利用WMIC实战MS１６－０３２本地溢出漏洞

假设此处我们通过了一系列的渗透测试得到了目标机器的Meterpreter Shell.
　　首先输入getuid命令查看已经获得的权限，可以看到现在的权限很低，是test权限。

	meterpreter > getuid
	Server username:WIN-S7TJ4B561MT\test

尝试输入getsystem命令提权，结果失败。

	meterpreter > getsystem

接着查看系统的已达补丁，传统的方法是在目标机的CMD命令行下输入systeminfo命令，或者通过查询C:\windows\里留下的补丁好“.log”查看目标机大概打了那些补丁，

	C:\Users > systeminfo

可以看到目标及只安装了2个修补程序。这里再利用WIMIC命令列出已安装的补丁，

	C:\Users > Wmic_qfe get Caption,Description,HotFixIP,InstalledOn

同样可以看到目标及只打了2个补丁，要注意这些输出的结果是不能被直接利用的，使用的方式是去提权的EXP，然后将系统已安装的补丁编号域提权的EXP编号进行对比。比如KiTrap0D(KB979682),MS11-011(KB2393802),MS11-080(KB2592799),然后使用没有编号的EXP进行提权。因为虚拟机不怎么打补丁，所以我们可以使用很多EXP来提权，这里就用最新的MS16-032来尝试提权，对应的编号是KB31399144.
　　相关漏洞的具体信息分析和共享可以参考如下两个网站

• 安全焦点，其BugTrap是一个出色的漏洞和Exploit数据源，可以通过CVE编号或者产品信息漏洞直接搜索。
• Exploit-DB,取代了老牌安全网站milw0rm.Exploit-DB不断更新大量的Exploit程序和报告，它的搜索范围是整个网站的内容。
  知识点：WMIC是Windows Management Instrumentation Command-line的简称，它是一款命令行管理工具，提供了从命令行接口到批命令脚本执行系统管理的支持，可以说是Windows平台下最有用的命令行工具。使用WMIC，我们不但可以管理本地计算机，还可以管理同一域内的所有远程计算机（需要必要的权限），而被管理的远程计算机不必事先安装WMIC。

wmic.exe位于Windows目录下，是一个命令行程序。WMIC可以以两种模式执行：交互模式（Interactive mode）和非交互模式（Non-Interactive mode）

• 交互模式：如果你在命令提示符下或通过“运行”菜单只输入WMIC，都将进入WMIC的交互模式，每当一个命令执行完毕后，系统还会返回到WMIC提示符下，如“Root\cli”，交互模式通常在需要执行多个WMIC指令是使用，有时还会对一些敏感的操作要求确认，例如删除操作，这样能最大限度地防止用户操作出现失误。
• 非交互模式：非交互模式是指将WMIC指令直接作为WMIC的参数放在WMIC后面，当指令执行完毕后再返回到普通的命令提示符下，而不是进入WMIC上下文环境中，WMIC的非交互模式主要用于批处理或者其他一些脚本文件中。

需要注意的是，再Windows XP下，低权限用户是不能使用WMIC命令的，但是Windows 7系统和Windows 8系统下，低权限用户可以使用WMIC，且不用更改任何设置。
　　WMIC在信息收集和后渗透测试阶段非常实用，可以调取产看目标机的进程，服务,用户,用户组,网络连接,硬盘信息,网络共享信息,已安装补丁,启动项,已安装的软件,操作系统的相关信息和时区等.
　　接下来准备提权,同样需要先把Meterpreter会话转为后台执行,然后搜索MS16-032,

	msf > search ms16_032

知识点:如果搜索不到最新的Exploit,可以输入msfupdate命令进行升级,获取最新的Exploit模块,攻击载荷,或者手动添加相应漏洞EXP
　　执行以下命令选中MS16-032这个漏洞,然后指定"session"进行提权操作,这里我们指定服务"session"为"1",

	msf exploit() > use windows/local/ms16_032_secondary_logon_handle_ptocesc
	msf exploit() > set session 1
	msf exploit() > run

最后直接输入exploit或run命令即可,
　　根据返回的信息可以看到已经创建新的session,并提示提权成功.接着查看这个Meterpreter Shell的权限,已经是SYSTEM级权限了
　　防御方法:这个漏洞的安全补丁编号是KB3139914,我们只要安装此补丁就可以了,也可以通过第三方工具下载补丁包打上该补丁.

注：文章所含技术仅为学术交流，任何使用违法行为均自行负责