暴破助攻提权：ruadmin

i春秋作家：yangyangwithgnu

1 缘由 

千辛万苦拿下的 webshell 不是 www-data 用户就是 networkservice 权限，要想拓展攻击面、扩大战果，提权，是必经之路，也是后渗透阶段成功的关键。windows 提权，常用手法包括搜寻本地明文密码、DB 命令执行提权、内核 exp 提权、dll 劫持提权、路径未带引号的服务提权、滥用高权 token 提权、三方软件提权，每种手法有各自的使用门槛及适用场景，通常需要多种措施并举，才能拿下目标。

其中，若能在目标上搜寻到密码，后续有几种利用方式：一是，可能为操作系统的密码，尝试登录系统账号，获取管理员的远程会话，如，RDP、telnet 等等；二是，可能为系统软件的密码，且这类软件内部具有命令执行模块，间接获得高权执行命令的能力，如，MSSQLServer、FTP 等等；三是，可能为远程管理软件的密码，从这类软件的客户端登录目标，获取管理员的远程控制权限，如，VNC、teamviewer 等等。但是，即便找到第二、三种方式的密码，对于稍微有运维经验的系统管理员来说，都可以轻松阻拦你的提权企图，比如，对 MSSQLServer 的 xp_cmdshell 模块降权，或，设置 VNC 的信任源 IP。相对而言，第一种方式，一旦找到密码，几乎没有门槛即可成功提权。

现在，我把焦点放在如何找出操作系统账号的密码上面。通常来说，我会先翻阅各类软件的配置文件，找到其中记录的明文密码，如，保存无人值守安装操作的密码文件（autounattend.xml）、保存 web 连接 DB 的密码文件（web.config）；然后，用这些密码尝试登录 administrator 账号的远程桌面，若运气好，简单几步，已实现提权；最后，若无果，用这些密码尝试登录 administrators 群组内其他账号的远程桌面。这个流程中有三个问题，一是若目标未将 3389 暴露至公网将导致无法验证密码是否正确，二是用多个密码验证多个账号太过耗时，三是也想尝试常见弱口令却缺乏自动手段。

那么，我需要一个效率高、无依赖、体积小的本地账号密码暴破工具。嗯，win32 原生程序直接在目标机器上本地暴破所有操作系统账号，就它。这个工具要能帮我找到 are you admin? 的答案，所以，命名为 ruadmin：

2 实现

你知道，我移居 linux 多年，win32 忘得差不多了，所以，我找 MSDN 帮忙，花了两个晚上，基本上，我付予了 ruadmin 几个核心能力：高效精准验证账号密码、自动获取 OS 账号、内置高命中率弱口令、绿色无依赖不查杀、兼容 NT 架构的全版本系统。

高效验证账号密码。调用 LogonUser()，不通过任何网络协议，直接本地验证：

甚至能验证空密码的账号。另外，一个账号对应一个暴破线程，进一步提高效率：

自动获取操作系统用户名。调用 NetUserEnum() 获取包括隐藏账号（如 yangyangwithgnu$）在内的所有用户名：

其中，默认不暴破 guest。

内置高命中率基础弱口令字典。 我把常见弱口令字典集成进 ruadmin，包含中国人弱口令、外国人弱口令、黑客常用口令等近 4W 条：

自动生成社工密码字典。从经验来看，若常见弱