搜索

[11224] 2017-04-11_Metasploit、powershell之Windows错误系统配置漏洞实战提权

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-04-11_Metasploit、powershell之Windows错误系统配置漏洞实战提权 M e t a s p l o i t 、 p o w e r s h e l l 之 W i n d o w s 错 误 系 统 配 置 漏 洞 实 战 提 权 s h u t e e r   F r e e B u f   2 0 1 7 - 0 4 - 1 1 * 原 创 作 者 ： s h u t e e r ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 1   引 言 引 言 我 们 在 获 得 目 标 机 一 个 普 通 的 权 限 时 ， 除 了 常 规 提 权 方 法 外 ， 还 可 以 通 过 查 找 目 标 主 机 错 误 的 系 统 配 置 和 漏 洞 来 获 取 系 统 权 限 。 本 节 所 讲 的 “ T r u s t e d   S e r v i c e   P a t h s （ 可 信 任 服 务 路 径 ） 漏 洞 ” 和 “ 系 统 服 务 的 错 误 权 限 配 置 漏 洞 ” 绝 对 是 你 值 得 尝 试 的 一 个 环 节 。 0 2   T r u s t e d   S e r v i c e   P a t h s （ 可 信 任 服 务 路 径 ） 漏 洞 介 绍 （ 可 信 任 服 务 路 径 ） 漏 洞 介 绍 “ T r u s t e d   S e r v i c e   P a t h s ” 漏 洞 是 由 系 统 中 的 “ C r e a t e P r o c e s s ” 函 数 引 起 的 ， 利 用 了 w i n d o w s 文 件 路 径 解 析 的 特 性 ， 并 涉 及 了 服 务 路 径 的 文 件 / 文 件 夹 权 限 ， 存 在 缺 陷 的 服 务 程 序 利 用 了 属 于 可 执 行 文 件 的 文 件 / 文 件 夹 权 限 。 如 果 权 限 合 适 ， 我 们 可 以 上 传 恶 意 可 执 行 文 件 。 简 单 讲 就 是 查 找 系 统 服 务 文 件 中 存 在 非 引 用 路 径 。 如 果 一 个 服 务 调 用 可 执 行 文 件 ， 没 有 正 确 处 理 引 用 的 全 路 径 名 ， 就 可 以 利 用 这 个 漏 洞 。   0 3   T r u s t e d   S e r v i c e   P a t h s 漏 洞 产 生 原 因 漏 洞 产 生 原 因 w i n d o w s 服 务 通 常 都 是 以 S y s t e m 权 限 运 行 的 ， 所 以 系 统 在 解 析 服 务 的 二 进 制 文 件 对 应 的 文 件 路 径 中 的 空 格 的 时 候 也 会 以 系 统 权 限 进 行 解 析 。 如 果 我 们 能 利 用 这 一 特 性 ， 就 有 机 会 进 行 权 限 提 升 。 例 如 ， 有 如 下 的 文 件 路 径 : C : P r o g r a m   F i l e s S o m e   F o l d e r S e r v i c e . e x e 对 于 上 面 文 件 路 径 中 的 每 一 个 空 格 ， w i n d o w s 都 会 尝 试 寻 找 并 执 行 名 字 与 空 格 前 的 名 字 向 匹 配 的 程 序 。 操 作 系 统 会 对 文 件 路 径 中 空 格 的 所 有 可 能 进 行 尝 试 ， 直 到 找 到 一 个 匹 配 的 程 序 。 以 上 面 的 例 子 为 例 ， w i n d o w s 会 依 次 尝 试 确 定 和 执 行 下 面 的 程 序 ：
C : P r o g r a m . e x e C : P r o g r a m   F i l e s S o m e . e x e C : P r o g r a m   F i l e s S o m e   F o l d e r S e r v i c e . e x e 所 以 如 果 我 们 能 够 上 传 一 个 适 当 命 名 的 恶 意 可 执 行 程 序 在 受 影 响 的 目 录 ， 服 务 一 旦 重 启 ， 我 们 的 恶 意 程 序 就 会 以 s y s t e m 权 限 运 行 ( 大 多 数 情 况 下 ) 。 0 4   M e t a s p l o i t 下 下 T r u s t e d   S e r v i c e P a t h s 漏 洞 的 实 战 利 用 漏 洞 的 实 战 利 用 此 时 假 设 我 们 通 过 一 系 列 前 期 渗 透 ， 已 经 成 功 获 得 了 目 标 机 的 m e t e r p r e t e r   s h e l l （ 过 程 略 ） ， 当 前 权 限 为 s h u t e e r ， 我 们 想 获 取 系 统 的 s y s t e m 权 限 ， 但 是 尝 试 了 各 类 提 权 方 法 后 失 败 ， 如 下 图 所 示 。 此 时 我 们 可 以 尝 试 通 过 T r u s t e d S e r v i c e   P a t h s 漏 洞 来 尝 试 实 现 权 限 的 提 升 。 4 . 1   先 检 测 目 标 主 机 是 否 存 在 该 漏 洞 先 检 测 目 标 主 机 是 否 存 在 该 漏 洞 理 论 上 讲 ， 如 果 一 个 服 务 的 可 执 行 文 件 的 路 径 没 有 用 双 引 号 封 闭 ， 并 且 包 含 空 格 ， 那 么 这 个 服 务 就 是 有 漏 洞 的 。 我 们 在 m e t e r p r e t e r   s h e l l 命 令 提 示 符 下 输 入 s h e l l 命 令 进 入 目 标 机 c m d 下 ， 然 后 使 用 下 列 w m i 查 询 命 令 来 列 举 受 害 者 机 器 上 所 有 的 没 有 加 引 号 的 服 务 路 径 ( 除 去 了 w i n d o w s 本 身 的 服 务 ) 。 如 下 图 所 示 。 w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e | f i n d s t r   / i   " A u t o "   | f i n d s t r   / i   / v   " C : W i n d o w s "   | f i n d s t r / i   / v   " " " 可 以 看 到 ， 有 “ V u l n e r a b l e   S e r v i c e ” 、 “ O m n i S e r v ” 、 “ O m n i S e r v e r ” 、 “ O m n i S e r v e r s ” 四 个 服 务 对 应 的 二 进 制 文 件 路 径 没 有 引 号 包 含 起 来 ， 并 且 路 径 中 包 含 空 格 。 是 存 在 该 漏 洞 的 ， 但 在 上 传 可 执 行 文 件 进 去 之 前 ， 我 们 需 要 确 定 我 们 对 目 标 文 件 夹 是 否 有 写 入 的 权 限 。 4 . 2   检 查 对 有 漏 洞 目 录 是 否 有 写 入 的 权 限 ， 这 个 很 关 键 检 查 对 有 漏 洞 目 录 是 否 有 写 入 的 权 限 ， 这 个 很 关 键 这 里 我 们 使 用 W i n d o w s 内 建 的 一 个 工 具 ， i c a c l s ， 下 面 我 们 用 这 个 工 具 依 次 来 检 查 “ C : P r o g r a m   F i l e s ” 、 “ C : P r o g r a m   F i l e s C o m m o n F i l e s ” 、 “ C : P r o g r a m   F i l e s C o m m o n   F i l e s m i c r o s o f t s h a r e d ” 等 目 录 的 权 限 ， 都 提 示 权 限 不 够 。 如 下 图 所 示 。
很 幸 运 ， 直 到 我 们 尝 试 到 最 后 一 个 “ C : P r o g r a m   F i l e s P r o g r a m   F o l d e r ” 文 件 夹 时 成 功 了 ， 看 到 E v e r y o n e （ O I ） （ C I ） （ F ） 没 有 。 如 下 图 所 示 。 “ E v e r y o n e ” 用 户 对 这 个 文 件 有 完 全 控 制 权 ， 就 是 说 所 有 用 户 都 具 有 全 部 权 限 修 改 这 个 文 件 夹 。 参 数 说 明 ： 参 数 说 明 ：   “ M ” 表 示 修 改 ， “ F ” 代 表 完 全 控 制 ， “ C I ” 代 表 从 属 容 器 将 继 承 访 问 控 制 项 ， “ O I ” 代 表 从 属 文 件 将 继 承 访 问 控 制 项 。 这 意 味 着 对 该 目 录 有 读 ， 写 ， 删 除 其 下 的 文 件 ， 删 除 该 目 录 下 的 子 目 录 的 权 限 。 4 . 3   我 们 确 认 了 目 标 主 机 存 在 此 漏 洞 后 ， 将 便 开 始 正 式 攻 击 我 们 确 认 了 目 标 主 机 存 在 此 漏 洞 后 ， 将 便 开 始 正 式 攻 击 M e t a s p l o i t 中 相 对 应 的 是 W i n d o w s   S e r v i c e   T r u s t e d   P a t h   P r i v i l e g e   E s c a l a t i o n 本 地 利 用 模 块 ， 该 模 块 会 将 恶 意 的 可 执 行 程 序 放 到 受 影 响 的 文 件 夹 中 去 ， 然 后 将 受 影 响 的 服 务 重 启 。 接 着 我 们 输 入 命 令 b a c k g r o u n d , 把 当 前 的 m e t e r p r e t e r   s h e l l 转 为 后 台 执 行 。 然 后 在 M e t a s p l o i t 中 搜 索 t r u s t e d _ s e r v i c e _ p a t h 模 块 。 如 下 图 所 示 。 4 . 4   使 用 该 使 用 该 e x p l o i t 程 序 ， 并 设 置 相 关 参 数 ， 如 下 图 所 示 。 程 序 ， 并 设 置 相 关 参 数 ， 如 下 图 所 示 。
4 . 5   攻 击 攻 击 输 入 r u n 命 令 ， 可 以 看 到 自 动 反 弹 了 一 个 新 的 m e t e r p r e t e r ， 我 们 在 此 m e t e r p r e t e r   s h e l l 下 输 入 g e t u i d   发 现 是 s y s t e m   权 限 ， 如 下 图 所 示 。 证 明 我 们 已 经 提 权 成 功 了 。 我 们 输 入 s e s s i o n s 可 以 看 到 有 2 个 m e t e r p r e t e r ， I D 为 3 的 就 是 新 反 弹 回 来 的 ， 如 下 图 所 示 。 我 们 浏 览 源 代 码 发 现 ， 这 个 模 块 使 用 了 一 些 正 则 表 达 式 来 过 滤 掉 那 些 路 径 用 引 号 包 含 起 来 的 路 径 ， 以 及 路 径 中 不 含 空 格 的 路 径 ， 并 创 建 一 个 受 影 响 的 服 务 的 路 径 列 表 。 接 着 该 模 块 尝 试 利 用 列 表 中 第 一 个 受 影 响 的 服 务 ， 将 恶 意 的 可 执 行 程 序 放 到 相 应 受 影 响 的 文 件 夹 中 去 。 接 着 受 影 响 的 服 务 被 重 启 ， 最 后 ， 该 模 块 会 删 除 该 恶 意 可 执 行 文 件 。 4 . 6   解 决 方 案 解 决 方 案 当 开 发 者 没 有 将 文 件 路 径 用 引 号 包 含 起 来 的 时 候 ， 才 会 发 生 这 种 行 为 。 用 引 号 包 含 起 来 的 路 径 解 析 的 时 候 则 不 存 在 这 种 行 为 。 0 5   “ 系 统 服 务 错 误 权 限 配 置 漏 洞 系 统 服 务 错 误 权 限 配 置 漏 洞 ” 简 介 简 介 W i n d o w s 系 统 服 务 文 件 在 操 作 系 统 启 动 时 会 加 载 执 行 ， 并 且 在 后 台 调 用 可 执 行 文 件 。 比 如 ， J A V A 升 级 程 序 ， 每 次 重 启 系 统
时 ， J A V A 升 级 程 序 会 检 测 O r a c l e 网 站 ， 是 否 有 新 版 J A V A 程 序 。 而 类 似 J A V A 程 序 之 类 的 系 统 服 务 程 序 加 载 时 往 往 都 是 运 行 在 系 统 权 限 上 的 。 所 以 如 果 一 个 低 权 限 的 用 户 对 于 此 类 系 统 服 务 调 用 的 可 执 行 文 件 具 有 可 写 的 权 限 ， 那 么 就 可 以 将 其 替 换 成 我 们 的 恶 意 可 执 行 文 件 ， 从 而 随 着 系 统 启 动 服 务 而 获 得 系 统 权 限 。 0 6   P o w e r U p 之 之 ” 系 统 服 务 错 误 权 限 配 置 漏 洞 系 统 服 务 错 误 权 限 配 置 漏 洞 ” 的 实 战 利 用 的 实 战 利 用 这 里 我 们 主 要 利 用 一 个 非 常 实 用 的 P o w e r s h e l l 框 架 - P o w e r u p 通 过 直 接 替 换 可 执 行 文 件 本 身 来 实 现 权 限 的 提 升 。 首 先 检 测 目 标 主 机 是 否 存 在 该 漏 洞 。 P o w e r u p 可 以 帮 助 我 们 寻 找 服 务 器 错 误 的 系 统 配 置 和 漏 洞 从 而 实 现 提 权 的 目 的 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / P o w e r S h e l l E m p i r e / P o w e r T o o l s / t r e e / m a s t e r / P o w e r U p 我 们 先 将 工 具 下 载 到 本 地 ， 然 后 上 传 至 目 标 服 务 器 。 见 下 图 所 示 。 上 传 好 脚 本 后 ， 输 入 s h e l l 命 令 进 入 C M D 提 示 符 下 ， 然 后 可 以 使 用 下 列 命 令 在 本 地 隐 藏 权 限 绕 过 执 行 该 脚 本 ， 会 自 动 进 行 所 有 的 脚 本 检 查 。 见 下 图 所 示 。 p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " & { I m p o r t - M o d u l e   . P o w e r U p . p s 1 ;   I n v o k e - A l l C h e c k s } " 也 可 以 使 用 I E X 下 载 在 内 存 中 加 载 此 脚 本 ， 执 行 如 下 命 令 ， 同 样 会 自 动 进 行 所 有 的 检 查 ， 如 下 图 所 示 。
p o w e r s h e l l   - n o p   - e x e c   b y p a s s   - c   “ I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' c : / P o w e r U p . p s 1 ' ) ; I n v o k e - A l l C h e c k s ” 知 识 点 ： 知 识 点 ： - N o P r o f i l e ( - N o P ) ： P o w e r S h e l l 控 制 台 不 加 载 当 前 用 户 的 配 置 - E x e c   B y p a s s : 绕 过 执 行 安 全 策 略 I m p o r t - M o d u l e ： 加 载 脚 本 可 以 看 出 ， P o w e r u p 列 出 了 可 能 存 在 问 题 的 所 有 服 务 ， 并 在 A b u s e F u n c t i o n 中 直 接 给 出 了 利 用 方 式 。 第 一 部 分 通 过 G e t - S e r v i c e U n q u o t e d 模 块 检 测 出 了 有 “ V u l n e r a b l e   S e r v i c e ” 、 “ O m n i S e r v ” 、 “ O m n i S e r v e r ” 、 “ O m n i S e r v e r s ” 四 个 服 务 , 路 径 包 含 空 格 且 不 带 引 号 ， 但 是 都 没 有 权 限 ， 所 以 并 不 能 被 我 们 利 用 来 提 权 。 第 二 部 分 通 过 G e t - S e r v i c e F i l e P e r m i s s i o n 模 块 检 测 出 当 前 用 户 可 以 在 “ O m n i S e r v e r s ” 服 务 的 目 录 写 入 相 关 联 的 可 执 行 文 件 ， 并 且 通 过 这 些 文 件 来 进 行 提 权 。 这 里 我 们 还 是 可 以 使 用 i c a c l s 来 验 证 下 P o w e r U p 脚 本 检 测 是 否 正 确 ， 我 们 先 来 测 试 “ C : P r o g r a m   F i l e s E x e c u t a b l e . e x e ” 、 “ C : P r o g r a m F i l e s C o m m o n   F i l e s m i c r o s o f t s h a r e d O m n i S e r v . e x e ” 、 “ C : P r o g r a m   F i l e s C o m m o n   F i l e s A   S u b f o l d e r O m n i S e r v e r . e x e ” 这 三 个 文 件 夹 ， 均 提 示 权 限 不 够 。 如 下 图 所 示 。
再 测 试 “ C : P r o g r a m   F i l e s P r o g r a m   F o l d e r A S u b f o l d e r O m n i S e r v e r s . e x e ” 文 件 ， 如 下 图 所 示 。 可 以 看 到 我 们 对 O m n i S e r v e r s . e x e 文 件 是 有 完 全 控 制 权 的 ， 这 里 我 们 可 以 直 接 将 O m n i S e r v e r s . e x e 替 换 成 我 们 的 M S F 反 弹 木 马 ， 当 服 务 重 启 时 ， 就 会 给 我 们 返 回 一 个 s y s t e m 权 限 的 m e t e r p r e t e r 。 在 这 里 我 们 使 用 图 1 1 里 A b u s e F u n c t i o n 那 里 已 经 给 出 的 具 体 操 作 方 式 ， 执 行 如 下 命 令 操 作 ， 如 下 图 所 示 。 p o w e r s h e l l   - n o p   - e x e c   b y p a s s   I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' c : / P o w e r U p . p s 1 ' ) ; I n s t a l l - S e r v i c e B i n a r y - S e r v i c e N a m e ' O m n i S e r v e r s ' - U s e r N a m e   s h u t e e r   - P a s s w o r d   P a s s w o r d 1 2 3 ! 知 识 点 ： 知 识 点 ： I n s t a l l - S e r v i c e B i n a r y 模 块 ， 通 过 W r i t e - S e r v i c e B i n a r y 写 一 个 C # 的 服 务 用 来 添 加 用 户 。 接 下 来 停 止 并 再 启 动 该 服 务 的 时 候 ， 就 会 添 加 我 们 的 用 户 ， 如 下 图 所 示 。 可 以 看 到 ， 提 示 拒 绝 访 问 ， 那 是 因 为 我 们 当 前 的 权 限 是 一 个 受 限 的 U S E R 权 限 ， 所 以 只 能 等 待 系 统 重 启 。 这 里 因 为 是 虚 拟 机 机 ， 所 以 直 接 使 用 如 下 命 令 强 制 重 启 ， 如 下 图 所 示 。 S h u t d o w n   – r   – f   – t   0 我 们 切 换 到 目 标 机 界 面 可 以 看 到 已 经 关 机 重 启 了 ， 如 下 图 所 示 。
重 启 以 后 ， 系 统 会 自 动 创 建 了 一 个 新 的 用 户 s h u t e e r ， 密 码 是 P a s s w o r d 1 2 3 ! 。 如 下 图 所 示 。 我 们 来 查 看 下 该 用 户 权 限 ， 该 用 户 已 经 是 系 统 管 理 员 。 我 们 来 查 看 下 该 用 户 权 限 ， 该 用 户 已 经 是 系 统 管 理 员 。 如 下 图 所 示 。 提 权 成 功 以 后 ， 我 们 到 目 标 机 C : P r o g r a m   F i l e s P r o g r a m   F o l d e r A   S u b f o l d e r 目 录 下 面 可 以 看 到 多 了 一 个 文 件 ， 如 下 图 所 示 。 所 以 我 们 需 要 清 除 入 侵 的 痕 迹 ， 把 所 有 的 状 态 恢 复 到 最 初 的 状 态 ， 可 以 使 用 如 下 命 令 恢 复 。
T h e   E n d . Q ： 8 9 4 6 7 2 3           Q 群 : 2 8 2 9 5 1 5 4 4 欢 迎 各 位 的 交 流 和 批 评 指 正 ！ * 原 创 作 者 ： s h u t e e r ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理