Повышение привилегий в Windows

Предпочтительная комната: https://tryhackme.com/room/windows10privesc, но вы можете использовать что угодно на ваш выбор.
Некоторые ресурсы,

Типы учётных записей в системах Windows:

Администратор (локальный): это пользователь с максимальными привилегиями.
Стандартный (локальный): эти пользователи могут получить доступ к компьютеру, но могут выполнять только ограниченные задачи. Обычно такие пользователи не могут вносить постоянные или важные изменения в систему.
Гость: эта учётная запись предоставляет доступ к системе, но не определяется как пользователь.
Стандартный (доменный): Active Directory позволяет организациям управлять учётными записями пользователей. Стандартная доменная учётная запись может иметь права локального администратора.
Администратор (доменный): может считаться пользователем с наибольшими привилегиями. Он может изменять, создавать и удалять других пользователей во всём домене организации.
SYSTEM : это не совсем учётная запись, но службы Windows используют её для выполнения своих задач; даже эта учётная запись имеет более высокие привилегии

Важный момент: группы — любой пользователь группы Administrator помогает нам повышать привилегии!

Сбор информации:

Один из лучших ресурсов: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

whoami /priv — привилегии текущего пользователя
net users — список всех пользователей
net user <username> — сведения о конкретном пользователе
qwinsta — другие пользователи, вошедшие в систему одновременно
net localgroup — группы, доступные в системе
net localgroup <group-name> — список участников конкретной группы
systeminfo — предоставляет всю информацию об ОС
hostname — имя хоста системы
findstr /si password *.txt — ищем файлы, содержащие 'password', и именно в текстовых файлах
wmic qfe get Caption,Description,HotFixID,InstalledOn — показывает информацию об обновлениях безопасности и связанных данных
netstat -ano — соединения, связанные с машиной
schtasks /query /fo LIST /v — поиск запланированных задач
driverquery — вывод информации о драйверах
sc query windefend — проверка службы антивируса

Windows Exploit Suggester:

Это легендарный инструмент, который используют большинство людей
С его помощью можно решить 60% машин в интернете
Ссылка: https://github.com/AonCyberLabs/Windows-Exploit-Suggester
Просто сохраните копию вывода команды systeminfo на своей машине — это единственное требование для работы инструмента
Профессиональный совет: убедитесь, что все зависимости установлены!

Уязвимое программное обеспечение:

Здесь мы попытаемся найти установленную версию ПО и проверить, уязвима ли она
wmic product get name,version,vendor — выводит название продукта, версию и производителя. Эта команда даёт наглядное представление о том, что нам нужно.
Иногда приведённая выше команда может не сработать, поэтому используйте wmic service list brief | findstr "Running", а для получения дополнительной информации о службе используйте sc qc <ServiceName>

Повышение привилегий через Metasploit:

После получения сессии в Metasploit запустите модуль post/multi/recon/local_exploit_suggester; убедитесь, что ваша сессия находится в фоне, чтобы этот инструмент работал корректно, или вы можете просто загрузить его из meterpreter.
Затем он предложит несколько модулей, которые можно эксплуатировать; попробуйте их, и некоторые могут сработать (необязательно).

WinPEAS:

Это автоматизированный скрипт для перечисления, который довольно полезен.
Для наилучшего использования просмотрите все опции, запустив winpeas.exe --help
Запускайте только те опции, которые нужны, и настраивайте вывод.

Эксплуатация ядра:

Используйте специальный инструмент Windows Exploit Suggester
Сначала получите информацию о системе, выполнив команду systeminfo, скопируйте её в любой файл и назовите его с расширением .txt
Теперь запустите инструмент, используя базу данных
Здесь ищите эксплойты, связанные с ядром.
Удачного взлома!!

Эксплуатация служб:

Небезопасные разрешения служб:

Здесь мы попытаемся найти службы с небезопасными разрешениями, а затем попробуем их эксплуатировать.
Здесь мы можем использовать команду winpeas.exe servicesinfo и увидеть службы, которые могут быть полезны
Одна интересная часть вывода выглядит так,```

daclsvc(DACL Service)["C:\Program Files\DACL Service\daclservice.exe"] - Manual - Stopped YOU CAN MODIFY THIS SERVICE: ChangeConfig

- Но чтобы получить больше информации, мы можем использовать инструмент под названием **accesschk**, созданный Microsoft, запустите его следующим образом: `accesschk.exe /accepteula -uwcqv <current-user> <service>`, вывод будет следующим,```
C:\PrivEsc>accesschk.exe /accepteula -uwcqv user daclsvc
daclsvc
        SERVICE_QUERY_STATUS
        SERVICE_QUERY_CONFIG
        SERVICE_CHANGE_CONFIG
        SERVICE_INTERROGATE
        SERVICE_ENUMERATE_DEPENDENTS
        SERVICE_START
        SERVICE_STOP
        READ_CONTROL

Но основная часть — это service_change_config, где мы можем изменить конфигурацию службы.
Выполните sc qc <service> и затем обратите внимание на Binary_path_name (его также называют binpath), который мы собираемся изменить (злобная улыбка)
Теперь создайте полезную нагрузку типа shell и передайте её на целевую машину
Синтаксис для изменения конфигурации: sc config <service> <option>="<value>"
Теперь sc config daclsvc binpath="<path>" и запустите службу sc start daclsvc

Путь службы без кавычек (USP)

Для служб путь должен быть указан в кавычках; если он не заключён в кавычки, мы можем воспользоваться этой лазейкой и получить высокие привилегии.``` Vulnerability Insight: The Windows API must assume where to find the referenced application if the path contains spaces and is not enclosed by quotation marks. If, for example, a service uses the unquoted path:

Vulnerable Service: C:\Program Files\Ignite Data\Vuln Service\file.exe

The system will read this path in the following sequence from 1 to 4 to trigger malicous.exe through a writeable directory.

Популярное

Windows-Privilege-Escalation-Notes