Windows提权---系统漏洞提权

思路：使用辅助工具检查出电脑上存在哪些漏洞，然后精准打击...

一：CVE-2014-4113提权

1、漏洞描述

Microsoft Windows是美国微软（Microsoft）公司发布的一系列操作系统。win32k.sys是Windows子系统的内核部分，是一个内核模式设备驱动程序，它包含有窗口管理器、后台控制窗口和屏幕输出管理等。

如果Windows内核模式驱动程序不正确地处理内存中的对象，则存在一个特权提升漏洞。成功利用此漏洞的攻击者可以运行内核模式中的任意代码。攻击者随后可安装程序；查看、更改或删除数据；或者创建拥有完全管理权限的新帐户。

漏洞补丁：MS14-058

影响范围：该漏洞影响所有Windows x64，包括Windows 7 和 Windows Server 2008 R2 及以下版本。

利用项目：https://github.com/wikiZ/cve-2014-4113

2、漏洞复现

漏洞环境windows Server 2008

webshell查看权限

上传提权工具

使用上传的工具执行命令

二、 CVE-2016-3225_烂土豆提权

1、漏洞描述

Microsoft服务器消息块(SMB)中存在特权提升漏洞。本地攻击者可通过转发适用于在同一计算机上运行的其他服务的身份验证请求，利用该漏洞使用提升的特权执行任意代码。

特别注意：所谓的烂土豆提权就是俗称的MS16-075，可以将权限提升到“NT AUTHORITY \ SYSTEM”

》》》受影响版本《《《

Microsoft Windows Vista SP2，
Windows Server 2008 SP2和R2 SP1，
Windows 7 SP1，
Windows 8.1，
Windows Server 2012 Gold和R2，
Windows RT 8.1，
Windows 10 Gold和1511

》》》漏洞原理《《《

1. 欺骗“NT AUTHORITY \ SYSTEM”账户通过NTLM认证到我们控制的TCP终端
2. 对这个认证过程使用中间人攻击(NTLM重放)，为“NT AUTHORITY \ SYSTEM”账户本地协商一个安全令牌。这个过程是通过一系列的 Windows api调用实现的。
3. 模仿这个令牌。只有具有“模仿安全令牌权限”的账户才能去模仿别人的令牌。一般大多数的服务型账户(IIS、 MSSQL等)有这个权限，大多数用户级的账户没有这个权限。

   注解：
   一般从web拿到的 welshell都是IIS服务器权限，是具有这个模仿权限的。测试过程中，发现使用已经建好的账户(就是上面说的用户级账户)去反弹 meterpreter然后再去执行EXP的时候会失败，但使用菜刀(IIS服务器权限)反弹 meterpreter就会成功。总之，我对这个的理解是iis账户，权限太低，不能通过令牌窃取，列出系统账号进行提权，所以需要烂土豆，然后就可以列出系统账号，获取system权限...

》》》限制条件《《《

1. 需要支持SeImpersonate或者SeAssignPrimaryToken权限
2. 开启DCOM
3. 本地支持RPC或者远程服务器支持PRC并能成功登录
4. 能够找到可用的COM对象

》》》利用思路《《《

通过对应EXP进行提权，然后添加一个用户至管理员组，如果目标开启了远程桌面，就尝试进行登录....

》》》项目地址《《《 

https://github.com/itm4n/PrintSpoofer

2、漏洞复现

漏洞环境windows Server 2012

webshell查看权限

 上传烂土豆提权工具

使用上传的工具执行命令，system权限

三、CVE-2020-0787提权

1、漏洞描述

2020年3月，微软公布了一个影响范围堪称windows全版本的本地提权漏洞CVE-2020-0787，根据微软的漏洞描述，攻击者在使用低权限用户登录系统后，可以利用该漏洞构造恶意程序直接提权到administrator或者system权限。

》》》漏洞描述《《《

当Windows背景智能传输服务(BITS)没有正确处理符号链接时，存在特权提升漏洞。成功利用此漏洞的攻击者可以改写目标文件，从而提升权限。要利用这个漏洞，攻击者首先必须登录系统，攻击者可以运行EXP，利用该漏洞来提权进而完全控制受影响的系统。漏洞爆出后的安全更新通过纠正Windows BITS处理符号链接的方式修复了这个漏洞。

EXP进行利用的思路是，首先提供给目标服务一个文件夹路径，该路径最初将作为另一个“物理”目录的 junction (连接)点。我们创建了一个新的任务：“下载”一个本地文件，并且在TMP文件上设置 Oplock 。等任务恢复后，该服务会模拟 RPC 客户端身份开始写入 TMP 文件，触发 Oplock 。然后，我们需要将挂载点切换至对象目录（Object Directory），创建2个符号链接。此时TMP文件会指向我们拥有的任意文件，而“本地”文件将指向 System32 目录中的一个新的 dll 文件。在释放 Oplock 后，服务会继续写入原始的 TMP 文件，但会通过我们设置的2个符号链接执行最终的移动操作，这就是近几年来Windows漏洞中的一类 “任意文件移动” 漏洞，相对于内存破坏漏洞而言，这类漏洞不会导致目标主机蓝屏，在执行时有较高的稳定性和隐蔽性。

 影响版本

Windows 10 Version 1809 for ARM64-based Systems
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows Server, version 1903 (Server Core installation)
Windows 10 Version 1903 for ARM64-based Systems
Windows 10 Version 1903 for x64-based Systems
Windows 10 Version 1903 for 32-bit Systems
Windows 10 Version 1709 for ARM64-based Systems
Windows 10 Version 1709 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows Server, version 1909 (Server Core installation)
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1803 for ARM64-based Systems
Windows Server, version 1803 (Server Core Installation)
Windows 10 Version 1803 for x64-based Systems
Windows 10 Version 1803 for 32-bit Systems

2、漏洞复现

环境搭建情况如下

版本	Windows 10 专业版
版本号	1903
安装日期	‎2021/‎5/‎20
操作系统内部版本	18362.30

下载以下漏洞利用程序通过Webshell上传至目标服务器...

https://github.com/cbwang505/CVE-2020-0787-EXP-ALL-WINDOWS-VERSION/releases

查询window10原本权限为用户权限/administrator

使用工具后直接弹出具有system权限的cmd命令终端