后渗透攻击：权限提升

通常，我们在渗透测试过程中很有可能只获得了一个系统的guest或者user权限。低的权限级别将使我们收到很多限制，在实施横向渗透或者提权攻击时将很困难。在主机上如果没有管理员权限就无法进行获取Hash、安装软件、修改防火墙规则和修改注册表等各种操作，所以必须将访问权限从guest提升到user，再到administrator，最后到system级别。
渗透的最终目的是获取服务器的最高权限，即windows操作系统中管理员账号的权限或Linux操作系统中root账户的权限。提升权限的方法分为以下两类。
纵向提权：低权限角色获得高权限角色的权限。例如，一个Webshell权限通过提权后拥有了管理员权限，那么这种提权就是纵向提权，也称作权限升级。
横向提权：获取同级别角色的权限。例如通过已经攻破的系统a获取了系统b的权限，那么这种提权就属于横向提权。
所以在成功获取目标机metasploit shell后，我们要知道现在停工有什么权限。

在此我提前利用反弹型payload对win 7 进行渗透并拿到shell，详见：kali的payload的使用攻击之反弹型payload的使用

在Metasploit shell下输入shell命令进入目标机cmd命令行

输入whoami /groups命令查看我们当前的权限

可以看到当前的权限是Mandatory Label\Medium Mandatory Level，说明我们是一个标准用户，那么就需要提权到管理员，也就是Mandatory Label\High Mandatory Level。

下面使用本地溢出漏洞来提高权限。也就是说，通过运行一些现成的，能够造成溢出漏洞的Exploit，把用户从user组或其他系统用户组中提升到administrator组。

利用WMIC实战MS16-032本地溢出漏洞

首先输入getuid命令查看已经获得到的权限，可以看到现在的权限很低。

输入getsystem提权，结果失败

查看系统的已打补丁，传统方法是在目标机的CMD命令行下输入systeminfo命令，或者通过查询C:\windows\里留下的补丁号“.log”查看目标机打了那些补丁。

可以看到目标机只安装了3个修补程序。

再利用wmic命令列出已安装的补丁Wmic qfe get caption,Description,HotFixID,InstalledOn

同样可以看到目标机只打了三个补丁，要注意这些输出的结果是不能被直接利用的，使用的方式是去找提权的EXP，然后将系统已经安装的补丁编号与提权的EXP编号进行对比。如MS11-011（KB2393802）、MS11-080(KB2592799)，然后利用没有编号的EXP进行提权。
在这里我们利用MS16-032(KB3139914)来提权。

相关漏洞的具体信息分析和共享可以查看如下两个网站：
1.安全焦点
2.exploit-db

WMIC它是一款命令行管理工具，提供了从命令行接口到批命令脚本执行系统管理的支持，可以说是windows平台下最有用的命令行工具。使用WMIC，我们不但可以管理本地计算机，还可以管理同一域内的所有远程计算机（需要必要的权限），而被管理的远程计算机不必事先安装WMIC。

wmic.exe位于Windows目录下，是一个命令程序。WMIC可以有两种模式进行：
1.交互模式：如果你在命令行提示符下通过运行菜单只输入WMIC，都将进入WMIC的交互模式，每当一个命令执行完毕后，系统还会返回到WMIC提示符下。交互模式通常在需要执行多个WMIC指令时使用，有时还会对一些敏感的操作要求确认，例如删除操作，这样能最大限度的防止用户操作出现失误。
2.非交互模式：非交互模式是指将WMIC指令直接作为WMIC的参数放在WMIC后面，当指令执行完毕后再返回到普通命令行的提示符下，而不是进入WMIC上下文环境中。WMIC的非交互模式主要用于批处理或其他一些脚本文件中。

需要注意的是，在windows xp下，低权限用户是不能够使用WMIC命令的，但是在win7系统和win8系统下低权限用户是可以使用WMIC，且不用更改任何设置。

WMIC在信息收集和后深度测试阶段非常实用，可以调取查看目标机的进程、服务、用户、用户组、网络连接、硬盘信息、网络共享信息、已安装补丁、启动项、已安装的软件的相关信息和时区等。

准备提权，将Metasploit会话转为后台执行，然后搜索ms16-032

知识点：如果搜索不到最新的exploit,可以输入msfupdate命令进行升级，获取最新的exploit模块、攻击载荷，或者手动添加相应漏洞EXP。

利用这个漏洞

指定session进行提权操作，在这里我的是2

输入run或者exploit进行提权

提权成功后，输入getuid查看我们的权限，已经是system级权限了。

**防御方法：**只需要安装此补丁就可以了，也可通过第三方工具下载补丁包打上该补丁。

令牌窃取

令牌简介及原理
令牌（Token）就是系统的临时密钥，相当于用户名和密码，用来决定是否允许这次请求和判断这次请求是属于哪一个用户。它允许你在不提供密码或其他凭证的前提下访问网络和系统资源。这些令牌将持续存在于系统中，除非系统重新启动。

令牌最大的特点就是随机性，不可预测，一般黑客或软件无法猜测出来。令牌有很多种，比如访问令牌（Access Token）表示访问控制操作主题的系统对象；保密令牌（Security Token），又叫做认证令牌或者硬件令牌是一种计算机身份校验的物理设备，例如U盾；会话令牌（Session Token）是交互会话中唯一的标示身份

在假冒令牌攻击中需要使用kerberos协议，是一种网络认证协议，其设计目标是通过密钥系统为客户机和服务器应用程序提供强大的认证服务。

客户端请求证书的过程如下：
1.客户机向认证服务器（AS）发送请求，要求得到服务器的证书
2.AS收到请求后，将包含客户端密钥的加密证书响应发送给客户端。该证书包括服务器ticket（包括服务器密钥加密的客户机身份和一份会话密钥）和一个临时加密密钥（又称为会话密钥）。认证服务器也会给服务器发送一份该证书。用来使服务器认证登陆客户端的身份。
3.客户端将ticket传送到服务器上。服务器确认该客户端的话，便允许他登录服务器。
4.客户端登录服务器后，攻击者就可以通过入侵服务器获取客户端的令牌。

假冒令牌实战使用

我已提前利用反弹型payload对win server 2003进行渗透并拿到shell

输入getuid查看已获得权限（我在此已经是Administrator）

若不是管理员权限可以使用setsysteam命令进行提权，若提权失败就使用假冒令牌

首先输入use incognito命令，然后输入list_tokens -u列出可用的令牌

可以看到有两种类型的令牌：一种是Delegation Tokens Available（授权令牌），支持交互式登录（例如可以通过远程桌面登录访问）；还有一种是Impersonation Tokens Available（模拟令牌）是非交互式的会话。

接下来在incognito中调用impersonate_token命令假冒Administrator用户进行攻击
在输入ASD\Administrator时需要两个反斜杠（\）

成功后在shell下输入whoami就可以看到是管理员账户。

Hash攻击

使用Hashdump抓取密码

在此我提前利用MS08-067漏洞对win XP 进行渗透并拿到shell

Hashdump Metasploit脚本可以从目标机其中获取hash值，破解hash值即可获取登录密码。计算机中每个账号（如果是域服务器作为域内的每个账号）的用户名和密码都存在Sam文件中，当计算机运行时该文件，对所有账号进行锁定，想要访问就必须有系统级账号。所以要使用该命令就必须进行权限的提升。

输入hashdump命令将导出目标机sam数据库中的hash

在非systeam权限下运行hashdunp命令会失败，而在win7 、win server 2008下有时会出现进程移植不成功等问题，而另一种模板smart_hashdump的功能更为强大，可以导出域所有用户名hash。
工作流程如下：
检查Metasploit会话的权限和目标机操作系统类型
检查目标是否为域控制服务器
首先尝试从注册表中读取hash不行的话，再尝试住lsass进程

这里需要注意的是，如果目标机的系统是win7，而开启了UAC，获取hash就会失败，这时需要先使用绕过UAC的后渗透攻击模块。
命令为run windows/gather/smart_hashdump

可使用暴力破解或者彩虹列表对抓取到的hash进行破解

网站链接：
1.cmd5
2.xmd5

使用Mimikatz抓取密码

作为一个款后渗透工具，他可以帮助安全测试人员轻松抓取系统密码，此外还包括能够通过获取的Kerberos登录凭据，绕过支持Restrictedadmin模式下win8 或者win server 2012的远程终端（RDP）等功能。需要注意该工具在win 2000 和winxp系统下无法使用。

Metasploit已经将其作为一个Meterpreter脚本集成了，以便用户使用，而不需要上传该软件到目标机上。

Minikatz必须在管理员权限下使用，在此我提前利用MS08-067漏洞对win XP 进行渗透并拿到shell

输入getuid命令查看当前权限

已是最高权限

获取system权限后，首先查看目标机的架构。虽然Mimikatz同时支持32位和64位的Windows架构，但是如果服务器是64位操作系统，直接使用Mimikatz后，Metasploit会默认加载一个32位版本的Mimikatz到内存，使得很难对功能无效。而且在64位操作系统下必须先查看系统进程列表，然后加载Mimikatz之前将进程迁移到一个64位程序的进程中，才能查看系统密码明文，在32位系统下就没有这个限制。

输入sysinfo查看系统构架

这是一个32位机器，我们直接加载Mimikatz模块，并查看帮助


mimikatz_command模块可以让我们使用mimikatz的全部功能，需要通过加载一个错误的模块得到可用模块的完整列表

可以使用“::”语法请求某个模块可用的选项，选定一个模块后也可以使用“::”查看本模块帮助

直接输入msv命令抓取hash值

输入kerberos 命令可以抓取系统票据

输入wdigest命令可以获取系统账户信息

输入samdump命令查看samdump的可用选项

然后输入mimikatz_command -f samdump::hashes命令抓取hash

通过CMD5解密可以达得到密码

mimikatz还有很多功能如：使用Handle模块、list/kill进程，以及模拟用户令牌

使用server模块可以list/stop/remove Windows的服务

使用Crypto模块可以list/export任何证书，以及存储在目标机器上的相应私钥

Mimikatz还有很多其他功能。