51x/whpMicro$oft Windows Hacking-Paket
Die Werkzeuge hier stammen aus verschiedenen Quellen. Das Repository ist generell unter der WTFPL lizenziert, aber einige Inhalte sind es möglicherweise nicht (z. B. Sysinternals). „pes“ bedeutet „PE Scambled“. Es ist manchmal nützlich.
Windows 2000 / XP SP1 MS05-039 Microsoft Plug and Play Service Overflow, funktioniert auch mit SSDP http://www.rapid7.com/db/modules/exploit/windows/smb/ms05_039_pnp
Windows XP/NT (vor SP2) MS03-026 Microsoft RPC DCOM Interface Overflow (kaht2.zip) http://www.securityfocus.com/bid/8205/exploit
Windows XP (SP2 und SP3) (kann auch für Privilege Escalation verwendet werden) MS08-067 Remote Stack Overflow Vulnerability Exploit (srvscv) https://www.exploit-db.com/exploits/7104/
Windows Windows 7 und Server 2008 R2 (x64) Alle Service Packs MS17-010 alias „Eternal Blue“ https://github.com/RiskSense-Ops/MS17-010
Windows Server 2016 (DoS, kann zu Exec führen) „Fuzzing SMB“-Video, das den Absturz zeigt: https://www.youtube.com/watch?v=yDae5-lIQb8
Zuerst: Wenn du einen Meterpreter hast, kann es eine gute Idee sein, „getsystem“ auszuprobieren.
Privilege Escalation für Windows XP SP2 und älter Dies kann anfällige Dienste ausnutzen. http://seclists.org/fulldisclosure/2006/Feb/231 Beispiel: srvcheck3.exe -m upnphost -H 127.0.0.1 -c "cmd.exe /c c:\Inetpub\wwwroot\shell.exe"
Privilege Escalation für Microsoft Windows NT/2000/XP/2003/Vista/2008/7 MS10-015 / CVE-2010-0232 / https://www.exploit-db.com/exploits/11199/
Windows XP/2003 MS11-080 → Lokaler Privilege Escalation Exploit Afd.sys https://www.exploit-db.com/exploits/18176/
Windows Vista/7 CVE: 2010-4398 Erhöhung von Berechtigungen (UAC Bypass) http://www.securityfocus.com/bid/45045/exploit
Windows 8.1 (und früher) MS14-058 → TrackPopupMenu Privilege Escalation https://www.exploit-db.com/exploits/37064/
Windows 8.1 (und früher) MS15-051 Win32k LPE-Schwachstelle, verwendet in APT-Angriff „taihou32“ https://www.exploit-db.com/exploits/37049/
Windows 10 (und früher) Hot Potato (nbns spoof + wpad + smb ntlm) http://foxglovesecurity.com/2016/01/16/hot-potato/
Windows 10 (und früher) Link-/URL-basierte Ausnutzung von NetNTLM-Hashes. Z. B. Senden einer Link-Datei per E-Mail oder Ablegen auf einer Dateifreigabe. Technik präsentiert unter: https://www.youtube.com/watch?v=cuF_Ibo-mmM
Windows XP SP2 (und früher) srvcheck3.exe - upnp service oder SSDPSRV service
Windows XP/2003 MS11-080 → Lokaler Privilege Escalation Exploit Afd.sys https://www.exploit-db.com/exploits/18176/
Windows Vista/7 CVE: 2010-4398 Erhöhung von Berechtigungen (UAC Bypass) http://www.securityfocus.com/bid/45045/exploit
Windows 8.1 (und früher) MS14-058 → TrackPopupMenu Privilege Escalation https://www.exploit-db.com/exploits/37064/
Windows 8.1 (und früher) MS15-051 Win32k LPE-Schwachstelle, verwendet in APT-Angriff „taihou32“ https://www.exploit-db.com/exploits/37049/
Windows NT/2K/XP/2K3/Vista/2K8/7/8 KiTrap0D - EPATHOBJ Lokaler Ring-Exploit https://www.exploit-db.com/exploits/11199/
Windows 10 (und früher) Hot Potato (nbns spoof + wpad + smb ntlm) http://foxglovesecurity.com/2016/01/16/hot-potato/
Windows XP (und später) .lnk-Exploit zum Empfangen von NetNTLM-Hashes aus der Ferne. https://www.youtube.com/watch?v=cuF_Ibo-mmM
Backupdateien, wenn sie sam enthalten Windows/system32/config/SAM /WINDOWS/repair/SAM regedit.exe HKEY_LOCAL_MACHINE -> SAM
Werkzeuge zum Abrufen der SAM-Datenbank, wenn gesperrt: pwdump, samdump, samdump2, Cain&Abel Andernfalls einfach kopieren.
SAM über Schattenvolume dumpen Wenn es erstellt werden kann, könnte die Datenbank von hier kopiert werden. Vista-Befehl: vssadmin create shadow Server 2008-Befehl: diskshadow
Windows Credentials Editor WCE / Windows Credentials Editor kann Passwort-Hashes aus LSASS wiederherstellen - http://www.ampliasecurity.com/research/wcefaq.html WCE unterstützt Windows XP, Windows 2003, Vista, Windows 7 und Windows 2008 (alle SPs, 32-Bit- und 64-Bit-Versionen).
Mimikatz Dump mimikatz # privilege::debug mimikatz # sekurlsa::logonpasswords mimikatz # lsadump::sam
Cachedump alias In-Memory-Angriffe für SAM-Hashes / zwischengespeicherte Domänenanmeldeinformationen fgdump.exe (enthält pwdump und cachedump, kann aus dem Speicher lesen)
SAM-Dump (Hive) „Ein Hive ist eine logische Gruppe von Schlüsseln, Unterschlüsseln und Werten in der Registrierung, die eine Reihe von unterstützenden Dateien mit Sicherungskopien ihrer Daten enthält.“
SAM dumpen, dann Hashes sprayen keimpx (Hashes mit verschiedenen Benutzern gegen Domänenkonten ausprobieren) http://code.google.com/p/keimpx/
LSA-Dump (Speicher) / Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP LSAdump2, LSASecretsDump, pwdumpx, gsecdump oder Cain & Abel https://github.com/CoreSecurity/impacket http://packetstormsecurity.org/files/view/10457/lsadump2.zip http://www.nirsoft.net/utils/lsa_secrets_dump.html http://packetstormsecurity.org/files/view/62371/PWDumpX14.zip
PassTheHash (vor Windows 8.1) pth-winexe --user=pc.local/Administrator%aad3b435b51404eeaad3b435b514t234e:1321ae011e02ab0k26e4edc5012deac8 //10.1.1.1 cmd
PassTheTicket (Kerberos) mimikatz kann es tun
Duplizieren von Zugriffstoken (wenn Administrator-Zugriffstoken verwendet werden kann, ist das ein Gewinn) http://sourceforge.net/projects/incognito/
Token-„Entführung“ MS 09-12, Churrasco.bin shell.bin (führt shell.bin mit nt system authority aus) http://carnal0wnage.attackresearch.com/2010/05/playing-with-ms09-012-windows-local.html
Andere bemerkenswerte Werkzeuge psexec, smbshell, metasploit’s psexec, etc. https://github.com/BloodHoundAD/BloodHound - Es ermöglicht die Visualisierung von Verbindungen in einer AD-Domäne und das Auffinden schneller Eskalationswege.
