Privilege Escalation with Autoruns
Consejo de recompensa por errores: Regístrate en Intigriti, una plataforma premium de recompensas por errores creada por hackers, para hackers. ¡Únete a nosotros en https://go.intigriti.com/hacktricks hoy y comienza a ganar recompensas de hasta $100,000!
WMIC
Wmic se puede utilizar para ejecutar programas al inicio. Ver qué binarios están programados para ejecutarse al inicio con:
Tareas programadas
Las tareas pueden programarse para ejecutarse con cierta frecuencia. Verifique qué binarios están programados para ejecutarse con:
Carpetas
Todos los binarios ubicados en las carpetas de inicio se ejecutarán al iniciar. Las carpetas de inicio comunes son las que se enumeran a continuación, pero la carpeta de inicio se indica en el registro. Lee esto para saber dónde.
Registro
Nota desde aquí: La entrada del registro Wow6432Node indica que estás ejecutando una versión de Windows de 64 bits. El sistema operativo utiliza esta clave para mostrar una vista separada de HKEY_LOCAL_MACHINE\SOFTWARE para aplicaciones de 32 bits que se ejecutan en versiones de Windows de 64 bits.
Ejecuciones
Registro de AutoRun comúnmente conocido:
HKLM\Software\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceHKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceHKCU\Software\Microsoft\Windows\CurrentVersion\RunHKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceHKCU\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunHKCU\Software\Wow6432Npde\Microsoft\Windows\CurrentVersion\RunOnceHKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceHKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceEx
Las claves del registro conocidas como Run y RunOnce están diseñadas para ejecutar automáticamente programas cada vez que un usuario inicia sesión en el sistema. La línea de comandos asignada como valor de datos de una clave está limitada a 260 caracteres o menos.
Ejecuciones de servicios (pueden controlar el inicio automático de servicios durante el arranque):
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnceHKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnceHKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesHKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesHKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServicesOnceHKCU\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServicesOnceHKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServicesHKCU\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServices
RunOnceEx:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceExHKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceEx
En Windows Vista y versiones posteriores, las claves del registro Run y RunOnce no se generan automáticamente. Las entradas en estas claves pueden iniciar programas directamente o especificarlos como dependencias. Por ejemplo, para cargar un archivo DLL en el inicio de sesión, se podría usar la clave del registro RunOnceEx junto con una clave "Depend". Esto se demuestra agregando una entrada de registro para ejecutar "C:\temp\evil.dll" durante el inicio del sistema:
Explotar 1: Si puedes escribir dentro de cualquiera de los registros mencionados dentro de HKLM, puedes escalar privilegios cuando inicie sesión un usuario diferente.
Explotar 2: Si puedes sobrescribir cualquiera de los binarios indicados en cualquiera de los registros dentro de HKLM, puedes modificar ese binario con una puerta trasera cuando inicie sesión un usuario diferente y escalar privilegios.
Ruta de Inicio
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell FoldersHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell FoldersHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell FoldersHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Los accesos directos ubicados en la carpeta Inicio activarán automáticamente servicios o aplicaciones durante el inicio de sesión del usuario o el reinicio del sistema. La ubicación de la carpeta Inicio está definida en el registro para los alcances de Máquina Local y Usuario Actual. Esto significa que cualquier acceso directo agregado a estas ubicaciones específicas de Inicio garantizará que el servicio o programa vinculado se inicie después del proceso de inicio de sesión o reinicio, convirtiéndolo en un método sencillo para programar la ejecución automática de programas.
Si puedes sobrescribir cualquier [Usuario] Carpeta Shell bajo HKLM, podrás apuntarlo a una carpeta controlada por ti y colocar un backdoor que se ejecutará cada vez que un usuario inicie sesión en el sistema, escalando privilegios.
Claves de Winlogon
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Normalmente, la clave Userinit está configurada para userinit.exe. Sin embargo, si esta clave se modifica, el ejecutable especificado también se iniciará con Winlogon al iniciar sesión el usuario. De manera similar, la clave Shell está destinada a apuntar a explorer.exe, que es el shell predeterminado de Windows.
Si puedes sobrescribir el valor del registro o el binario, podrás escalar privilegios.
Configuraciones de Política
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\ExplorerHKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
Verifica la clave Run.
AlternateShell
Cambiando el Símbolo del Sistema en Modo Seguro
En el Registro de Windows bajo HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot, hay un valor de AlternateShell configurado de forma predeterminada a cmd.exe. Esto significa que cuando eliges "Modo Seguro con Símbolo del Sistema" durante el inicio (presionando F8), se utiliza cmd.exe. Sin embargo, es posible configurar tu computadora para que inicie automáticamente en este modo sin necesidad de presionar F8 y seleccionarlo manualmente.
Pasos para crear una opción de arranque para iniciar automáticamente en "Modo Seguro con Símbolo del Sistema":
Cambiar los atributos del archivo
boot.inipara eliminar las banderas de solo lectura, sistema y oculto:attrib c:\boot.ini -r -s -hAbrir
boot.inipara editarlo.Insertar una línea como:
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /SAFEBOOT:MINIMAL(ALTERNATESHELL)Guardar los cambios en
boot.ini.Volver a aplicar los atributos originales del archivo:
attrib c:\boot.ini +r +s +h
Explotar 1: Cambiar la clave del registro AlternateShell permite configurar un símbolo del sistema personalizado, potencialmente para acceder sin autorización.
Explotar 2 (Permisos de Escritura en PATH): Tener permisos de escritura en cualquier parte de la variable del sistema PATH, especialmente antes de
C:\Windows\system32, te permite ejecutar uncmd.exepersonalizado, que podría ser una puerta trasera si el sistema se inicia en Modo Seguro.Explotar 3 (Permisos de Escritura en PATH y boot.ini): Acceso de escritura a
boot.inipermite el inicio automático en Modo Seguro, facilitando el acceso no autorizado en el próximo reinicio.
Para verificar la configuración actual de AlternateShell, utiliza estos comandos:
Componente Instalado
Active Setup es una característica en Windows que se inicia antes de que el entorno de escritorio esté completamente cargado. Prioriza la ejecución de ciertos comandos, los cuales deben completarse antes de que continúe el inicio de sesión del usuario. Este proceso ocurre incluso antes de que se activen otras entradas de inicio, como las de las secciones de registro Run o RunOnce.
Active Setup se gestiona a través de las siguientes claves de registro:
HKLM\SOFTWARE\Microsoft\Active Setup\Installed ComponentsHKLM\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed ComponentsHKCU\SOFTWARE\Microsoft\Active Setup\Installed ComponentsHKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components
Dentro de estas claves, existen varias subclaves, cada una correspondiente a un componente específico. Los valores clave de particular interés incluyen:
IsInstalled:
0indica que el comando del componente no se ejecutará.1significa que el comando se ejecutará una vez por cada usuario, que es el comportamiento predeterminado si falta el valorIsInstalled.
StubPath: Define el comando a ejecutar por Active Setup. Puede ser cualquier línea de comando válida, como iniciar
notepad.
Información de Seguridad:
Modificar o escribir en una clave donde
IsInstalledestá establecido en"1"con unStubPathespecífico puede llevar a la ejecución no autorizada de comandos, potencialmente para la escalada de privilegios.Alterar el archivo binario al que hace referencia cualquier valor de
StubPathtambién podría lograr la escalada de privilegios, siempre que se tengan permisos suficientes.
Para inspeccionar las configuraciones de StubPath en los componentes de Active Setup, se pueden usar estos comandos:
Objetos Auxiliares del Navegador
Descripción de los Objetos Auxiliares del Navegador (BHOs)
Los Objetos Auxiliares del Navegador (BHOs) son módulos DLL que añaden funciones adicionales al Internet Explorer de Microsoft. Se cargan en Internet Explorer y en el Explorador de Windows en cada inicio. Sin embargo, su ejecución puede ser bloqueada configurando la clave NoExplorer en 1, impidiendo que se carguen con las instancias del Explorador de Windows.
Los BHOs son compatibles con Windows 10 a través de Internet Explorer 11, pero no son compatibles con Microsoft Edge, el navegador predeterminado en las versiones más recientes de Windows.
Para explorar los BHOs registrados en un sistema, puedes inspeccionar las siguientes claves del registro:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper ObjectsHKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
Cada BHO está representado por su CLSID en el registro, sirviendo como identificador único. Información detallada sobre cada CLSID se puede encontrar en HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}.
Para consultar los BHOs en el registro, se pueden utilizar los siguientes comandos:
Extensiones de Internet Explorer
HKLM\Software\Microsoft\Internet Explorer\ExtensionsHKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions
Ten en cuenta que el registro contendrá 1 nuevo registro por cada dll y estará representado por el CLSID. Puedes encontrar la información del CLSID en HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}
Controladores de Fuentes
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Font DriversHKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Font Drivers
Comando de Apertura
HKLM\SOFTWARE\Classes\htmlfile\shell\open\commandHKLM\SOFTWARE\Wow6432Node\Classes\htmlfile\shell\open\command
Opciones de Ejecución de Archivos de Imagen
SysInternals
Tenga en cuenta que todos los sitios donde puede encontrar autoruns ya han sido buscados por winpeas.exe. Sin embargo, para obtener una lista más completa de archivos ejecutados automáticamente, puede utilizar autoruns de SysInternals:
Más
Encuentra más Autoruns como registros en https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2
Referencias
Consejo de recompensa por errores: Regístrate en Intigriti, una plataforma premium de recompensas por errores creada por hackers, para hackers. ¡Únete a nosotros en https://go.intigriti.com/hacktricks hoy y comienza a ganar recompensas de hasta $100,000!
Última actualización
