Windows Privilege Escalation

Bevorzugter Raum ist https://tryhackme.com/room/windows10privesc, aber du kannst auch etwas anderes deiner Wahl verwenden.
Einige Ressourcen,

Arten von Konten auf Windows-Rechnern:

Administrator (lokal): Dies ist der Benutzer mit den meisten Rechten.
Standard (lokal): Diese Benutzer können auf den Computer zugreifen, aber nur begrenzte Aufgaben ausführen. In der Regel können diese Benutzer keine dauerhaften oder wesentlichen Änderungen am System vornehmen.
Gast: Dieses Konto gewährt Zugriff auf das System, ist aber nicht als Benutzer definiert.
Standard (Domäne): Active Directory ermöglicht Organisationen die Verwaltung von Benutzerkonten. Ein Standard-Domänenkonto kann lokale Administratorrechte haben.
Administrator (Domäne): Kann als der Benutzer mit den höchsten Rechten angesehen werden. Es kann andere Benutzer in der gesamten Organisationsdomäne bearbeiten, erstellen und löschen.
SYSTEM : Dies ist kein Konto im eigentlichen Sinne, aber Windows-Dienste nutzen dieses Konto für ihre Aufgaben, doch selbst dieses Konto hat höhere Rechte.

Ein wichtiger Punkt, den man beachten sollte, sind Gruppen: Jeder Benutzer der Gruppe Administratoren hilft uns bei der Eskalation!

Informationssammlung:

Eine der besten Ressourcen: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

whoami /priv - Rechte des aktuellen Benutzers
net users - listet alle Benutzer auf
net user <username> - listet Details eines bestimmten Benutzers auf
qwinsta - Andere Benutzer, die gleichzeitig angemeldet sind
net localgroup - Im System verfügbare Gruppen
net localgroup <group-name> - listet Mitglieder einer bestimmten Gruppe auf
systeminfo - liefert alle Informationen über das Betriebssystem
hostname - Hostname des Systems
findstr /si password *.txt - wir suchen nach Dateien, die "password" enthalten, und zwar in Textdateien
wmic qfe get Caption,Description,HotFixID,InstalledOn - zeigt Informationen zu Sicherheitspatches und damit zusammenhängende Informationen
netstat -ano - mit dem Rechner verbundene Verbindungen
schtasks /query /fo LIST /v - nach geplanten Aufgaben suchen
driverquery - listet treiberbezogene Informationen auf
sc query windefend - sucht nach Antivirendienst

Windows Exploit Suggester:

Dies ist ein legendäres Tool, das die meisten Leute verwenden
Mit diesem Tool können wir 60% der Boxen im Internet lösen
Link: https://github.com/AonCyberLabs/Windows-Exploit-Suggester
Du brauchst lediglich eine Kopie der Ausgabe des systeminfo-Tools auf deinem Rechner – das ist die einzige Voraussetzung für dieses Tool
Profi-Tipp: Stelle sicher, dass alle Abhängigkeiten erfüllt sind!

Verwundbare Software:

Hier versuchen wir, die installierte Softwareversion zu finden und zu prüfen, ob sie verwundbar ist oder nicht
wmic product get name,version,vendor - liefert Produktname, Version und Hersteller. Dieser spezielle Befehl liefert eine ordentliche Darstellung dessen, was wir brauchen.
Manchmal funktioniert der obige Befehl nicht, also verwende wmic service list brief | findstr "Running" und um weitere Informationen über den Dienst zu erhalten, verwende sc qc <ServiceName>

Privilege Escalation mit Metasploit:

Nachdem du eine Session in Metasploit erhalten hast, führe das Modul post/multi/recon/local_exploit_suggester aus. Stelle sicher, dass deine Session im Hintergrund läuft, damit dieses Tool ordnungsgemäß funktioniert, oder du kannst es einfach aus Meterpreter laden.
Dann werden einige Module vorgeschlagen, die ausgenutzt werden können. Probiere sie aus – einige könnten funktionieren (optional).

WinPEAS:

Dies ist ein automatisiertes Enumeration-Skript, das ziemlich hilfreich ist.
Für die beste Nutzung sieh dir alle Optionen an, indem du winpeas.exe --help ausführst.
Führe nur die benötigten Optionen aus und optimiere die Ausgabe.

Kernel-Exploit:

Verwende dieses spezielle Tool namens Windows Exploit Suggester
Zuerst erhältst du die Systeminformationen, indem du den Befehl systeminfo ausführst, und kopierst diese in eine beliebige Datei und benennst sie mit der Endung .txt
Führe nun das Tool mit der Datenbank aus
Suche hier nach den kernelbezogenen Exploits.
Viel Spaß beim Hacken!!

Dienst-Exploits:

Unsichere Dienstberechtigungen:

Hier versuchen wir, Dienste mit unsicheren Berechtigungen zu identifizieren und diese dann auszunutzen.
Hier können wir den Befehl winpeas.exe servicesinfo verwenden und sehen uns die Dienste an, die ziemlich hilfreich sind
Ein interessanter Teil der Ausgabe sieht so aus,```

daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

- Aber um weitere Informationen zu erhalten, können wir ein von Microsoft stammendes Tool namens **accesschk** verwenden. Führen Sie es wie folgt aus: `accesschk.exe /accepteula -uwcqv <current-user> <service>`. Die Ausgabe ist:```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

Aber der Hauptteil ist service_change_config, womit wir die Konfiguration des Dienstes ändern können.
Führen Sie sc qc <service> aus und notieren Sie dann den Binary_path_name (dieser kann auch als binpath bezeichnet werden), den wir ändern werden (böses Lächeln).
Erstellen Sie nun einen Payload vom Typ Shell und übertragen Sie ihn auf den Zielcomputer.
Syntax zum Ändern der Konfiguration: sc config <service> <option>="<value>"
Führen Sie nun sc config daclsvc binpath="<path>" aus und starten Sie dann den Dienst sc start daclsvc.

Unquoted Service Path:(USP)

Bei Diensten muss der Pfad in Anführungszeichen gesetzt werden. Ist er nicht so eingeschlossen, können wir diese Lücke ausnutzen und hohe Privilegien erlangen.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

Beliebteste

Windows-Privilege-Escalation-Notes