Escalação de Privilégios no Windows

A sala recomendada é https://tryhackme.com/room/windows10privesc, mas você pode usar o que preferir.
Alguns recursos,

Tipos de contas em máquinas Windows:

Administrator (local): É o usuário com mais privilégios.
Standard (local): Esses usuários podem acessar o computador, mas só podem executar tarefas limitadas. Normalmente, esses usuários não podem fazer alterações permanentes ou essenciais no sistema.
Guest: Essa conta dá acesso ao sistema, mas não é definida como um usuário.
Standard (domínio): O Active Directory permite que as organizações gerenciem contas de usuários. Uma conta de domínio padrão pode ter privilégios de administrador local.
Administrator (domínio): Pode ser considerado como o usuário com mais privilégios. Ele pode editar, criar e excluir outros usuários em todo o domínio da organização.
SYSTEM : Não é exatamente uma conta, mas os serviços do Windows utilizam essa conta para realizar suas tarefas; inclusive, essa conta possui privilégios ainda maiores.

Um ponto importante a destacar são os Grupos: qualquer usuário do grupo Administrator nos ajuda a escalar!

Coleta de Informações:

Um dos melhores recursos: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

whoami /priv - privilégios do usuário atual
net users - lista todos os usuários
net user <username> - lista detalhes de um usuário específico
qwinsta - Outros usuários conectados simultaneamente
net localgroup - Grupos disponíveis no sistema
net localgroup <group-name> - lista membros de um grupo específico
systeminfo - fornece todas as informações sobre o SO
hostname - nome do host do sistema
findstr /si password *.txt - estamos procurando arquivos que contenham 'password', especialmente em arquivos de texto
wmic qfe get Caption,Description,HotFixID,InstalledOn - informa sobre os patches de segurança e informações relacionadas
netstat -ano - conexões associadas à máquina
schtasks /query /fo LIST /v - para verificar se há tarefas agendadas
driverquery - lista informações relacionadas aos drivers
sc query windefend - verifica o serviço de antivírus

Windows Exploit Suggester:

É uma ferramenta lendária que a maioria das pessoas usa
Podemos resolver 60% das máquinas (boxes) na internet usando essa ferramenta
Link: https://github.com/AonCyberLabs/Windows-Exploit-Suggester
Basta ter uma cópia da saída do comando systeminfo em sua máquina; esse é o único requisito para essa ferramenta
Dica profissional: garanta que todas as dependências sejam atendidas!

Software Vulnerável:

Aqui vamos tentar identificar a versão do software instalado e verificar se ele é vulnerável ou não
wmic product get name,version,vendor - isso fornece o nome do produto, a versão e o fabricante (vendor). Esse comando em particular dá uma visualização adequada do que precisamos.
Às vezes, o comando acima pode não funcionar; nesse caso, use wmic service list brief | findstr "Running" e, para obter mais informações sobre o serviço, use sc qc <ServiceName>

Escalação de Privilégios com Metasploit:

Depois de obter uma sessão no Metasploit, execute um módulo chamado post/multi/recon/local_exploit_suggester; garanta que sua sessão esteja em segundo plano para que essa ferramenta funcione corretamente, ou você pode simplesmente carregá-la a partir do meterpreter.
Em seguida, ele sugerirá alguns módulos que podem ser explorados; tente-os e alguns podem funcionar (opcional).

WinPEAS:

É um script automatizado de enumeração bastante útil.
Para melhor uso, verifique todas as opções executando winpeas.exe --help
Execute apenas as opções necessárias e ajuste a saída.

Exploração de Kernel:

Use esta ferramenta específica chamada Windows Exploit Suggester
Primeiro, obtenha as informações do sistema executando o comando systeminfo e copie-as para um arquivo com extensão .txt
Agora execute a ferramenta usando o banco de dados
Aqui, procure por exploits relacionados ao kernel.
Bom hacking!!

Exploração de Serviços:

Permissões inseguras de serviços:

Aqui vamos tentar identificar serviços com permissões inseguras e, então, podemos tentar explorá-los.
Aqui podemos utilizar o comando winpeas.exe servicesinfo e ver os serviços que são bastante úteis
Uma parte interessante da saída é assim,```

daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

- Mas para obter mais informações, podemos usar uma ferramenta chamada **accesschk**, que é da Microsoft, executando-a da seguinte forma `accesschk.exe /accepteula -uwcqv <current-user> <service>`, a saída é,```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

Mas a parte principal é service_change_config, onde podemos alterar a configuração do serviço.
Execute sc qc <service> e depois anote o Binary_path_name (que também pode ser chamado de binpath), que vamos alterar (sorriso maligno)
Agora crie um payload do tipo shell e transfira-o para a máquina alvo
Sintaxe para alterar a configuração: sc config <service> <option>="<value>"
Agora execute sc config daclsvc binpath="<path>" e inicie o serviço sc start daclsvc

Caminho de serviço sem aspas:(USP)

Para serviços, o caminho precisa estar entre aspas; se não estiver assim, podemos explorar essa brecha e obter privilégios elevados.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

Mais Populares

Windows-Privilege-Escalation-Notes