JuicyPotato
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
JuicyPotato haitumiki kwenye Windows Server 2019 na Windows 10 build 1809 kuendelea. Hata hivyo, PrintSpoofer, RoguePotato, SharpEfsPotato zinaweza kutumika kuchukua faida ya ruhusa sawa na kupata NT AUTHORITY\SYSTEM
kiwango cha ufikiaji. Angalia:
Juicy Potato (kuabudu ruhusa za dhahabu)
Toleo lililo na sukari la RottenPotatoNG, likiwa na juisi kidogo, yaani chombo kingine cha Kuinua Ruhusa za Mitaa, kutoka Akaunti za Huduma za Windows hadi NT AUTHORITY\SYSTEM
Unaweza kupakua juicypotato kutoka https://ci.appveyor.com/project/ohpe/juicy-potato/build/artifacts
Muhtasari
Kutoka kwa juicy-potato Readme:
RottenPotatoNG na toleo lake linachukua faida ya mnyororo wa kuinua ruhusa kulingana na BITS
huduma ikiwa na msikilizaji wa MiTM kwenye 127.0.0.1:6666
na unapokuwa na ruhusa za SeImpersonate
au SeAssignPrimaryToken
. Wakati wa ukaguzi wa toleo la Windows tuligundua usanidi ambapo BITS
ulikuwa umezimwa kwa makusudi na bandari 6666
ilikuwa imechukuliwa.
Tuliamua kuunda silaha RottenPotatoNG: Sema habari kwa Juicy Potato.
Kwa nadharia, angalia Rotten Potato - Kuinua Ruhusa kutoka Akaunti za Huduma hadi SYSTEM na fuata mnyororo wa viungo na marejeleo.
Tuligundua kwamba, mbali na BITS
kuna seva kadhaa za COM tunaweza kuabudu. Zinahitaji tu:
kuwa na uwezo wa kuanzishwa na mtumiaji wa sasa, kawaida "mtumiaji wa huduma" ambaye ana ruhusa za kujiwakilisha
kutekeleza interface ya
IMarshal
kukimbia kama mtumiaji aliyeinuliwa (SYSTEM, Administrator, …)
Baada ya majaribio kadhaa tulipata na kujaribu orodha kubwa ya CLSID za kuvutia kwenye matoleo kadhaa ya Windows.
Maelezo ya Juicy
JuicyPotato inakuwezesha:
CLSID ya Lengo chagua CLSID yoyote unayotaka. Hapa unaweza kupata orodha iliyopangwa kwa OS.
Bandari ya Kusikiliza ya COM mwelekeo wa bandari ya kusikiliza ya COM unayopendelea (badala ya 6666 iliyowekwa kwenye msimbo)
Anwani ya IP ya Kusikiliza ya COM fungua seva kwenye IP yoyote
Njia ya uundaji wa mchakato kulingana na ruhusa za mtumiaji aliyejiwakilisha unaweza kuchagua kutoka:
CreateProcessWithToken
(inahitajiSeImpersonate
)CreateProcessAsUser
(inahitajiSeAssignPrimaryToken
)zote
Mchakato wa kuzindua zindua executable au script ikiwa unyakuzi unafanikiwa
Argumenti za Mchakato binafsisha hoja za mchakato uliozinduliwa
Anwani ya Seva ya RPC kwa njia ya siri unaweza kujiandikisha kwa seva ya RPC ya nje
Bandari ya Seva ya RPC inafaa ikiwa unataka kujiandikisha kwa seva ya nje na firewall inazuia bandari
135
…MTIHANI wa hali hasa kwa madhumuni ya majaribio, yaani, kujaribu CLSIDs. Inaunda DCOM na kuchapisha mtumiaji wa token. Angalia hapa kwa majaribio
Matumizi
Mawazo ya Mwisho
Kutoka kwa juicy-potato Readme:
Ikiwa mtumiaji ana SeImpersonate
au SeAssignPrimaryToken
ruhusa basi wewe ni SYSTEM.
Ni karibu haiwezekani kuzuia matumizi mabaya ya COM Servers hizi zote. Unaweza kufikiria kubadilisha ruhusa za vitu hivi kupitia DCOMCNFG
lakini bahati njema, hii itakuwa changamoto.
Suluhisho halisi ni kulinda akaunti na programu nyeti ambazo zinaendesha chini ya akaunti za * SERVICE
. Kuzuia DCOM
hakika kutazuia exploit hii lakini kunaweza kuwa na athari kubwa kwenye OS inayotegemea.
Kutoka: http://ohpe.it/juicy-potato/
Mifano
Kumbuka: Tembelea ukurasa huu kwa orodha ya CLSIDs za kujaribu.
Pata nc.exe reverse shell
Powershell rev
Launch a new CMD (if you have RDP access)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3018635170-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FCtGnfY5n0YCGcWtBkgwe%252Fuploads%252Fgit-blob-540b55ef07a710be0b9fe24b65c17daf982cd794%252Fimage%2520%28300%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=6a715783&sv=1)
CLSID Problems
Mara nyingi, CLSID ya default ambayo JuicyPotato inatumia haifanyi kazi na exploit inashindwa. Kawaida, inachukua majaribio kadhaa kupata CLSID inayofanya kazi. Ili kupata orodha ya CLSIDs za kujaribu kwa mfumo maalum wa uendeshaji, unapaswa kutembelea ukurasa huu:
Checking CLSIDs
Kwanza, utahitaji baadhi ya executable mbali na juicypotato.exe.
Pakua Join-Object.ps1 na upakue kwenye kikao chako cha PS, na pakua na tekeleza GetCLSID.ps1. Skripti hiyo itaunda orodha ya CLSIDs zinazowezekana za kujaribu.
Kisha pakua test_clsid.bat (badilisha njia ya orodha ya CLSID na kwa executable ya juicypotato) na uitekeleze. Itaanza kujaribu kila CLSID, na wakati nambari ya bandari inabadilika, itamaanisha kwamba CLSID ilifanya kazi.
Angalia CLSIDs zinazofanya kazi ukitumia parameter -c
References
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated