UAC - User Account Control
Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=55a3d9f2&sv=1)
Використовуйте Trickest для легкого створення та автоматизації робочих процесів, підтримуваних найсучаснішими інструментами спільноти. Отримайте доступ сьогодні:
UAC
Контроль облікових записів користувачів (UAC) - це функція, яка дозволяє запит на згоду для підвищених дій. Додатки мають різні рівні інтегритету
, і програма з високим рівнем може виконувати завдання, які можуть потенційно скомпрометувати систему. Коли UAC увімкнено, програми та завдання завжди виконуються в контексті безпеки облікового запису, що не є адміністратором, якщо адміністратор явно не надає цим програмам/завданням доступ на рівні адміністратора для виконання. Це зручна функція, яка захищає адміністраторів від ненавмисних змін, але не вважається межою безпеки.
Для отримання додаткової інформації про рівні інтегритету:
Integrity LevelsКоли UAC активовано, адміністратору надаються 2 токени: стандартний ключ користувача для виконання звичайних дій на звичайному рівні та один з адміністративними привілеями.
Ця сторінка детально обговорює, як працює UAC, включаючи процес входу, досвід користувача та архітектуру UAC. Адміністратори можуть використовувати політики безпеки для налаштування роботи UAC, специфічної для їхньої організації на локальному рівні (використовуючи secpol.msc) або налаштовувати та розгортати через об'єкти групової політики (GPO) в середовищі домену Active Directory. Різні налаштування обговорюються детально тут. Існує 10 налаштувань групової політики, які можна встановити для UAC. Наступна таблиця надає додаткові деталі:
Налаштування групової політики | Ключ реєстру | Налаштування за замовчуванням |
---|---|---|
FilterAdministratorToken | Вимкнено | |
EnableUIADesktopToggle | Вимкнено | |
ConsentPromptBehaviorAdmin | Запит на згоду для не-Windows бінарних файлів | |
ConsentPromptBehaviorUser | Запит на облікові дані на захищеному робочому столі | |
EnableInstallerDetection | Увімкнено (за замовчуванням для домашніх) Вимкнено (за замовчуванням для підприємств) | |
ValidateAdminCodeSignatures | Вимкнено | |
EnableSecureUIAPaths | Увімкнено | |
EnableLUA | Увімкнено | |
PromptOnSecureDesktop | Увімкнено | |
EnableVirtualization | Увімкнено |
Теорія обходу UAC
Деякі програми автоматично підвищуються, якщо користувач належить до групи адміністраторів. Ці бінарні файли мають у своїх Маніфестах опцію autoElevate зі значенням True. Бінарний файл також повинен бути підписаний Microsoft.
Тоді, щоб обійти UAC (підвищити з середнього рівня інтегритету до високого), деякі зловмисники використовують такі бінарні файли для виконання довільного коду, оскільки він буде виконуватися з процесу високого рівня інтегритету.
Ви можете перевірити Маніфест бінарного файлу, використовуючи інструмент sigcheck.exe з Sysinternals. І ви можете переглянути рівень інтегритету процесів, використовуючи Process Explorer або Process Monitor (з Sysinternals).
Перевірка UAC
Щоб підтвердити, чи увімкнено UAC, виконайте:
Якщо це 1
, то UAC активовано, якщо 0
або воно не існує, то UAC неактивно.
Тоді перевірте, який рівень налаштовано:
Якщо
0
, тоді UAC не буде запитувати (як вимкнено)Якщо
1
, адміністратор питається про ім'я користувача та пароль для виконання бінарного файлу з високими правами (на Secure Desktop)Якщо
2
(Завжди повідомляти мене) UAC завжди запитуватиме підтвердження у адміністратора, коли він намагається виконати щось з високими привілеями (на Secure Desktop)Якщо
3
, як1
, але не обов'язково на Secure DesktopЯкщо
4
, як2
, але не обов'язково на Secure DesktopЯкщо
5
(за замовчуванням), він запитає адміністратора підтвердити запуск не Windows бінарних файлів з високими привілеями
Тоді вам потрібно звернути увагу на значення LocalAccountTokenFilterPolicy
Якщо значення 0
, тоді лише користувач RID 500 (вбудований адміністратор) може виконувати адміністративні завдання без UAC, а якщо 1
, всі облікові записи в групі "Адміністратори" можуть це робити.
І, нарешті, зверніть увагу на значення ключа FilterAdministratorToken
Якщо 0
(за замовчуванням), вбудований обліковий запис адміністратора може виконувати віддалені адміністративні завдання, а якщо 1
, вбудований обліковий запис адміністратора не може виконувати віддалені адміністративні завдання, якщо LocalAccountTokenFilterPolicy
не встановлено на 1
.
Резюме
Якщо
EnableLUA=0
або не існує, немає UAC для нікогоЯкщо
EnableLua=1
іLocalAccountTokenFilterPolicy=1
, немає UAC для нікогоЯкщо
EnableLua=1
іLocalAccountTokenFilterPolicy=0
іFilterAdministratorToken=0
, немає UAC для RID 500 (вбудований адміністратор)Якщо
EnableLua=1
іLocalAccountTokenFilterPolicy=0
іFilterAdministratorToken=1
, UAC для всіх
Вся ця інформація може бути зібрана за допомогою модуля metasploit: post/windows/gather/win_privs
Ви також можете перевірити групи вашого користувача та отримати рівень цілісності:
UAC обхід
Зверніть увагу, що якщо у вас є графічний доступ до жертви, обхід UAC є простим, оскільки ви можете просто натиснути "Так", коли з'явиться запит UAC
Обхід UAC потрібен у наступній ситуації: UAC активовано, ваш процес працює в контексті середньої цілісності, і ваш користувач належить до групи адміністраторів.
Важливо зазначити, що набагато складніше обійти UAC, якщо він на найвищому рівні безпеки (Завжди), ніж якщо він на будь-якому з інших рівнів (За замовчуванням).
UAC вимкнено
Якщо UAC вже вимкнено (ConsentPromptBehaviorAdmin
є 0
), ви можете виконати зворотний шелл з правами адміністратора (високий рівень цілісності), використовуючи щось на зразок:
UAC обхід з дублікацією токенів
Дуже базовий UAC "обхід" (повний доступ до файлової системи)
Якщо у вас є оболонка з користувачем, який є в групі адміністраторів, ви можете монтувати C$ спільний доступ через SMB (файлова система) локально на новий диск, і ви отримаєте доступ до всього всередині файлової системи (навіть до домашньої папки адміністратора).
Схоже, цей трюк більше не працює
UAC обхід з Cobalt Strike
Техніки Cobalt Strike будуть працювати лише якщо UAC не встановлено на максимальному рівні безпеки.
Empire та Metasploit також мають кілька модулів для обходу UAC.
KRBUACBypass
Документація та інструмент у https://github.com/wh0amitz/KRBUACBypass
Вразливості обходу UAC
UACME, що є компіляцією кількох вразливостей обходу UAC. Зверніть увагу, що вам потрібно буде скомпілювати UACME за допомогою visual studio або msbuild. Компіляція створить кілька виконуваних файлів (як Source\Akagi\outout\x64\Debug\Akagi.exe
), вам потрібно знати, який з них вам потрібен.
Вам слід бути обережними, оскільки деякі обходи можуть викликати інші програми, які попередять користувача про те, що щось відбувається.
UACME має версію збірки, з якої почали працювати кожна техніка. Ви можете шукати техніку, що впливає на ваші версії:
Також, використовуючи цю сторінку, ви отримуєте версію Windows 1607
з версій збірки.
Більше обходів UAC
Усі техніки, що використовуються тут для обходу AUC, вимагають повної інтерактивної оболонки з жертвою (звичайна оболонка nc.exe не підходить).
Ви можете отримати доступ, використовуючи сесію meterpreter. Міграція до процесу, у якого значення Session дорівнює 1:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-556135a19be42624e8c47f97362eb4e224779014%252Fimage%2520%28863%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ebfa6023&sv=1)
(explorer.exe має працювати)
Обхід UAC з GUI
Якщо у вас є доступ до GUI, ви можете просто прийняти запит UAC, коли він з'явиться, вам насправді не потрібен обхід. Отже, отримання доступу до GUI дозволить вам обійти UAC.
Більше того, якщо ви отримали сесію GUI, яку хтось використовував (потенційно через RDP), є деякі інструменти, які працюватимуть як адміністратор, з яких ви могли б запустити cmd наприклад як адміністратор без повторного запиту UAC, як https://github.com/oski02/UAC-GUI-Bypass-appverif. Це може бути трохи більш приховано.
Гучний брутфорс обхід UAC
Якщо вам не важливо бути гучним, ви завжди можете запустити щось на кшталт https://github.com/Chainski/ForceAdmin, що просить підвищити права, поки користувач не прийме це.
Ваш власний обхід - Основна методологія обходу UAC
Якщо ви подивитеся на UACME, ви помітите, що більшість обходів UAC зловживають вразливістю Dll Hijacking (в основному записуючи шкідливий dll у C:\Windows\System32). Прочитайте це, щоб дізнатися, як знайти вразливість Dll Hijacking.
Знайдіть двійковий файл, який буде автоелевуватися (перевірте, що при виконанні він працює на високому рівні цілісності).
За допомогою procmon знайдіть події "NAME NOT FOUND", які можуть бути вразливими до DLL Hijacking.
Вам, ймовірно, потрібно буде записати DLL у деякі захищені шляхи (як C:\Windows\System32), де у вас немає прав на запис. Ви можете обійти це, використовуючи:
wusa.exe: Windows 7, 8 і 8.1. Це дозволяє витягувати вміст CAB-файлу в захищені шляхи (оскільки цей інструмент виконується з високим рівнем цілісності).
IFileOperation: Windows 10.
Підготуйте скрипт для копіювання вашого DLL у захищений шлях і виконання вразливого та автоелевованого двійкового файлу.
Інша техніка обходу UAC
Складається з спостереження, чи автоелевований двійковий файл намагається читати з реєстру ім'я/шлях двійкового файлу або команди для виконання (це більш цікаво, якщо двійковий файл шукає цю інформацію в HKCU).
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=55a3d9f2&sv=1)
Використовуйте Trickest, щоб легко створювати та автоматизувати робочі процеси, підтримувані найсучаснішими інструментами спільноти. Отримайте доступ сьогодні:
Вчіться та практикуйте хакінг AWS:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте хакінг GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated