Escalada de Privilegios en Windows

La sala preferible es https://tryhackme.com/room/windows10privesc, pero puedes usar lo que quieras.
Algunos recursos,

Tipos de cuentas en máquinas Windows:

Administrador (local): Es el usuario con más privilegios.
Estándar (local): Estos usuarios pueden acceder al equipo pero solo pueden realizar tareas limitadas. Normalmente, estos usuarios no pueden realizar cambios permanentes o esenciales en el sistema.
Invitado: Esta cuenta da acceso al sistema pero no está definida como un usuario.
Estándar (dominio): Active Directory permite a las organizaciones gestionar cuentas de usuario. Una cuenta de dominio estándar puede tener privilegios de administrador local.
Administrador (dominio): Podría considerarse el usuario más privilegiado. Puede editar, crear y eliminar otros usuarios en todo el dominio de la organización.
SYSTEM : No es particularmente una cuenta, pero los servicios de Windows utilizan esta cuenta para realizar sus tareas; sin embargo, incluso esta cuenta tiene privilegios superiores.

Un punto importante a tener en cuenta son los Grupos: cualquier usuario del grupo Administradores nos ayuda a escalar privilegios.

Recopilación de Información:

Uno de los mejores recursos: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

whoami /priv - privilegios del usuario actual
net users - lista todos los usuarios
net user <username> - muestra los detalles de un usuario específico
qwinsta - Otros usuarios con sesión iniciada simultáneamente
net localgroup - Grupos disponibles en el sistema
net localgroup <group-name> - lista los miembros de un grupo específico
systeminfo - proporciona toda la información sobre el sistema operativo
hostname - nombre de host del sistema
findstr /si password *.txt - buscamos los archivos que contengan 'password', y además en archivos de texto
wmic qfe get Caption,Description,HotFixID,InstalledOn - esto informa sobre los parches de seguridad e información relacionada
netstat -ano - conexiones asociadas con la máquina
schtasks /query /fo LIST /v - para buscar cualquier tarea programada
driverquery - lista la información relacionada con los controladores
sc query windefend - busca el servicio de antivirus

Windows Exploit Suggester:

Esta es una herramienta legendaria que la mayoría de la gente usa
Podemos resolver el 60% de las máquinas (boxes) que hay en internet usando esta herramienta
Enlace: https://github.com/AonCyberLabs/Windows-Exploit-Suggester
Solo necesitas tener una copia de la salida del comando systeminfo en tu máquina; este es el único requisito para esta herramienta
Consejo profesional: ¡Asegúrate de que todas las dependencias estén cumplidas!

Software Vulnerable:

Aquí intentaremos encontrar la versión del software instalado y comprobar si es vulnerable o no
wmic product get name,version,vendor - esto da el nombre del producto, la versión y el proveedor. Este comando en particular ofrece una visualización adecuada de lo que necesitamos.
A veces el comando anterior puede no funcionar, así que usa wmic service list brief | findstr "Running" y, para obtener más información sobre el servicio, usa sc qc <ServiceName>

Escalada de Privilegios mediante Metasploit:

Después de obtener una sesión en Metasploit, ejecuta un módulo llamado post/multi/recon/local_exploit_suggester; asegúrate de que tu sesión esté en segundo plano para que esta herramienta funcione correctamente, o simplemente puedes cargarlo desde meterpreter.
Luego sugerirá algunos módulos que pueden ser explotados, así que pruébalos y algunos podrían funcionar (opcional).

WinPEAS:

Este es un script de enumeración automatizada que es bastante útil.
Para un mejor uso, revisa todas las opciones ejecutando winpeas.exe --help
Ejecuta solo las opciones necesarias y ajusta la salida.

Explotación del Kernel:

Usa esta herramienta en particular llamada Windows Exploit Suggester
Primero obtén la información del sistema ejecutando el comando systeminfo y cópiala en un archivo con extensión .txt
Ahora ejecuta la herramienta usando la base de datos
Aquí busca los exploits relacionados con el kernel.
¡Feliz hacking!

Explotación de Servicios:

Permisos de servicio inseguros:

Aquí intentaremos identificar servicios con permisos inseguros y luego podremos explotarlos.
Aquí podemos hacer uso del comando winpeas.exe servicesinfo y podemos ver los servicios que son bastante útiles
Una parte interesante de la salida es así,```

daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

- Pero para obtener más información podemos usar una herramienta llamada **accesschk** que es de Microsoft, ejecútala de la siguiente manera `accesschk.exe /accepteula -uwcqv <current-user> <service>`, la salida es,```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

Pero la parte principal es service_change_config, donde podemos cambiar la configuración del servicio.
Ejecuta sc qc <service> y luego anota el Binary_path_name (también se puede llamar binpath), que vamos a cambiar (sonrisa malvada)
Ahora crea un payload de tipo shell y transfiérelo a la máquina objetivo
Sintaxis para cambiar la configuración: sc config <service> <option>="<value>"
Ahora sc config daclsvc binpath="<path>" y luego inicia el servicio sc start daclsvc

Ruta de servicio sin comillas:(USP)

Para los servicios, la ruta debe estar entre comillas; si no está encerrada así, podemos explotar esta laguna y obtener altos privilegios.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

Más Populares

Windows-Privilege-Escalation-Notes