Élévation de privilèges Windows

La salle préférable est https://tryhackme.com/room/windows10privesc, mais vous pouvez utiliser ce que vous voulez.
Quelques ressources,

Types de comptes sur les machines Windows :

Administrateur (local) : c'est l'utilisateur disposant du plus de privilèges.
Standard (local) : ces utilisateurs peuvent accéder à l'ordinateur mais ne peuvent effectuer que des tâches limitées. En règle générale, ils ne peuvent pas apporter de modifications permanentes ou essentielles au système.
Invité : ce compte donne accès au système mais n'est pas défini comme un utilisateur.
Standard (domaine) : Active Directory permet aux organisations de gérer les comptes d'utilisateurs. Un compte de domaine standard peut avoir des privilèges d'administrateur local.
Administrateur (domaine) : peut être considéré comme l'utilisateur le plus privilégié. Il peut modifier, créer et supprimer d'autres utilisateurs dans tout le domaine de l'organisation.
SYSTEM : Ce n'est pas véritablement un compte, mais les services Windows utilisent ce compte pour effectuer leurs tâches, et ce compte possède des privilèges encore plus élevés.

An Important point worth noting is Groups, any user of Group Administrator helps us to escalate!

Collecte d'informations :

Une des meilleures ressources : https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

whoami /priv - privilèges de l'utilisateur actuel
net users - liste tous les utilisateurs
net user <username> - liste les détails d'un utilisateur spécifique
qwinsta - autres utilisateurs connectés simultanément
net localgroup - groupes disponibles sur le système
net localgroup <group-name> - liste les membres d'un groupe spécifique
systeminfo - donne toutes les informations sur le système d'exploitation
hostname - nom d'hôte du système
findstr /si password *.txt - nous recherchons les fichiers contenant 'password', notamment dans les fichiers texte
wmic qfe get Caption,Description,HotFixID,InstalledOn - cela indique les correctifs de sécurité et les informations associées
netstat -ano - connexions associées à la machine
schtasks /query /fo LIST /v - pour rechercher les tâches planifiées
driverquery - liste les informations relatives aux pilotes
sc query windefend - recherche le service antivirus

Windows Exploit Suggester :

C'est un outil légendaire que la plupart des gens utilisent
Nous pouvons résoudre 60 % des machines sur Internet avec cet outil
Lien : https://github.com/AonCyberLabs/Windows-Exploit-Suggester
Il vous suffit d'avoir une copie de la sortie de l'outil systeminfo sur votre machine, et c'est la seule condition requise pour cet outil
Conseil de pro : assurez-vous que toutes les dépendances sont satisfaites !

Logiciels vulnérables :

Ici, nous allons essayer de trouver la version du logiciel installé et vérifier si elle est vulnérable ou non.
wmic product get name,version,vendor - cela donne le nom du produit, la version et le fournisseur. Cette commande particulière donne une bonne visualisation de ce dont nous avons besoin.
Parfois, la commande ci-dessus peut ne pas fonctionner, alors utilisez wmic service list brief | findstr "Running" et pour obtenir plus d'informations sur le service, utilisez sc qc <ServiceName>

Élévation de privilèges via Metasploit :

Après avoir obtenu une session dans Metasploit, exécutez un module nommé post/multi/recon/local_exploit_suggester, assurez-vous que votre session est en arrière-plan pour que cet outil fonctionne correctement, ou vous pouvez simplement le charger depuis meterpreter.
Ensuite, il suggérera quelques modules exploitables, essayez-les et certains pourraient fonctionner (facultatif).

WinPEAS :

C'est un script d'énumération automatisé qui est assez utile.
Pour une utilisation optimale, recherchez toutes les options en exécutant winpeas.exe --help
Exécutez uniquement les options requises et ajustez la sortie.

Exploitation du noyau :

Utilisez cet outil particulier appelé Windows Exploit Suggester
Tout d'abord, obtenez les informations du système en exécutant la commande systeminfo et copiez-les dans un fichier nommé avec l'extension .txt
Maintenant, exécutez l'outil en utilisant la base de données
Ici, recherchez les exploits liés au noyau.
Bon hacking !!

Exploits de services :

Permissions de service non sécurisées :

Ici, nous allons essayer d'identifier les services avec des permissions non sécurisées, puis nous pourrons tenter de les exploiter.
Ici, nous pouvons utiliser la commande winpeas.exe servicesinfo et nous pouvons voir les services qui sont assez utiles
Une partie intéressante de la sortie est la suivante :```

daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

Mais pour obtenir plus d'informations, nous pouvons utiliser un outil appelé **accesschk**, qui est un outil de Microsoft, et l'exécuter comme suit `accesschk.exe /accepteula -uwcqv <current-user> <service>`, la sortie est,```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

Mais la partie principale est service_change_config où nous pouvons modifier la configuration du service.
Exécutez sc qc <service> puis notez le Binary_path_name(qui peut aussi être appelé binpath), que nous allons modifier (sourire maléfique)
Créez maintenant un payload de type shell et transférez-le sur la machine cible
Syntaxe pour modifier la configuration : sc config <service> <option>="<value>"
Maintenant, sc config daclsvc binpath="<path>" puis démarrez le service sc start daclsvc

Chemin de service non entre guillemets : (USP)

Pour les services, le chemin doit être entre guillemets ; s'il n'est pas encadré ainsi, nous pouvons exploiter cette faille et obtenir des privilèges élevés.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

Populaires

Windows-Privilege-Escalation-Notes