Windows Local Privilege Escalation
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
Mejor herramienta para buscar vectores de escalación de privilegios locales en Windows: WinPEAS
Teoría Inicial de Windows
Tokens de Acceso
Si no sabes qué son los Tokens de Acceso de Windows, lee la siguiente página antes de continuar:
Access TokensACLs - DACLs/SACLs/ACEs
Consulta la siguiente página para más información sobre ACLs - DACLs/SACLs/ACEs:
ACLs - DACLs/SACLs/ACEsNiveles de Integridad
Si no sabes qué son los niveles de integridad en Windows, deberías leer la siguiente página antes de continuar:
Integrity LevelsControles de Seguridad de Windows
Hay diferentes cosas en Windows que podrían impedirte enumerar el sistema, ejecutar ejecutables o incluso detectar tus actividades. Deberías leer la siguiente página y enumerar todos estos mecanismos de defensa antes de comenzar la enumeración de escalación de privilegios:
Windows Security ControlsInformación del Sistema
Enumeración de información de versión
Verifica si la versión de Windows tiene alguna vulnerabilidad conocida (verifica también los parches aplicados).
Version Exploits
Este sitio es útil para buscar información detallada sobre vulnerabilidades de seguridad de Microsoft. Esta base de datos tiene más de 4,700 vulnerabilidades de seguridad, mostrando la superficie de ataque masiva que presenta un entorno de Windows.
En el sistema
post/windows/gather/enum_patches
post/multi/recon/local_exploit_suggester
winpeas (Winpeas tiene watson integrado)
Localmente con información del sistema
Repositorios de Github de exploits:
Environment
¿Alguna credencial/información jugosa guardada en las variables de entorno?
Historial de PowerShell
Archivos de transcripción de PowerShell
Puedes aprender cómo activar esto en https://sid-500.com/2017/11/07/powershell-enabling-transcription-logging-by-using-group-policy/
PowerShell Module Logging
Los detalles de las ejecuciones del pipeline de PowerShell se registran, abarcando comandos ejecutados, invocaciones de comandos y partes de scripts. Sin embargo, los detalles completos de ejecución y los resultados de salida pueden no ser capturados.
Para habilitar esto, sigue las instrucciones en la sección "Archivos de transcripción" de la documentación, eligiendo "Module Logging" en lugar de "Powershell Transcription".
Para ver los últimos 15 eventos de los registros de PowersShell, puedes ejecutar:
PowerShell Script Block Logging
Se captura un registro completo de la actividad y el contenido total de la ejecución del script, asegurando que cada bloque de código esté documentado a medida que se ejecuta. Este proceso preserva un rastro de auditoría integral de cada actividad, valioso para la forensía y el análisis de comportamientos maliciosos. Al documentar toda la actividad en el momento de la ejecución, se proporcionan información detallada sobre el proceso.
Los eventos de registro para el Script Block se pueden encontrar en el Visor de Eventos de Windows en la ruta: Application and Services Logs > Microsoft > Windows > PowerShell > Operational. Para ver los últimos 20 eventos, puedes usar:
Configuración de Internet
Unidades
WSUS
Puedes comprometer el sistema si las actualizaciones no se solicitan usando httpS sino http.
Comienzas verificando si la red utiliza una actualización WSUS no SSL ejecutando lo siguiente:
Si recibes una respuesta como:
Y si HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU /v UseWUServer
es igual a 1
.
Entonces, es explotable. Si el último registro es igual a 0, entonces, la entrada de WSUS será ignorada.
Para explotar estas vulnerabilidades, puedes usar herramientas como: Wsuxploit, pyWSUS - Estos son scripts de exploits armados MiTM para inyectar actualizaciones 'falsas' en el tráfico WSUS no SSL.
Lee la investigación aquí:
WSUS CVE-2020-1013
Lee el informe completo aquí. Básicamente, esta es la falla que explota este error:
Si tenemos el poder de modificar nuestro proxy de usuario local, y Windows Updates utiliza el proxy configurado en la configuración de Internet Explorer, por lo tanto, tenemos el poder de ejecutar PyWSUS localmente para interceptar nuestro propio tráfico y ejecutar código como un usuario elevado en nuestro activo.
Además, dado que el servicio WSUS utiliza la configuración del usuario actual, también usará su almacén de certificados. Si generamos un certificado autofirmado para el nombre de host de WSUS y agregamos este certificado al almacén de certificados del usuario actual, podremos interceptar tanto el tráfico WSUS HTTP como HTTPS. WSUS no utiliza mecanismos similares a HSTS para implementar una validación de tipo confianza-en-el-primer-uso en el certificado. Si el certificado presentado es confiable para el usuario y tiene el nombre de host correcto, será aceptado por el servicio.
Puedes explotar esta vulnerabilidad usando la herramienta WSUSpicious (una vez que esté liberada).
KrbRelayUp
Una vulnerabilidad de escalación de privilegios local existe en entornos de dominio de Windows bajo condiciones específicas. Estas condiciones incluyen entornos donde la firma LDAP no se aplica, los usuarios poseen derechos propios que les permiten configurar Delegación Constrainida Basada en Recursos (RBCD), y la capacidad de los usuarios para crear computadoras dentro del dominio. Es importante notar que estos requisitos se cumplen utilizando configuraciones predeterminadas.
Encuentra el exploit en https://github.com/Dec0ne/KrbRelayUp
Para más información sobre el flujo del ataque, consulta https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation/
AlwaysInstallElevated
Si estos 2 registros están habilitados (el valor es 0x1), entonces los usuarios de cualquier privilegio pueden instalar (ejecutar) archivos *.msi
como NT AUTHORITY\SYSTEM.
Cargas útiles de Metasploit
Si tienes una sesión de meterpreter, puedes automatizar esta técnica utilizando el módulo exploit/windows/local/always_install_elevated
PowerUP
Usa el comando Write-UserAddMSI
de power-up para crear dentro del directorio actual un binario MSI de Windows para escalar privilegios. Este script genera un instalador MSI precompilado que solicita la adición de un usuario/grupo (por lo que necesitarás acceso GUI):
Solo ejecuta el binario creado para escalar privilegios.
MSI Wrapper
Lee este tutorial para aprender cómo crear un envoltorio MSI usando estas herramientas. Ten en cuenta que puedes envolver un ".bat" si solo quieres ejecutar líneas de comando.
MSI WrapperCrear MSI con WIX
Create MSI with WIXCrear MSI con Visual Studio
Genera con Cobalt Strike o Metasploit un nuevo payload TCP EXE de Windows en
C:\privesc\beacon.exe
Abre Visual Studio, selecciona Crear un nuevo proyecto y escribe "installer" en el cuadro de búsqueda. Selecciona el proyecto Setup Wizard y haz clic en Siguiente.
Dale un nombre al proyecto, como AlwaysPrivesc, usa
C:\privesc
para la ubicación, selecciona colocar solución y proyecto en el mismo directorio, y haz clic en Crear.Sigue haciendo clic en Siguiente hasta que llegues al paso 3 de 4 (elegir archivos para incluir). Haz clic en Agregar y selecciona el payload Beacon que acabas de generar. Luego haz clic en Finalizar.
Resalta el proyecto AlwaysPrivesc en el Explorador de Soluciones y en las Propiedades, cambia TargetPlatform de x86 a x64.
Hay otras propiedades que puedes cambiar, como el Autor y el Fabricante, que pueden hacer que la aplicación instalada parezca más legítima.
Haz clic derecho en el proyecto y selecciona Ver > Acciones Personalizadas.
Haz clic derecho en Instalar y selecciona Agregar Acción Personalizada.
Haz doble clic en Carpeta de Aplicaciones, selecciona tu archivo beacon.exe y haz clic en Aceptar. Esto asegurará que el payload beacon se ejecute tan pronto como se ejecute el instalador.
En las Propiedades de Acción Personalizada, cambia Run64Bit a True.
Finalmente, compílalo.
Si aparece la advertencia
File 'beacon-tcp.exe' targeting 'x64' is not compatible with the project's target platform 'x86'
, asegúrate de establecer la plataforma en x64.
Instalación de MSI
Para ejecutar la instalación del archivo malicioso .msi
en segundo plano:
Para explotar esta vulnerabilidad puedes usar: exploit/windows/local/always_install_elevated
Antivirus y Detectores
Configuraciones de Auditoría
Estas configuraciones deciden qué se está registrando, así que debes prestar atención.
WEF
Windows Event Forwarding, es interesante saber a dónde se envían los registros.
LAPS
LAPS está diseñado para la gestión de contraseñas de Administrador local, asegurando que cada contraseña sea única, aleatoria y actualizada regularmente en computadoras unidas a un dominio. Estas contraseñas se almacenan de forma segura en Active Directory y solo pueden ser accedidas por usuarios que han recibido permisos suficientes a través de ACLs, permitiéndoles ver las contraseñas de administrador local si están autorizados.
LAPSWDigest
Si está activo, las contraseñas en texto plano se almacenan en LSASS (Servicio de Subsistema de Autoridad de Seguridad Local). Más información sobre WDigest en esta página.
Protección LSA
A partir de Windows 8.1, Microsoft introdujo una protección mejorada para la Autoridad de Seguridad Local (LSA) para bloquear intentos de procesos no confiables de leer su memoria o inyectar código, asegurando aún más el sistema. Más información sobre la Protección LSA aquí.
Credentials Guard
Credential Guard fue introducido en Windows 10. Su propósito es proteger las credenciales almacenadas en un dispositivo contra amenazas como ataques de pass-the-hash.| Más información sobre Credentials Guard aquí.
Credenciales en caché
Las credenciales de dominio son autenticadas por la Autoridad de Seguridad Local (LSA) y utilizadas por los componentes del sistema operativo. Cuando los datos de inicio de sesión de un usuario son autenticados por un paquete de seguridad registrado, las credenciales de dominio para el usuario se establecen típicamente. Más información sobre Credenciales en caché aquí.
Usuarios y Grupos
Enumerar Usuarios y Grupos
Deberías verificar si alguno de los grupos a los que perteneces tiene permisos interesantes.
Grupos privilegiados
Si perteneces a algún grupo privilegiado, es posible que puedas escalar privilegios. Aprende sobre grupos privilegiados y cómo abusar de ellos para escalar privilegios aquí:
Privileged GroupsManipulación de tokens
Aprende más sobre qué es un token en esta página: Tokens de Windows. Consulta la siguiente página para aprender sobre tokens interesantes y cómo abusar de ellos:
Abusing TokensUsuarios registrados / Sesiones
Carpetas de inicio
Política de Contraseñas
Obtener el contenido del portapapeles
Procesos en Ejecución
Permisos de Archivos y Carpetas
Primero que nada, listar los procesos verifica si hay contraseñas dentro de la línea de comandos del proceso. Verifica si puedes sobrescribir algún binario en ejecución o si tienes permisos de escritura en la carpeta del binario para explotar posibles ataques de DLL Hijacking:
Siempre verifica si hay posibles depuradores de electron/cef/chromium en ejecución, podrías abusar de ellos para escalar privilegios.
Verificando los permisos de los binarios de los procesos
Comprobando los permisos de las carpetas de los binarios de los procesos (DLL Hijacking)
Minería de contraseñas en memoria
Puedes crear un volcado de memoria de un proceso en ejecución utilizando procdump de sysinternals. Servicios como FTP tienen las credenciales en texto claro en memoria, intenta volcar la memoria y leer las credenciales.
Aplicaciones GUI inseguras
Las aplicaciones que se ejecutan como SYSTEM pueden permitir a un usuario abrir un CMD o navegar por directorios.
Ejemplo: "Ayuda y soporte de Windows" (Windows + F1), buscar "símbolo del sistema", hacer clic en "Haga clic para abrir el símbolo del sistema"
Servicios
Obtenga una lista de servicios:
Permisos
Puedes usar sc para obtener información de un servicio
Se recomienda tener el binario accesschk de Sysinternals para verificar el nivel de privilegio requerido para cada servicio.
Se recomienda verificar si "Usuarios autenticados" pueden modificar algún servicio:
Puedes descargar accesschk.exe para XP aquí
Habilitar servicio
Si tienes este error (por ejemplo con SSDPSRV):
Se ha producido un error del sistema 1058. &#xNAN;Tel servicio no se puede iniciar, ya sea porque está deshabilitado o porque no tiene dispositivos habilitados asociados con él.
Puedes habilitarlo usando
Tenga en cuenta que el servicio upnphost depende de SSDPSRV para funcionar (para XP SP1)
Otra solución alternativa a este problema es ejecutar:
Modificar la ruta del binario del servicio
En el escenario donde el grupo de "Usuarios autenticados" posee SERVICE_ALL_ACCESS en un servicio, es posible modificar el binario ejecutable del servicio. Para modificar y ejecutar sc:
Reiniciar servicio
Los privilegios se pueden escalar a través de varios permisos:
SERVICE_CHANGE_CONFIG: Permite la reconfiguración del binario del servicio.
WRITE_DAC: Habilita la reconfiguración de permisos, lo que lleva a la capacidad de cambiar configuraciones de servicio.
WRITE_OWNER: Permite la adquisición de propiedad y la reconfiguración de permisos.
GENERIC_WRITE: Hereda la capacidad de cambiar configuraciones de servicio.
GENERIC_ALL: También hereda la capacidad de cambiar configuraciones de servicio.
Para la detección y explotación de esta vulnerabilidad, se puede utilizar el exploit/windows/local/service_permissions.
Permisos débiles de los binarios de servicios
Verifica si puedes modificar el binario que es ejecutado por un servicio o si tienes permisos de escritura en la carpeta donde se encuentra el binario (DLL Hijacking). Puedes obtener cada binario que es ejecutado por un servicio usando wmic (no en system32) y verificar tus permisos usando icacls:
También puedes usar sc e icacls:
Modificar permisos del registro de servicios
Deberías verificar si puedes modificar algún registro de servicio. Puedes verificar tus permisos sobre un registro de servicio haciendo:
Se debe verificar si Authenticated Users o NT AUTHORITY\INTERACTIVE poseen permisos de FullControl
. Si es así, el binario ejecutado por el servicio puede ser alterado.
Para cambiar la ruta del binario ejecutado:
Permisos de AppendData/AddSubdirectory en el registro de servicios
Si tienes este permiso sobre un registro, esto significa que puedes crear subregistros a partir de este. En el caso de los servicios de Windows, esto es suficiente para ejecutar código arbitrario:
AppendData/AddSubdirectory permission over service registryRutas de Servicio No Citadas
Si la ruta a un ejecutable no está entre comillas, Windows intentará ejecutar cada final antes de un espacio.
Por ejemplo, para la ruta C:\Program Files\Some Folder\Service.exe, Windows intentará ejecutar:
Lista todos los caminos de servicio no entrecomillados, excluyendo aquellos que pertenecen a servicios integrados de Windows:
Puedes detectar y explotar esta vulnerabilidad con metasploit: exploit/windows/local/trusted\_service\_path
Puedes crear manualmente un binario de servicio con metasploit:
Acciones de Recuperación
Windows permite a los usuarios especificar acciones a tomar si un servicio falla. Esta función se puede configurar para apuntar a un binario. Si este binario es reemplazable, podría ser posible la escalada de privilegios. Más detalles se pueden encontrar en la documentación oficial.
Aplicaciones
Aplicaciones Instaladas
Verifique los permisos de los binarios (quizás pueda sobrescribir uno y escalar privilegios) y de las carpetas (DLL Hijacking).
Permisos de Escritura
Verifica si puedes modificar algún archivo de configuración para leer algún archivo especial o si puedes modificar algún binario que va a ser ejecutado por una cuenta de Administrador (schedtasks).
Una forma de encontrar permisos débiles en carpetas/archivos en el sistema es haciendo:
Ejecutar al inicio
Verifica si puedes sobrescribir algún registro o binario que va a ser ejecutado por un usuario diferente. Lee la siguiente página para aprender más sobre ubicaciones de autorun interesantes para escalar privilegios:
Privilege Escalation with AutorunsControladores
Busca posibles controladores raros/vulnerables de terceros.
PATH DLL Hijacking
Si tienes permisos de escritura dentro de una carpeta presente en PATH podrías ser capaz de secuestrar una DLL cargada por un proceso y escalar privilegios.
Verifica los permisos de todas las carpetas dentro de PATH:
Para más información sobre cómo abusar de esta verificación:
Writable Sys Path +Dll Hijacking PrivescRed
Recursos compartidos
hosts file
Verifique si hay otras computadoras conocidas codificadas en el archivo hosts.
Interfaces de Red y DNS
Puertos Abiertos
Verifique los servicios restringidos desde el exterior
Tabla de Enrutamiento
Tabla ARP
Reglas del Firewall
Consulta esta página para comandos relacionados con el Firewall (listar reglas, crear reglas, desactivar, desactivar...)
Más comandos para enumeración de red aquí
Subsistema de Windows para Linux (wsl)
El binario bash.exe
también se puede encontrar en C:\Windows\WinSxS\amd64_microsoft-windows-lxssbash_[...]\bash.exe
Si obtienes el usuario root, puedes escuchar en cualquier puerto (la primera vez que uses nc.exe
para escuchar en un puerto, te preguntará a través de la GUI si nc
debe ser permitido por el firewall).
Para iniciar bash como root fácilmente, puedes intentar --default-user root
Puedes explorar el sistema de archivos de WSL
en la carpeta C:\Users\%USERNAME%\AppData\Local\Packages\CanonicalGroupLimited.UbuntuonWindows_79rhkp1fndgsc\LocalState\rootfs\
Credenciales de Windows
Credenciales de Winlogon
Administrador de credenciales / Bóveda de Windows
De https://www.neowin.net/news/windows-7-exploring-credential-manager-and-windows-vault La Bóveda de Windows almacena credenciales de usuario para servidores, sitios web y otros programas que Windows puede iniciar sesión en los usuarios automáticamente. A primera vista, esto podría parecer que ahora los usuarios pueden almacenar sus credenciales de Facebook, credenciales de Twitter, credenciales de Gmail, etc., para que inicien sesión automáticamente a través de los navegadores. Pero no es así.
La Bóveda de Windows almacena credenciales que Windows puede usar para iniciar sesión en los usuarios automáticamente, lo que significa que cualquier aplicación de Windows que necesite credenciales para acceder a un recurso (servidor o un sitio web) puede hacer uso de este Administrador de Credenciales y la Bóveda de Windows y usar las credenciales proporcionadas en lugar de que los usuarios ingresen el nombre de usuario y la contraseña todo el tiempo.
A menos que las aplicaciones interactúen con el Administrador de Credenciales, no creo que sea posible que usen las credenciales para un recurso dado. Así que, si tu aplicación quiere hacer uso de la bóveda, debería de alguna manera comunicarse con el administrador de credenciales y solicitar las credenciales para ese recurso desde la bóveda de almacenamiento predeterminada.
Usa cmdkey
para listar las credenciales almacenadas en la máquina.
Entonces puedes usar runas
con la opción /savecred
para utilizar las credenciales guardadas. El siguiente ejemplo llama a un binario remoto a través de un recurso compartido SMB.
Usando runas
con un conjunto de credenciales proporcionado.
Note que mimikatz, lazagne, credentialfileview, VaultPasswordView, o desde el módulo Empire Powershell.
DPAPI
La Interfaz de Programación de Aplicaciones de Protección de Datos (DPAPI) proporciona un método para la encriptación simétrica de datos, utilizado predominantemente dentro del sistema operativo Windows para la encriptación simétrica de claves privadas asimétricas. Esta encriptación aprovecha un secreto de usuario o del sistema para contribuir significativamente a la entropía.
DPAPI permite la encriptación de claves a través de una clave simétrica que se deriva de los secretos de inicio de sesión del usuario. En escenarios que involucran la encriptación del sistema, utiliza los secretos de autenticación del dominio del sistema.
Las claves RSA de usuario encriptadas, mediante DPAPI, se almacenan en el directorio %APPDATA%\Microsoft\Protect\{SID}
, donde {SID}
representa el Identificador de Seguridad del usuario. La clave DPAPI, co-localizada con la clave maestra que protege las claves privadas del usuario en el mismo archivo, típicamente consiste en 64 bytes de datos aleatorios. (Es importante notar que el acceso a este directorio está restringido, impidiendo listar su contenido a través del comando dir
en CMD, aunque se puede listar a través de PowerShell).
Puedes usar el módulo mimikatz dpapi::masterkey
con los argumentos apropiados (/pvk
o /rpc
) para desencriptarlo.
Los archivos de credenciales protegidos por la contraseña maestra suelen estar ubicados en:
Puedes usar el módulo mimikatz dpapi::cred
con el apropiado /masterkey
para desencriptar.
Puedes extraer muchas DPAPI masterkeys de memoria con el módulo sekurlsa::dpapi
(si eres root).
Credenciales de PowerShell
Las credenciales de PowerShell se utilizan a menudo para scripting y tareas de automatización como una forma de almacenar credenciales encriptadas de manera conveniente. Las credenciales están protegidas usando DPAPI, lo que generalmente significa que solo pueden ser desencriptadas por el mismo usuario en la misma computadora en la que fueron creadas.
Para desencriptar unas credenciales de PS del archivo que las contiene, puedes hacer:
Wifi
Conexiones RDP Guardadas
Puedes encontrarlas en HKEY_USERS\<SID>\Software\Microsoft\Terminal Server Client\Servers\
y en HKCU\Software\Microsoft\Terminal Server Client\Servers\
Comandos Ejecutados Recientemente
Administrador de Credenciales de Escritorio Remoto
Usa el módulo dpapi::rdg
de Mimikatz con el /masterkey
apropiado para desencriptar cualquier archivo .rdg
Puedes extraer muchas claves maestras DPAPI de la memoria con el módulo sekurlsa::dpapi
de Mimikatz
Sticky Notes
Las personas a menudo utilizan la aplicación StickyNotes en estaciones de trabajo Windows para guardar contraseñas y otra información, sin darse cuenta de que es un archivo de base de datos. Este archivo se encuentra en C:\Users\<user>\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite
y siempre vale la pena buscarlo y examinarlo.
AppCmd.exe
Ten en cuenta que para recuperar contraseñas de AppCmd.exe necesitas ser Administrador y ejecutar bajo un nivel de alta integridad.
AppCmd.exe se encuentra en el directorio %systemroot%\system32\inetsrv\
.
Si este archivo existe, entonces es posible que algunas credenciales hayan sido configuradas y puedan ser recuperadas.
Este código fue extraído de PowerUP:
SCClient / SCCM
Verifique si C:\Windows\CCM\SCClient.exe
existe.
Los instaladores se ejecutan con privilegios de SYSTEM, muchos son vulnerables a DLL Sideloading (Información de https://github.com/enjoiz/Privesc).
Archivos y Registro (Credenciales)
Credenciales de Putty
Claves de Host SSH de Putty
Claves SSH en el registro
Las claves privadas SSH pueden almacenarse dentro de la clave del registro HKCU\Software\OpenSSH\Agent\Keys
, así que deberías verificar si hay algo interesante allí:
Si encuentras alguna entrada dentro de esa ruta, probablemente será una clave SSH guardada. Está almacenada encriptada, pero se puede desencriptar fácilmente usando https://github.com/ropnop/windows_sshagent_extract. Más información sobre esta técnica aquí: https://blog.ropnop.com/extracting-ssh-private-keys-from-windows-10-ssh-agent/
Si el servicio ssh-agent
no está en ejecución y deseas que se inicie automáticamente al arrancar, ejecuta:
Parece que esta técnica ya no es válida. Intenté crear algunas claves ssh, agregarlas con ssh-add
e iniciar sesión a través de ssh en una máquina. El registro HKCU\Software\OpenSSH\Agent\Keys no existe y procmon no identificó el uso de dpapi.dll
durante la autenticación de clave asimétrica.
Archivos desatendidos
Puedes también buscar estos archivos usando metasploit: post/windows/gather/enum_unattend
Contenido de ejemplo:
Copias de seguridad de SAM y SYSTEM
Credenciales de la Nube
McAfee SiteList.xml
Busque un archivo llamado SiteList.xml
Contraseña GPP en caché
Anteriormente, había una función disponible que permitía el despliegue de cuentas de administrador local personalizadas en un grupo de máquinas a través de las Preferencias de Directiva de Grupo (GPP). Sin embargo, este método tenía fallas de seguridad significativas. En primer lugar, los Objetos de Directiva de Grupo (GPO), almacenados como archivos XML en SYSVOL, podían ser accedidos por cualquier usuario del dominio. En segundo lugar, las contraseñas dentro de estos GPP, cifradas con AES256 utilizando una clave predeterminada documentada públicamente, podían ser descifradas por cualquier usuario autenticado. Esto representaba un riesgo serio, ya que podría permitir a los usuarios obtener privilegios elevados.
Para mitigar este riesgo, se desarrolló una función para escanear archivos GPP en caché localmente que contengan un campo "cpassword" que no esté vacío. Al encontrar tal archivo, la función descifra la contraseña y devuelve un objeto PowerShell personalizado. Este objeto incluye detalles sobre el GPP y la ubicación del archivo, ayudando en la identificación y remediación de esta vulnerabilidad de seguridad.
Busque en C:\ProgramData\Microsoft\Group Policy\history
o en C:\Documents and Settings\All Users\Application Data\Microsoft\Group Policy\history (anterior a W Vista) para estos archivos:
Groups.xml
Services.xml
Scheduledtasks.xml
DataSources.xml
Printers.xml
Drives.xml
Para descifrar la cPassword:
Usando crackmapexec para obtener las contraseñas:
Configuración de IIS Web
Ejemplo de web.config con credenciales:
Credenciales de OpenVPN
Registros
Ask for credentials
You can always ask the user to enter his credentials of even the credentials of a different user if you think he can know them (notice that asking the client directly for the credentials is really risky):
Nombres de archivos posibles que contienen credenciales
Archivos conocidos que hace algún tiempo contenían contraseñas en texto claro o Base64
Buscar todos los archivos propuestos:
Credenciales en la Papelera de reciclaje
También deberías revisar la Papelera para buscar credenciales dentro de ella.
Para recuperar contraseñas guardadas por varios programas, puedes usar: http://www.nirsoft.net/password_recovery_tools.html
Dentro del registro
Otras posibles claves del registro con credenciales
Extraer claves openssh del registro.
Historial de Navegadores
Debes verificar bases de datos donde se almacenan contraseñas de Chrome o Firefox. También revisa el historial, marcadores y favoritos de los navegadores, ya que tal vez algunas contraseñas están almacenadas allí.
Herramientas para extraer contraseñas de navegadores:
Mimikatz:
dpapi::chrome
Sobrescritura de DLL COM
Component Object Model (COM) es una tecnología integrada en el sistema operativo Windows que permite la intercomunicación entre componentes de software de diferentes lenguajes. Cada componente COM es identificado a través de un ID de clase (CLSID) y cada componente expone funcionalidad a través de una o más interfaces, identificadas por IDs de interfaz (IIDs).
Las clases y interfaces COM se definen en el registro bajo HKEY_CLASSES_ROOT\CLSID y HKEY_CLASSES_ROOT\Interface respectivamente. Este registro se crea fusionando HKEY_LOCAL_MACHINE\Software\Classes + HKEY_CURRENT_USER\Software\Classes = HKEY_CLASSES_ROOT.
Dentro de los CLSIDs de este registro puedes encontrar el registro hijo InProcServer32 que contiene un valor predeterminado que apunta a una DLL y un valor llamado ThreadingModel que puede ser Apartment (Un hilo), Free (Múltiples hilos), Both (Un hilo o múltiples) o Neutral (Hilo neutral).
Básicamente, si puedes sobrescribir cualquiera de las DLLs que se van a ejecutar, podrías escalar privilegios si esa DLL va a ser ejecutada por un usuario diferente.
Para aprender cómo los atacantes utilizan el secuestro de COM como un mecanismo de persistencia, consulta:
COM HijackingBúsqueda genérica de contraseñas en archivos y registro
Buscar en el contenido de los archivos
Buscar un archivo con un nombre de archivo determinado
Buscar en el registro nombres de claves y contraseñas
Herramientas que buscan contraseñas
MSF-Credentials Plugin es un plugin de msf que he creado para ejecutar automáticamente cada módulo POST de metasploit que busca credenciales dentro de la víctima. Winpeas busca automáticamente todos los archivos que contienen contraseñas mencionados en esta página. Lazagne es otra gran herramienta para extraer contraseñas de un sistema.
La herramienta SessionGopher busca sesiones, nombres de usuario y contraseñas de varias herramientas que guardan estos datos en texto claro (PuTTY, WinSCP, FileZilla, SuperPuTTY y RDP)
Controladores Filtrados
Imagina que un proceso que se ejecuta como SYSTEM abre un nuevo proceso (OpenProcess()
) con acceso total. El mismo proceso también crea un nuevo proceso (CreateProcess()
) con bajos privilegios pero heredando todos los manejadores abiertos del proceso principal.
Entonces, si tienes acceso total al proceso de bajo privilegio, puedes obtener el manejador abierto al proceso privilegiado creado con OpenProcess()
y inyectar un shellcode.
Lee este ejemplo para más información sobre cómo detectar y explotar esta vulnerabilidad.
Lee esta otra publicación para una explicación más completa sobre cómo probar y abusar de más manejadores abiertos de procesos e hilos heredados con diferentes niveles de permisos (no solo acceso total).
Suplantación de Cliente de Tubería Nombrada
Los segmentos de memoria compartida, conocidos como tuberías, permiten la comunicación entre procesos y la transferencia de datos.
Windows proporciona una función llamada Tuberías Nombradas, que permite a procesos no relacionados compartir datos, incluso a través de diferentes redes. Esto se asemeja a una arquitectura cliente/servidor, con roles definidos como servidor de tubería nombrada y cliente de tubería nombrada.
Cuando se envían datos a través de una tubería por un cliente, el servidor que configuró la tubería tiene la capacidad de asumir la identidad del cliente, siempre que tenga los derechos necesarios de SeImpersonate. Identificar un proceso privilegiado que se comunica a través de una tubería que puedes imitar proporciona una oportunidad para obtener privilegios más altos al adoptar la identidad de ese proceso una vez que interactúa con la tubería que estableciste. Para instrucciones sobre cómo ejecutar tal ataque, se pueden encontrar guías útiles aquí y aquí.
Además, la siguiente herramienta permite interceptar una comunicación de tubería nombrada con una herramienta como burp: https://github.com/gabriel-sztejnworcel/pipe-intercept y esta herramienta permite listar y ver todas las tuberías para encontrar privescs https://github.com/cyberark/PipeViewer
Varios
Monitoreo de Líneas de Comando para contraseñas
Al obtener un shell como usuario, puede haber tareas programadas u otros procesos que se ejecutan y pasan credenciales en la línea de comando. El script a continuación captura las líneas de comando de los procesos cada dos segundos y compara el estado actual con el estado anterior, mostrando cualquier diferencia.
Robando contraseñas de procesos
De usuario de bajo privilegio a NT\AUTHORITY SYSTEM (CVE-2019-1388) / Bypass de UAC
Si tienes acceso a la interfaz gráfica (a través de consola o RDP) y UAC está habilitado, en algunas versiones de Microsoft Windows es posible ejecutar un terminal o cualquier otro proceso como "NT\AUTHORITY SYSTEM" desde un usuario sin privilegios.
Esto hace posible escalar privilegios y eludir UAC al mismo tiempo con la misma vulnerabilidad. Además, no es necesario instalar nada y el binario utilizado durante el proceso está firmado y emitido por Microsoft.
Algunos de los sistemas afectados son los siguientes:
Para explotar esta vulnerabilidad, es necesario realizar los siguientes pasos:
Tienes todos los archivos e información necesarios en el siguiente repositorio de GitHub:
https://github.com/jas502n/CVE-2019-1388
De nivel de integridad medio de Administrador a alto / Bypass de UAC
Lee esto para aprender sobre los niveles de integridad:
Integrity LevelsLuego lee esto para aprender sobre UAC y los bypass de UAC:
UAC - User Account ControlDe alta integridad a sistema
Nuevo servicio
Si ya estás ejecutando un proceso de alta integridad, el paso a SYSTEM puede ser fácil simplemente creando y ejecutando un nuevo servicio:
AlwaysInstallElevated
Desde un proceso de alta integridad, podrías intentar habilitar las entradas del registro AlwaysInstallElevated y instalar un reverse shell utilizando un .msi wrapper. Más información sobre las claves del registro involucradas y cómo instalar un paquete .msi aquí.
High + SeImpersonate privilege to System
Puedes encontrar el código aquí.
From SeDebug + SeImpersonate to Full Token privileges
Si tienes esos privilegios de token (probablemente los encontrarás en un proceso de alta integridad), podrás abrir casi cualquier proceso (no procesos protegidos) con el privilegio SeDebug, copiar el token del proceso y crear un proceso arbitrario con ese token. Usar esta técnica generalmente selecciona cualquier proceso que se ejecute como SYSTEM con todos los privilegios de token (sí, puedes encontrar procesos SYSTEM sin todos los privilegios de token). Puedes encontrar un ejemplo de código ejecutando la técnica propuesta aquí.
Named Pipes
Esta técnica es utilizada por meterpreter para escalar en getsystem
. La técnica consiste en crear un pipe y luego crear/abusar un servicio para escribir en ese pipe. Luego, el servidor que creó el pipe utilizando el privilegio SeImpersonate
podrá suplantar el token del cliente del pipe (el servicio) obteniendo privilegios de SYSTEM.
Si quieres aprender más sobre pipes nombrados, deberías leer esto.
Si quieres leer un ejemplo de cómo pasar de alta integridad a System usando pipes nombrados, deberías leer esto.
Dll Hijacking
Si logras secuestrar un dll que está siendo cargado por un proceso que se ejecuta como SYSTEM, podrás ejecutar código arbitrario con esos permisos. Por lo tanto, el Dll Hijacking también es útil para este tipo de escalada de privilegios y, además, es mucho más fácil de lograr desde un proceso de alta integridad ya que tendrá permisos de escritura en las carpetas utilizadas para cargar dlls. Puedes aprender más sobre Dll hijacking aquí.
From Administrator or Network Service to System
From LOCAL SERVICE or NETWORK SERVICE to full privs
Lee: https://github.com/itm4n/FullPowers
More help
Binaries estáticos de impacket
Useful tools
Mejor herramienta para buscar vectores de escalada de privilegios locales en Windows: WinPEAS
PS
PrivescCheck
PowerSploit-Privesc(PowerUP) -- Verifica configuraciones incorrectas y archivos sensibles (ver aquí). Detectado.
JAWS -- Verifica algunas posibles configuraciones incorrectas y recopila información (ver aquí).
privesc -- Verifica configuraciones incorrectas
SessionGopher -- Extrae información de sesiones guardadas de PuTTY, WinSCP, SuperPuTTY, FileZilla y RDP. Usa -Thorough en local.
Invoke-WCMDump -- Extrae credenciales del Administrador de Credenciales. Detectado.
DomainPasswordSpray -- Rociar contraseñas recopiladas a través del dominio
Inveigh -- Inveigh es un spoofing de PowerShell ADIDNS/LLMNR/mDNS/NBNS y herramienta de hombre en el medio.
WindowsEnum -- Enumeración básica de privesc en Windows
Sherlock ~~~~ -- Busca vulnerabilidades de privesc conocidas (DEPRECATED for Watson)
WINspect -- Comprobaciones locales (Necesita derechos de administrador)
Exe
Watson -- Busca vulnerabilidades de privesc conocidas (necesita ser compilado usando VisualStudio) (precompilado)
SeatBelt -- Enumera el host buscando configuraciones incorrectas (más una herramienta de recopilación de información que de privesc) (necesita ser compilado) (precompilado)
LaZagne -- Extrae credenciales de muchos softwares (exe precompilado en github)
SharpUP -- Puerto de PowerUp a C#
Beroot ~~~~ -- Verifica configuraciones incorrectas (ejecutable precompilado en github). No recomendado. No funciona bien en Win10.
Windows-Privesc-Check -- Verifica posibles configuraciones incorrectas (exe de python). No recomendado. No funciona bien en Win10.
Bat
winPEASbat -- Herramienta creada basada en este post (no necesita accesschk para funcionar correctamente, pero puede usarlo).
Local
Windows-Exploit-Suggester -- Lee la salida de systeminfo y recomienda exploits funcionales (python local) Windows Exploit Suggester Next Generation -- Lee la salida de systeminfo y recomienda exploits funcionales (python local)
Meterpreter
multi/recon/local_exploit_suggestor
Tienes que compilar el proyecto usando la versión correcta de .NET (ver esto). Para ver la versión instalada de .NET en el host víctima, puedes hacer:
Bibliografía
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
Last updated