Escalada de privilegios en sistemas Windows (I)
En esta serie de posts hablaremos de cómo realizar una escalada de privilegios en un sistema Windows, es decir, llegar a ser SYSTEM desde una cuenta de usuario sin privilegios.
En ocasiones la principal estrategia utilizada se basa en probar exploits para la versión de windows del objetivo, y aunque esto puede ser efectivo un gran numero de veces, queremos presentar una breve guía divida en fases que permitan al pentester realizar la escalada de privilegios de una forma ordenada, eficiente y probando diferentes vectores de ataque.
Remarcar que actualmente existen muchas referencias en Internet que tratan este tema siendo algunas de las principales las mencionadas a continuación:
- FuzzySecurity
- Encyclopaedia Of Windows Privilege Escalation – Brett Moore
- Windows Attacks At Is The New Black – Rob Fuller And Chris Gates
- Windows Privilege Cheatsheet
- Windows_Services – All roads lead to SYSTEM
- Windows privilege escalation
En nuestro caso queremos hacer una síntesis de ellas y explicarlas paso a paso, sin embargo, señalar que queda fuera del alcance de este post como conseguir la Shell en el sistema.
Aclarado todo, empecemos, tenemos una Shell en una maquina Windows, molto benne…¿y ahora que demonios hacemos?
¿Dónde estoy? ¿Qué es ESTO? – Information gathering
Bien, en estos momentos, disponemos de una Shell en un sistema Windows. Antes de lanzarnos al ataque y disparar a todo lo que se mueva, es esencial realizar la fase de Information gathering.
Lo principal es no obcecarse con ser SYSTEM, primero hay que conocer el entorno, cuanta más información se tiene del activo más fácil es detectar un posible fallo de seguridad.
Información general
Sin ninguna duda, lo primero es obtener la versión exacta de Windows (OS Version) y (OS Name) y información genérica. Para este propósito, se ejecuta el siguiente comando:
- systeminfo
- Otra posibilidad: systeminfo | findstr /B /C:»OS Name» /C:»OS Version» (ojo con los idiomas)
Ok, ahora vamos a saber como se llama el host, que aunque parezca no relevante, siempre nos puede aportar información o alguna pista.
- hostname
Finalmente, es el momento de saber con que usuario estamos logged en el sistema, a lo mejor ya somos admin y no hace falta hacer nada más, aparte de celebrar una gran fiesta.
- echo %username%
- whoami
Información sobre usuarios
Siguiente paso, todo sistema operativo tiene usuarios que lo utilizan, miremos que usuarios tiene nuestro objetivo:
- net users – net user $name_user
Vaya vaya Joe, además del usuario «Administrador» también existe el usuario «Nyanyi» que pertenece al grupo «Administradores»…..uhmm….interesante. Con este simple comando acabamos de ampliar las opciones de ataque.
Información de red
¿Está el host solo en el mundo? ¿en que red está? ¿con que máquinas habla?. Tener la respuesta a estas preguntas podría ser la puerta de acceso a otras máquinas del entorno, imaginar que se puede alcanzar el ansiado SYSTEM en esta máquina pero si dirigir el pentest a otras máquinas .
Por otra parte, es muy útil conocer que servicios están a la escucha en el activo,que conexiones hay con otras máquinas. Quién sabe, a lo mejor algunos de los servicios publicados es vulnerable…
Los comandos a ejecutar serían los siguientes:
- ipconfig /all
- route print
- arp -A
- netstat -ano
Nota: A partir de XP SP2 utilizar los siguientes comandos para obtener información sobre el Firewall de la máquina:
- netsh firewall show state
- netsh firewall show config
Información sobre los servicios
Hasta este punto, se ha hablado sobre cómo obtener información general del sistema, que usuarios tiene y que comunicaciones hay a nivel de red. Uno de los últimos puntos a tratar en esta introducción son las «tareas» o «servicios» existentes en la máquina.
De momento, sin querer entrar en detalle, un servicio no es más que la ejecución, en segundo plano, de un binario. Por lo tanto, hay 3 conceptos claves:
- Binario que determina que acciones realizara el servicio.
- Usuario que ejecuta el servicio.
- Los privilegios del servicio, por ende, serán los mismos que los del usuario.
Los comandos a ejecutar para obtener la información relacionada con los servicios son los siguientes:
- schtasks /query /fo LIST /v | more (tareas programadas)
- tasklist /SVC (servicios relacionado con su proceso)
- net start
- sc queryex type= service state= all | find «$_NAME» (hablaremos más adelante de este comando (thanks P4chul0).
Conclusiones de la fase I
Con toda la información que hemos obtenido es el momento de realizar una primera iteración con el objetivo de lograr System, o en su defecto, un usuario administrador.
Pruebas a realizar:
- Tenemos el nombre de los usuarios, a lo mejor, hay alguno de ellos sin contraseña o que ésta sea su mismo nombre. O inclusive, que la contraseña sea el nombre del hostname….por qué no?.
- Se puede buscar su nombre de usuario en Checkusernames con la idea de obtener aún más información de redes sociales.
- Probar los usuarios en otras máquinas de la red.
- ¿Hay algún servicio publicado vulnerable?
- Imaginar
Si nada de esto funciona, pasaremos a la fase II. Es esencial recopilar toda la información obtenida en esta fase, porque cualquier dato obtenido puede ser la clave que nos ayude en procesos futuros más complejos, por ejemplo, la búsqueda de un exploit o una reverse shell por un puerto que no este cerrado por el firewall…
Testpurposes 