信息对抗大作业权限提升SYSTEM.docVIP

信息对抗大作业 权限提升——SYSTEM 通过使用攻击方法，攻击者往往会获得了针对冃标系统的一些网 络安全信息，如漏洞信息、目标网络的拓扑信息、目标系统的用户信 息等，可能获得了超级用户的权限，但也有可能仅仅获得了对目标系 统的普通用户的访问权限。仅仅获得普通用户的访问权限并不是攻击 者的最终目标，攻击者在获得系统一定的访问权限后通常要把自己的 权限提升到超级用户权限(如root权限或Administrator权限)， 这样攻击者就控制了该计算机系统。 权限提升方法 破解SAM文件 使用 pwdump 使用Enuin等程序进行远程破解 修改注册表 使用木马 本地溢出 使用 GetAdmin 或 PipeUpAdmin SYSTEM是至高无上的超级管理员帐户。默认情况下，我们无法 直接在登录对话框上以SYSTEM帐户的身份登录到Windows桌面环 境。实际上SYSTEM帐户早就已经“盘踞”在系统中了。想想也是， 连负责用户验证的Winlogon Lsass等进程都是以SYSTEM身份运行 的，谁还能有资格检验SYSTEM呢？既然SYSTEM帐户早就己经出现在 系统中，所以只需以SYSTEM帐户的身份启动Windows的Shell程序 Explorer,就相当于用SYSTEM身份登录Windows 了。 一、获得特权 1、 执行“开始f运行”输入cmd回车打开命令提示符窗口。 2、 在命令提示符下输入如下命令并回车： taskkill /f /im explorer.exe （结束当前账户的explorer） 3、在命令提示符下继续输入如下命令并回车: at time /interactive %systemroot% \ explorer.exe (time为当前系统时间稍后的一个时间，比如间隔一秒。) 4、一秒钟后会重新加载用户配置，以SYSTEM身份启动Windows的 shell 进程 Explorer.exe 二、验证 1开始菜单，显示system账户。 我的文若控制面板C)设定程序访问和默认值连接到1)打印机和传其Windows Media Player文件和设這转移向导InternetInternet Explorer电子邮件 我的文若 控制面板C) 设定程序访问和默认值 连接到1) 打印机和传其 Windows Media Player 文件和设這转移向导 Internet Internet Explorer 电子邮件 Outlook Express SYSTEM 国片收荻 我的音乐 我的电脑 帮助和支持Q1) 搜索⑤ 所有程序(P)迂 所有程序(P) 迂7运行迅)… 2、打开注册表编辑器，只要证明HKCU就是HKU\SL?5J8的链接就 可以了(S-1-5-18就是SYSTEM帐户的SID)。证明方法很简单：在HKCU下随便新建一个Test子项，然后刷新，再看看HKU \ S-1-5-18下是否 同步出现了 Test子项，如果是，就说明系统当前加载的就是SYSTEM 帐户的用户配置单元！ 区:注册表编辑爲 二| Software 八_| UNICODE Progrw Gro匚1 丁沙 二| Software 八 _| UNICODE Progrw Gro 匚1 丁沙t 1 _J KKEY-LOCALJW￡HIME E O MKH JJSERS ￡ CJ . DEFAULT Cj S-l-5-18 t _| AppEventi t _J Console S _J Control I Enviroi?ent ffiCl HVDC ■ ?t _J Identities it」Keyboard Layout ? _J Printers _J Sysionlafomoti 名称 类蛊 REG-SZ 備值未设置） 两个注册表项同步，证明是SYSTEM权限。 3、命令提示符号下输入如下命令: whoami 显示：NT AUTHORITY \ SYSTEM cf Coaaand Prompt C:\Prograro Files\SuMort ToolsMwani gr AUTHORin\SYSTEI］，片 _；亍 詁 t : C:\Prograro Files\Support Tools〉. 三、使用 1、注册表访问： 说明：在非SYSTEM权限下，用户是不能访问某些注册表项的，比如 “ HKEY_LOCAL_MACHINE \ SAM ”、“ HKEY_LOCAL_MACHINE \ SECURITY等。这些项记录的是系统的核心数据，但某些病毒或者木 马经常光顾这里。比如在SAM项目下建立具有管理员权限的隐藏账 户，在默认情况下管理员通过在命令行下敲入net user”或者在“本地用户和组（lusrmgr.msc）中