于 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 在 域 中 的 所 有 域 控 制 器 之 间 进 行 复 制 。 s y s v o l 文 件 夹 是 在 安 装 活 动 目 录 时 自 动 创 建 的 ， 主 要 用 来 存 放 登 陆 脚 本 、 组 策 略 数 据 、 其 他 域 控 制 器 需 要 的 域 信 息 。 s y s v o l 在 所 有 经 过 身 份 验 证 的 域 用 户 、 域 信 任 用 户 具 有 读 权 限 的 活 动 目 录 的 域 范 围 内 共 享 ， 整 个 s y s v o l 目 录 在 所 有 的 域 控 制 器 中 是 自 动 同 步 和 共 享 的 ， 所 有 的 域 策 略 都 存 放 在 s y s v o l 下 。 为 方 便 对 所 有 机 器 进 行 操 作 ， 网 络 管 理 员 会 使 用 域 策 略 进 行 统 一 的 配 置 和 管 理 ， 那 么 所 有 机 器 的 本 地 管 理 员 密 码 就 是 一 样 的 ， 黑 客 就 是 利 用 这 一 点 。 a c c e s s c h k 6 4 . e x e   - d q v   " C : M i c r o s o f t "   - a c c e p t e u l a -
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理