一款Windows系统下不错的提权工具 – BeRoot

专用工具介绍

　　是这款Post-Exploitation专用工具，也就是说在网络黑客得到总体目标服务器的Shell以后所需采用的这种物品。BeRoot能够协助我们查验总体目标Windows系统软件中存有的不正确配备，并找到提权的方式。【GitHub传送门】

　　新项目将会做为1个Post-Exploitation控制模块被加上进Pupy新项目（1个开源系统的、跨平台Post-Exploitation专用工具，选用PHP撰写）中，当beRoot做为1个控制模块加上进来以后，它就能够立即在运行内存中运作了，全过程都不用与硬盘互交。

　　必须特别注意的是，这个专用工具只有用于检验，而没法立即运用总体目标系统软件中存有的系统漏洞。可是，要是它发觉了不正确配备，它能够根据模板来运用这种系统漏洞。模板文档坐落于templates/service文件目录下，要是新项目出示的模板文档没法运作，我们还可以依据总体目标系统软件的状况手动式建立1个模板文档。

　　专用工具免费下载

　　【beRoot.zip】（zip）

　　【源码】（zip）

　　【源码】（tar.gz）

　　专用工具运作

　　接下去，我们会给大伙儿详细介绍全部的检验方式。

　　包括空格符且可含引号的相对路径详细地址

　　请大伙儿先看一下下边这一文档相对路径：

　　要是文档相对路径中包括空格符且可含引号，那么Windows系统软件将会依照下边的次序精准定位并实行目标程序：

　　要是“C:\”文件夹名称是可写的，那么我们总有将会在该文件目录下建立1个故意的可执行程序“Program.exe”，要是“binary.exe”有着高管理权限，那么我们就能够运用这类体制来提高我们的管理权限。

　　温馨提醒：BeRoot会对每这条服务项目相对路径、计划任务、及其HKLM内容中的起动键实行那样的检验，

　　运用方式

　　在运用存有安全性缺点的相对路径时，我们应当遵照下列方式：

　　要是是1个服务项目，那么我们就建立1个故意服务项目（或编译1个service模板）。

　　要是是1个可执行程序，那么我们就能够建立1个故意的可执行程序。

　　可写的文件目录

　　请大伙儿先看一下下边这一文档相对路径：

　　要是“binary.exe”所属的主目录可写（“C:\ProgramFiles\Some Test”），而且“binary.exe”可以以高級管理权限运作，那么我们就能够运用它来建立提权。

　　温馨提醒：BeRoot会对每这条服务项目相对路径、计划任务、及其HKLM内容中的起动键实行那样的检验，

　　运用方式

　　要是服务项目不处在运作情况：用我们的服务项目模板替换成掉合理合法服务项目，重新启动该服务项目，并试着开启该服务项目。

　　服务项目处在运作情况且没法被停止：它是大部分的状况，能够试着开展DLL被劫持并应用别的的技术性来重新启动服务项目。

　　相对路径中的可写文件目录

　　这项技术可在下列Windows版本号中应用：

　　在所述Windows版本号中，DLL文档是根据命令编码开展载入的，Windows会根据下述流程来试着精准定位相对的编码：

　　精准定位编码所属文件目录

　　当前目录下的编码已起动

　　文件目录详细地址将会储存在%PATH%环境变量中

　　要是%PATH%自变量中的文件目录相对路径是可写的，那么我们总有将会建立DDL被劫持进攻。那么接下去，我们的总体目标就是说要找到1个可以载入DLL文档但相对路径还没有%PATH%自变量中的服务项目。默认设置状况下，我们挑选应用“IKEEXT”服务项目，它能够载入我们的故意DLL文档-wlbsctrl.dll。

　　怎样运用：建立1个名叫“wlbsctrl.dll”（应用DLL模板）的故意DLL文档，并将其加上至%PATH%自变量中的可写相对路径，打开“IKEEXT”服务项目，以便在沒有高級管理权限的状况下打开IKEEXT服务项目，我们能够参照荷兰杂志期刊MISC90中常详细介绍的方式，方式大概给出：

　　依据下述信息内容建立1个文档：

　　应用“rasdial”指令打开IKEEXT服务项目，要是连接无效，则表明该服务项目早已处在运作情况了。

　　针对懂德语的客户，我提议能够参照MISC 95中出示的技术细节。

　　微软公司早已在公示MS16-075的补丁下载中修补了这一系统漏洞，可是许多网络服务器依然存有这一难题，这儿给大伙儿出示1个C++PoC【点我获得】。大概的建立方式给出：

　　应用一些方式（应用其UUID）打开Webclient服务项目

　　在当地打开1个.com网络服务器

　　寻找1个可以开启SYSTEM NTLM哈希的服务项目

　　开启该服务项目的文档跟踪，改动其注册表键值，并让其对准我们的web网络服务器（\\127.0.0.1@port\tracing）

　　打开该服务项目

　　我们一起的.com网络服务器post请求获得SYSTEM NTLM哈希

　　应用这一哈希和SMB来实行我们的自定

　　消除印痕（停止服务项目，消除注册表键等等等等）

　　怎样运用：在总体目标服务器中，BeRoot能够根据下述指令来实行自定指令：

　　“net userZapata LaLuchaSigue /Add”

　　“net localgroupA