hacktricks/windows-hardening/windows-local-privilege-escalation/privilege-escalation-abusing-tokens.md

Κατάχρηση Δικαιωμάτων

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

• Εργάζεστε σε μια εταιρεία κυβερνοασφάλειας; Θέλετε να δείτε την εταιρεία σας να διαφημίζεται στο HackTricks; ή θέλετε να έχετε πρόσβαση στην τελευταία έκδοση του PEASS ή να κατεβάσετε το HackTricks σε μορφή PDF; Ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
• Ανακαλύψτε τη Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
• Αποκτήστε το επίσημο PEASS & HackTricks swag
• Εγγραφείτε στη 💬 ομάδα Discord ή στη ομάδα τηλεγραφήματος ή ακολουθήστε με στο Twitter 🐦@carlospolopm.
• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στο αποθετήριο hacktricks και αποθετήριο hacktricks-cloud.

Διακριτικά

Αν δεν γνωρίζετε τι είναι τα Διακριτικά Πρόσβασης των Windows διαβάστε αυτήν τη σελίδα πριν συνεχίσετε:

{% content-ref url="access-tokens.md" %} access-tokens.md {% endcontent-ref %}

Ίσως να μπορείτε να αναβαθμίσετε τα δικαιώματά σας καταχρώμενοι τα διακριτικά που ήδη έχετε

SeImpersonatePrivilege

Αυτό το δικαίωμα που κατέχεται από οποιαδήποτε διαδικασία επιτρέπει την υποκατάσταση (αλλά όχι τη δημιουργία) οποιουδήποτε διακριτικού, εφόσον μπορεί να ληφθεί μια χειροσφαίριση για αυτό. Ένα προνομιούχο διακριτικό μπορεί να αποκτηθεί από ένα υπηρεσία των Windows (DCOM) προκαλώντας τη να πραγματοποιήσει ελέγχους NTLM εναντίον ενός εκμεταλλεύσιμου σφάλματος, επιτρέποντας στη συνέχεια την εκτέλεση μιας διαδικασίας με δικαιώματα ΣΥΣΤΗΜΑΤΟΣ. Αυτή η ευπάθεια μπορεί να εκμεταλλευτεί χρησιμοποιώντας διάφορα εργαλεία, όπως το juicy-potato, το RogueWinRM (το οποίο απαιτεί την απενεργοποίηση του winrm), το SweetPotato και το PrintSpoofer.

{% content-ref url="roguepotato-and-printspoofer.md" %} roguepotato-and-printspoofer.md {% endcontent-ref %}

{% content-ref url="juicypotato.md" %} juicypotato.md {% endcontent-ref %}

SeAssignPrimaryPrivilege

Είναι πολύ παρόμοιο με το SeImpersonatePrivilege, θα χρησιμοποιήσει την ίδια μέθοδο για να αποκτήσει ένα προνομιούχο διακριτικό.
Στη συνέχεια, αυτό το δικαίωμα επιτρέπει την ανάθεση ενός πρωτεύοντος διακριτικού σε μια νέα/ανασταλμένη διαδικασία. Με το προνομιούχο διακριτικό υποκατάστασης μπορείτε να παράγετε ένα πρωτεύον διακριτικό (DuplicateTokenEx).
Με το διακριτικό, μπορείτε να δημιουργήσετε μια νέα διαδικασία με το 'CreateProcessAsUser' ή να δημιουργήσετε μια διαδικασία ανασταλμένη και να ορίσετε το διακριτικό (γενικά, δεν μπορείτε να τροποποιήσετε το πρωτεύον διακριτικό μιας εκτελούμενης διαδικασίας).

SeTcbPrivilege

Αν έχετε ενεργοποιήσει αυτό το διακριτικό μπορείτε να χρησιμοποιήσετε το KERB_S4U_LOGON για να λάβετε ένα διακριτικό υποκατάστασης για οποιονδήποτε άλλο χρήστη χωρίς να γνωρίζετε τα διαπιστευτήριά του, προσθέσετε μια αυθαίρετη ομάδα (διαχειριστές) στο διακριτικό, ορίστε το επίπεδο ακεραιότητας του διακριτικού σε "μεσαίο" και αναθέστε αυτό το διακριτικό στο τρέχον νήμα (SetThreadToken).

SeBackupPrivilege

Το σύστημα προκαλεί την χορήγηση όλων των δικαιωμάτων ανάγνωσης ελέγχου σε οποιοδήποτε αρχείο (περιορισμένο σε λειτουργίες ανάγνωσης) με αυτό το διακαίωμα. Χρησιμοποιείται για την ανάγνωση των κατακευασμένων κωδικών πρόσβασης των τοπικών λογαριασμών Διαχειριστή από το μητρώο, με αποτέλεσμα να μπορούν να χρησιμοποιηθούν εργαλεία όπως το "psexec" ή το "wmicexec" με τον κωδικό (τεχνική Pass-the-Hash). Ωστόσο, αυτή η τεχνική αποτυγχάνει υπό δύο συνθήκες: όταν ο λογαριασμός τοπικού Διαχειριστή είναι απενεργοποιημένος, ή όταν υπάρχει μια πολιτική που αφαιρεί τα διαχειριστικά δικαιώματα από τους τοπικούς Διαχειριστές που συνδέονται απομακρυσμένα.
Μπορείτε να καταχρηστείτε αυτό το δικαίωμα με:

• https://github.com/Hackplayers/PsCabesha-tools/blob/master/Privesc/Acl-FullControl.ps1
• https://github.com/giuliano108/SeBackupPrivilege/tree/master/SeBackupPrivilegeCmdLets/bin/Debug
• ακολουθώντας τον IppSec στο https://www.youtube.com/watch?v=IfCysW0Od8w&t=2610&ab_channel=IppSec
• Ή όπως εξηγείται στην ενότητα ανάδειξη δικαιωμάτων με τους Τελεστές Αντιγράφων Ασφαλείας του:

{% content-ref url="../active-directory-methodology/privileged-groups-and-token-privileges.md" %} privileged-groups-and-token-privileges.md {% endcontent-ref %}

SeRestorePrivilege

Το δικαίωμα για εγγραφή πρόσβασης σε οποιοδήποτε αρχείο συστήματος, ανεξάρτητα από τη λίστα ελέγχου πρόσβασης (ACL) του αρχείου, παρέχεται από αυτό το δικαίωμα. Ανοίγει πολλές δυνατότητες για αναβάθμιση, συμπεριλαμβανομένης της δυνατότητας να τροποποιήσετε υπηρεσίες, να εκτελέσετε DLL Hijacking και να ορίσετε debuggers μέσω των Image File Execution Options μεταξύ διαφόρων άλλων τεχνικών.

SeCreateTokenPrivilege

Το SeCreateTokenPrivilege είναι ένα ισχυρό δικαίωμα, ιδιαίτερα χρήσιμο όταν ένας χρήστης διαθέτει τη δυνατότητα υποκατάστασης διακριτικών, αλλά και σε περίπτωση έλλειψης του SeImpersonatePrivilege. Αυτή η ικανότητα εξαρτάται από τη δυνατότητα υποκατάστασης ενός διακριτικού που αντιπροσωπεύει τον ίδιο χρήστη και του οποίου το επίπεδο ακεραιότητας δεν υπερβαίνει αυτό της τρέχου

# Example Python code to set the registry values
import winreg as reg

# Define the path and values
path = r'Software\YourPath\System\CurrentControlSet\Services\DriverName' # Adjust 'YourPath' as needed
key = reg.OpenKey(reg.HKEY_CURRENT_USER, path, 0, reg.KEY_WRITE)
reg.SetValueEx(key, "ImagePath", 0, reg.REG_SZ, "path_to_binary")
reg.SetValueEx(key, "Type", 0, reg.REG_DWORD, 0x00000001)
reg.CloseKey(key)

Περισσότεροι τρόποι για την κατάχρηση αυτού του προνόμιου στο https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges#seloaddriverprivilege

SeTakeOwnershipPrivilege

Αυτό είναι παρόμοιο με το SeRestorePrivilege. Η κύρια λειτουργία του επιτρέπει σε ένα διεργασία να αναλάβει την ιδιοκτησία ενός αντικειμένου, παρακάμπτοντας την απαίτηση για συγκεκριμένη πρόσβαση μέσω της παροχής δικαιωμάτων πρόσβασης WRITE_OWNER. Η διαδικασία περιλαμβάνει πρώτα την ασφαλή απόκτηση της ιδιοκτησίας του επιθυμητού κλειδιού του μητρώου για σκοπούς εγγραφής, και στη συνέχεια την τροποποίηση του DACL για την ενεργοποίηση λειτουργιών εγγραφής.

takeown /f 'C:\some\file.txt' #Now the file is owned by you
icacls 'C:\some\file.txt' /grant <your_username>:F #Now you have full access
# Use this with files that might contain credentials such as
%WINDIR%\repair\sam
%WINDIR%\repair\system
%WINDIR%\repair\software
%WINDIR%\repair\security
%WINDIR%\system32\config\security.sav
%WINDIR%\system32\config\software.sav
%WINDIR%\system32\config\system.sav
%WINDIR%\system32\config\SecEvent.Evt
%WINDIR%\system32\config\default.sav
c:\inetpub\wwwwroot\web.config

SeDebugPrivilege

Αυτό το προνόμιο επιτρέπει το debugging άλλων διεργασιών, συμπεριλαμβανομένης της ανάγνωσης και εγγραφής στη μνήμη. Διάφορες στρατηγικές για ενσωμάτωση μνήμης, ικανές να αποφεύγουν τις περισσότερες λύσεις αντιιστορίας και πρόληψης εισβολών στον κεντρικό υπολογιστή, μπορούν να χρησιμοποιηθούν με αυτό το προνόμιο.

Dump μνήμης

Μπορείτε να χρησιμοποιήσετε το ProcDump από το SysInternals Suite για να καταγράψετε τη μνήμη μιας διεργασίας. Συγκεκριμένα, αυτό μπορεί να εφαρμοστεί στη διεργασία Local Security Authority Subsystem Service (LSASS), η οποία είναι υπεύθυνη για την αποθήκευση διαπιστευτήριων χρηστών αφού ένας χρήστης έχει συνδεθεί με επιτυχία σε ένα σύστημα.

Στη συνέχεια μπορείτε να φορτώσετε αυτήν την καταγραφή στο mimikatz για να λάβετε κωδικούς πρόσβασης:

mimikatz.exe
mimikatz # log
mimikatz # sekurlsa::minidump lsass.dmp
mimikatz # sekurlsa::logonpasswords

RCE

Αν θέλετε να αποκτήσετε ένα κέλυφος NT SYSTEM μπορείτε να χρησιμοποιήσετε:

• SeDebugPrivilege-Exploit (C++)
• SeDebugPrivilegePoC (C#)
• psgetsys.ps1 (Powershell Script)

# Get the PID of a process running as NT SYSTEM
import-module psgetsys.ps1; [MyProcess]::CreateProcessFromParent(<system_pid>,<command_to_execute>)

Έλεγχος προνομίων

whoami /priv

Ενεργοποίηση όλων των δικαιωμάτων

Αν έχετε απενεργοποιημένα tokens, μπορείτε να χρησιμοποιήσετε το σενάριο EnableAllTokenPrivs.ps1 για να ενεργοποιήσετε όλα τα tokens:

.\EnableAllTokenPrivs.ps1
whoami /priv

Ή σενάριο ενσωματώνεται σε αυτήν την ανάρτηση.

Πίνακας

Ο πλήρης οδηγός προνομίων δικαιωμάτων στο https://github.com/gtworek/Priv2Admin, η περίληψη παρακάτω θα αναφέρει μόνο τους άμεσους τρόπους εκμετάλλευσης του προνόμιου για την απόκτηση μιας συνεδρίας διαχειριστή ή την ανάγνωση ευαίσθητων αρχείων.

Προνόμιο	Επίδραση	Εργαλείο	Διαδρομή εκτέλεσης	Σχόλια
SeAssignPrimaryToken	Διαχειριστής	3ο εργαλείο	"Θα επέτρεπε σε έναν χρήστη να υποκαταστήσει διακριτικά και να αναβαθμίσει σε σύστημα nt χρησιμοποιώντας εργαλεία όπως το potato.exe, rottenpotato.exe και juicypotato.exe"	Ευχαριστώ Aurélien Chalot για την ενημέρωση. Θα προσπαθήσω να το επαναδιατυπώσω σε κάτι πιο σαν συνταγή σύντομα.
SeBackup	Απειλή	Ενσωματωμένες εντολές	Διαβάστε ευαίσθητα αρχεία με robocopy /b	- Μπορεί να είναι πιο ενδιαφέρον αν μπορείτε να διαβάσετε το %WINDIR%\MEMORY.DMP - Το SeBackupPrivilege (και το robocopy) δεν είναι χρήσιμο όταν πρόκειται για ανοιχτά αρχεία. - Το Robocopy απαιτεί τόσο το SeBackup όσο και το SeRestore για να λειτουργήσει με την παράμετρο /b.
SeCreateToken	Διαχειριστής	3ο εργαλείο	Δημιουργία αυθαίρετου διακριτικού συμπεριλαμβανομένων των τοπικών δικαιωμάτων διαχειριστή με το NtCreateToken.
SeDebug	Διαχειριστής	PowerShell	Διπλασιάστε το διακριτικό lsass.exe.	Το σενάριο βρίσκεται στο FuzzySecurity
SeLoadDriver	Διαχειριστής	3ο εργαλείο	1. Φόρτωση ελαττωματικού πυρήνα οδηγού όπως το szkg64.sys 2. Εκμεταλλευτείτε την ευπάθεια του οδηγού Εναλλακτικά, το προνόμιο μπορεί να χρησιμοποιηθεί για την εκφόρτωση οδηγών που σχετίζονται με την ασφάλεια με την εντολή ενσωματωμένης εντολής ftlMC. π.χ.: fltMC sysmondrv	1. Η ευπάθεια του szkg64 καταχωρίζεται ως CVE-2018-15732 2. Ο κώδικας εκμετάλλευσης του szkg64 δημιουργήθηκε από τον Parvez Anwar
SeRestore	Διαχειριστής	PowerShell	1. Εκκίνηση του PowerShell/ISE με το προνόμιο SeRestore παρόν. 2. Ενεργοποίηση του προνομίου με το Enable-SeRestorePrivilege). 3. Μετονομασία του utilman.exe σε utilman.old 4. Μετονομασία του cmd.exe σε utilman.exe 5. Κλείδωμα της κονσόλας και πάτημα Win+U	Η επίθεση μπορεί να ανιχνευθεί από ορισμένο λογισμικό AV. Η εναλλακτική μέθοδος βασίζεται στην αντικατάσταση των δυαδικών αρχείων υπηρεσιών που αποθηκεύονται στο "Προγράμματα" χρησιμοποιώντας το ίδιο προνόμιο
SeTakeOwnership	Διαχειριστής	Ενσωματωμένες εντολές	1. takeown.exe /f "%windir%\system32" 2. icalcs.exe "%windir%\system32" /grant "%username%":F 3. Μετονομασία του cmd.exe σε utilman.exe 4. Κλείδωμα της κονσόλας και πάτημα Win+U	Η επίθεση μπορεί να ανιχνευθεί από ορισμένο λογισμικό AV. Η εναλλακτική μέθοδος βασίζεται στην αντικατάσταση των δυαδικών αρχείων υπηρεσιών που αποθηκεύονται στο "Προγράμματα" χρησιμοποιώντας το ίδιο προνόμιο.
SeTcb	Διαχειριστής	3ο εργαλείο	Διαχειριστείτε τα διακριτικά για να περιλαμβάνουν τα δικαιώματα διαχειριστή. Μπορεί να απαιτηθεί το SeImpersonate. Να επαληθευτεί.

Αναφορά

• Ρίξτε μια ματιά σε αυτόν τον πίνακα που ορίζει τα διακριτικά των Windows: https://github.com/gtworek/Priv2Admin
• Ρίξτε μια ματιά σε αυτό το έγγραφο σχετικά με την εκμετάλλευση δικαιωμάτων.