Kəşfiyyatın Aparılması 2 Windows Privilege Escalation
Windows Privilege Escalation nədir? Hansı təhlükəsizlik boşluqları var? Privilege Escalationda hansı məqamlara əsas fikir verilməlidir? enumeration nədir? kəşfiyyat necə aparılır? Windows kəşfiyyatı necə aparılır?Enumeration aparılması,Windows sistem məlumatların aparılması
13rose
7 min read
Windows Privilege Escalation nədir? Hansı təhlükəsizlik boşluqları var? Privilege Escalationda hansı məqamlara əsas fikir verilməlidir? enumeration nədir? kəşfiyyat necə aparılır? Windows kəşfiyyatı necə aparılır?Enumeration aparılması,Windows sistem məlumatların aparılması
Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official
Şəbəkə məlumatları
Hədəf sistemdə şəbəkə interfeyslərini və təyin edilən ip adreslərini haqqında məlumat əldə edəcəyik.Bunun üçün ipconfig kommandasından istifadə edə bilərik.
C:\Users\rose>ipconfig /all
Windows IP Configuration
Host Name . . . . . . . . . . . . : DESKTOP-K7ISHBI
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Hybrid
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : localdomain
Ethernet adapter Ethernet0:
Connection-specific DNS Suffix . : localdomain
Description . . . . . . . . . . . : Intel(R) 82574L Gigabit Network Connection
Physical Address. . . . . . . . . : 00-0C-29-E9-62-91
DHCP Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
Link-local IPv6 Address . . . . . : fe80::e05d:f6b0:23c4:b88e%4(Preferred)
IPv4 Address. . . . . . . . . . . : 192.168.10.34(Preferred)
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Lease Obtained. . . . . . . . . . : Thursday, May 15, 2025 4:59:26 AM
Lease Expires . . . . . . . . . . : Thursday, May 15, 2025 5:29:25 AM
Default Gateway . . . . . . . . . : 192.168.10.2
DHCP Server . . . . . . . . . . . : 192.168.10.254
DHCPv6 IAID . . . . . . . . . . . : 67111977
DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-2F-35-6E-2E-00-0C-29-E9-62-91
DNS Servers . . . . . . . . . . . : 192.168.10.2
Primary WINS Server . . . . . . . : 192.168.10.2
NetBIOS over Tcpip. . . . . . . . : Enabled
Ethernet adapter Bluetooth Network Connection:
Media State . . . . . . . . . . . : Media disconnected
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Bluetooth Device (Personal Area Network)
Physical Address. . . . . . . . . : D8-F3-BC-48-1E-64
DHCP Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : YesLokal hostun marşrutlaşdırma cədvəlini görmək üçün route print istifadə olunur.Bu kommanda digər hostlara və şəbəkələrə marşrutlaşdırması haqqında məlumat əldə edə bilərik.
C:\Users\rose>route print
===========================================================================
Interface List
4...00 0c 29 e9 62 91 ......Intel(R) 82574L Gigabit Network Connection
5...d8 f3 bc 48 1e 64 ......Bluetooth Device (Personal Area Network)
1...........................Software Loopback Interface 1
===========================================================================
IPv4 Route Table
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.10.2 192.168.10.34 25
127.0.0.0 255.0.0.0 On-link 127.0.0.1 331
127.0.0.1 255.255.255.255 On-link 127.0.0.1 331
127.255.255.255 255.255.255.255 On-link 127.0.0.1 331
192.168.10.0 255.255.255.0 On-link 192.168.10.34 281
192.168.10.34 255.255.255.255 On-link 192.168.10.34 281
192.168.10.255 255.255.255.255 On-link 192.168.10.34 281
224.0.0.0 240.0.0.0 On-link 127.0.0.1 331
224.0.0.0 240.0.0.0 On-link 192.168.10.34 281
255.255.255.255 255.255.255.255 On-link 127.0.0.1 331
255.255.255.255 255.255.255.255 On-link 192.168.10.34 281
===========================================================================
Persistent Routes:
None
IPv6 Route Table
===========================================================================
Active Routes:
If Metric Network Destination Gateway
1 331 ::1/128 On-link
4 281 fe80::/64 On-link
4 281 fe80::e05d:f6b0:23c4:b88e/128
On-link
1 331 ff00::/8 On-link
4 281 ff00::/8 On-link
===========================================================================
Persistent Routes:
NoneWindows ƏS qoşulduğu və yaratdığı əlaqələri görmək və siyahılandırmaq üçün aşağıdakı kommandadan istifadə edə bilərik.
C:\Users\rose>netstat -ano
Active Connections
Proto Local Address Foreign Address State PID
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 888
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 984
TCP 0.0.0.0:5040 0.0.0.0:0 LISTENING 408
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:7680 0.0.0.0:0 LISTENING 6044
TCP 0.0.0.0:49664 0.0.0.0:0 LISTENING 664
TCP 0.0.0.0:49665 0.0.0.0:0 LISTENING 504
TCP 0.0.0.0:49666 0.0.0.0:0 LISTENING 372
TCP 0.0.0.0:49667 0.0.0.0:0 LISTENING 1156
TCP 0.0.0.0:49668 0.0.0.0:0 LISTENING 2120Hədəf Windows sistemində yer alan firewall yəni brandmauer konfqirurasiyası və statusu haqqında netsh kommandası ilə məlumət əldə edə bilərik.
C:\Users\rose>netsh firewall show state
Firewall status:
-------------------------------------------------------------------
Profile = Standard
Operational mode = Disable
Exception mode = Enable
Multicast/broadcast response mode = Enable
Notification mode = Enable
Group policy version = Windows Defender Firewall
Remote admin mode = Disable
Ports currently open on all network interfaces:
Port Protocol Version Program
-------------------------------------------------------------------
445 TCP Any (null)
IMPORTANT: Command executed successfully.
However, "netsh firewall" is deprecated;
use "netsh advfirewall firewall" instead.
For more information on using "netsh advfirewall firewall" commands
instead of "netsh firewall", see KB article 947709
at https://go.microsoft.com/fwlink/?linkid=121488 .
C:\Users\rose>netsh firewall show config
Domain profile configuration:
-------------------------------------------------------------------
Operational mode = Disable
Exception mode = Enable
Multicast/broadcast response mode = Enable
Notification mode = Enable
Service configuration for Domain profile:
Mode Customized Name
-------------------------------------------------------------------
Enable No Remote Desktop
Allowed programs configuration for Domain profile:
Mode Traffic direction Name / Program
-------------------------------------------------------------------
Port configuration for Domain profile:
Port Protocol Mode Traffic direction Name
-------------------------------------------------------------------
445 TCP Enable Inbound Allow SMB
Standard profile configuration (current):
-------------------------------------------------------------------
Operational mode = Disable
Exception mode = Enable
Multicast/broadcast response mode = Enable
Notification mode = Enable
Service configuration for Standard profile:
Mode Customized Name
-------------------------------------------------------------------
Enable No Network Discovery
Enable No Remote Desktop
Allowed programs configuration for Standard profile:
Mode Traffic direction Name / Program
-------------------------------------------------------------------
Enable Inbound nc.exe / C:\users\rose\nc.exe
Port configuration for Standard profile:
Port Protocol Mode Traffic direction Name
-------------------------------------------------------------------
445 TCP Enable Inbound Allow SMB
Log configuration:
-------------------------------------------------------------------
File location = C:\Windows\system32\LogFiles\Firewall\pfirewall.log
Max file size = 4096 KB
Dropped packets = Disable
Connections = DisableWindows hostunda paylaşılan ümumi şəbəkə paylaşımları barədə aşağıdakı kommanda məlumat əldə edərək bəzi gizli və əhəmiyyətli məlumatları əldə edə bilərik.
C:\Users\rose>net share
Share name Resource Remark
-------------------------------------------------------------------------------
C$ C:\ Default share
IPC$ Remote IPC
ADMIN$ C:\Windows Remote Admin
The command completed successfully.
Zəif İcazələri Təyin Edilməsi
Hər hansı fayla və ya qovluğa olan hüquqlarımı görmək üçün icacls kommandasından istifadə edirik.Əgər siz əvvəlki Windows ƏS istifadə edirsinizsə (Windows Vistaya qədər) onda cacls kommandası istifadə olunacaqdır.
C:\Users\rose>icacls Desktop
Desktop NT AUTHORITY\SYSTEM:(I)(OI)(CI)(F)
BUILTIN\Administrators:(I)(OI)(CI)(F)
DESKTOP-K7ISHBI\rose:(I)(OI)(CI)(F)
Successfully processed 1 files; Failed processing 0 filesNəticənin izahı aşağıdakı kimidir:
- (F) – (Full Access) Fayl və ya qovluq üzərində tam hüququmuz vardır.
- (M) – (Modification) Fayl və ya qovluqa üzərində dəyişiklik etmək hüququmuz vardır.
- (W) – (Write) Hədəfdə ancaq yazma hüququ vardır.
Əgər siz bir hədəf diskdə və ya qovluqlar arasında zəiflik olan hissələri təyin etmək istəyirsinizsə onda Sysinternals Accessshk.exe istifadə edə bilərik.Proqramı əldə etmək üçün Microsoft saytından yükləyə bilərik.(https://download.sysinternals.com/files/AccessChk.zip)
C:\Users\rose\Desktop>accesschk.exe /accepteula -uwqs Users c:\*.*
Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com
RW c:\$Recycle.Bin
RW c:\ProgramData
RW c:\ProgramData\Microsoft OneDrive
RW c:\ProgramData\USOShared
RW c:\ProgramData\VMware
RW c:\ProgramData\Microsoft\DeviceSync
RW c:\ProgramData\Microsoft\User Account Pictures
RW c:\ProgramData\Microsoft\Crypto\DSS\MachineKeys
RW c:\ProgramData\Microsoft\Crypto\RSA\MachineKeys
RW c:\ProgramData\Microsoft\DRM\ServerQuraşdırılmış Proqramların Siyahısı
Hədəf cihaza yüklənən/quraşdırılan proqramların siyahısı əldə etmək üçün Powershell-dən istifadə edərək Program Files və ya Program Files (x86) qovluq siyahısını əldə edə bilərik.Proqram siyahısından biz köhnəlmiş və exploiti olan proqramları təyin edə bilərik.
PS C:\Users\rose\Desktop> Get-ChildItem 'C:\Program Files', 'C:\Program Files (x86)' | ft Parent,Name,LastWriteTime
Parent Name LastWriteTime
------ ---- -------------
Program Files Common Files 3/30/2025 1:55:17 PM
Program Files Internet Explorer 3/7/2025 8:13:20 AM
Program Files Microsoft Update Health Tools 2/4/2025 11:09:58 PM
Program Files ModifiableWindowsApps 12/7/2019 1:14:52 AM
Program Files RUXIM 3/7/2025 8:36:24 AM
Program Files VMware 3/30/2025 1:55:52 PM
Program Files Windows Defender 3/7/2025 8:35:33 AM
Program Files Windows Defender Advanced Threat Protection 3/23/2025 2:07:31 AM
Program Files Windows Mail 12/3/2023 6:56:08 PM
Program Files Windows Media Player 12/3/2023 6:56:08 PM
Program Files Windows Multimedia Platform 3/7/2025 8:13:21 AM
Program Files Windows NT 12/7/2019 1:50:07 AM
Program Files Windows Photo Viewer 12/3/2023 6:56:08 PM
Program Files Windows Portable Devices 3/7/2025 8:13:21 AM
Program Files Windows Security 12/7/2019 1:31:03 AM
Program Files WindowsPowerShell 12/7/2019 1:31:03 AM
Program Files (x86) Common Files 12/7/2019 1:31:10 AM
Program Files (x86) Internet Explorer 3/7/2025 8:13:21 AM
Program Files (x86) Microsoft 3/18/2025 9:10:17 AMTapşırıqların və Proseslərin Siyahısı
Hədəf Windows ƏS-də tapşırıqların və proseslərin siyahısını əldə etmək üçün tasklist /v kommandasından istifadə edəcəyik.Nəticə çox böyük olacağından filtr tətbiq edərək yalnız sistem tərəfindən icra edilən prosesləri görə bilərik.
C:\Users\rose\Desktop>tasklist /v /fi "username eq system"
Image Name PID Session Name Session# Mem Usage Status User Name CPU Time Window Title
========================= ======== ================ =========== ============ =============== ================================================== ============ ========================================================================
System Idle Process 0 Services 0 8 K Unknown NT AUTHORITY\SYSTEM 1:14:18 N/A
Registry 92 Services 0 2,616 K Unknown NT AUTHORITY\SYSTEM 0:00:01 N/A
smss.exe 316 Services 0 N/A Unknown NT AUTHORITY\SYSTEM 0:00:00 N/A
csrss.exe 424 Services 0 408 K Unknown NT AUTHORITY\SYSTEM 0:00:01 N/A
wininit.exe 504 Services 0 N/A Unknown NT AUTHORITY\SYSTEM 0:00:00 N/A
csrss.exe 512 Console 1 3,008 K Running NT AUTHORITY\SYSTEM 0:00:06 N/A
winlogon.exe 576 Console 1 900 K Unknown NT AUTHORITY\SYSTEM 0:00:00 N/A
services.exe 644 Services 0 3,260 K Unknown NT AUTHORITY\SYSTEM Hədəf cihazda planlaşdırılan tapşırıqları görmək üçün Powershell kommandasından istifadə olunur.Eynilə burada filtr tətbiq edəcəyik.
PS C:\Users\rose\Desktop> Get-ScheduledTask | where {$_.TaskPath -notlike "\Microsoft*"} | ft TaskName,TaskPath,State
TaskName TaskPath State
-------- -------- -----
MicrosoftEdgeUpdateTaskMachineCore \ Running
MicrosoftEdgeUpdateTaskMachineUA \ Ready
MicrosoftEdgeUpdateTaskUserS-1-5-21-680693221-822250786-1584212983-1001Core{26823861-5654-48E1-B217-6B2932409605} \ Ready
MicrosoftEdgeUpdateTaskUserS-1-5-21-680693221-822250786-1584212983-1001UA{06566B79-E717-4D1D-99A1-D7DC7F4E9ED4} \ Ready
OneDrive Reporting Task-S-1-5-21-680693221-822250786-1584212983-1001 \ Ready
OneDrive Standalone Update Task-S-1-5-21-680693221-822250786-1584212983-1001 \ Ready
OneDrive Startup Task-S-1-5-21-680693221-822250786-1584212983-1001 \ ReadyÜmidvaram faydalı olmuşdur.Təşəkkürlər!
Bizi izləyin:
Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat
