烂土豆(JuicyPotato)提权

青旅半醒 2022-12-22 06:18 94阅读 0赞

### CATALOG ###

*  1.前言
 *  2.原理
 *   *  2.1前置知识
     *  2.2juicypotato实现流程
 *  3.实现
 *   *  3.1提权结果
     *  3.2实现步骤
     *   *  3.2.1先使用powershell脚本找到可用的CLSID
         *  3.2.2再使用bat文件确定能利用的CLSID
         *  3.2.3使用juicypotato进行利用
 *  4.防御方法
 *  5.参考文章

# 1.前言 #

很有名的一个提权工具，今天对其做一个小小的使用总结。

# 2.原理 #

## 2.1前置知识 ##

首先我们要知道：

1.  使用DCOM的时候，如果以服务方式远程连接，那么为system权限，例如BITS服务。
2.  使用DCOM可以通过TCP连接到本机的一个端口，发起NTLM认证，且此认证可以被重放。
3.  LocalService用户默认具有Selmpersonate和SeAssignPrimaryWithToken权限。
4.  开启Selmpersonate权限后，能够在调用CreateProcessWithToken时候，穿入新的Token创建新的进程。
5.  开启SeAssignPrimaryToken权限后，能够在调用CreateProcessAsUser时，传入新的Token创建新的进程

## 2.2juicypotato实现流程 ##

1.  加载COM并发送请求，在指定ip和端口位置尝试加载一个COM对象
2.  回应步骤1的请求，并发起NTLM认证，由于权限不足，无法认证成功
3.  针对本地端口同样发起NTLM认证，权限为当前用户
4.  分别拦截两个NTLM认证的数据包，替换数据，通过NTLM重放使得步骤1中的认证通过，获得system权限的token
5.  利用system权限的token创建新的进程，如果开启SeImpersonate权限，调用CreateProcessWithToken，传入System权限的Token，创建的进程为System权限，或者如果开启SeAssignPrimaryToken权限，调用CreateProcessAsUser，传入System权限的Token，创建的进程为System权限。

# 3.实现 #

## 3.1提权结果 ##

在win7上实现：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]

## 3.2实现步骤 ##

### 3.2.1先使用powershell脚本找到可用的CLSID ###

powershell下载地址:  
https://github.com/shanfenglan/test/blob/master/juicypotato/clsid.ps1  
命令如下：  
`PowerShell.exe -ExecutionPolicy Bypass -File 1.ps1 > CLSID.list`  
![在这里插入图片描述][20201118140615850.png_pic_center]

### 3.2.2再使用bat文件确定能利用的CLSID ###

bat下载地址：https://github.com/shanfenglan/test/blob/master/juicypotato/1.bat  
将bat文件与clsid.list文件放在同一目录下执行即可，会生成result.log文件，这里面的clsid即为可用的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]

### 3.2.3使用juicypotato进行利用 ###

下载地址：[github工具下载地址][github]  
任意挑选一个result.log文件中的clsid，然后在管理员权限下使用以下命令：

JuicyPotato.exe -t t -p c:\windows\system32\cmd.exe -l 1111 -c {031EE060-67BC-460d-8847-E4A7C5E45A27}

> 当前管理员用户如果开启SeImpersonate权限，juicypotato的参数可以使用-t t  
> 如果开启SeAssignPrimaryToken权限，juicypotato的参数可以使用-t u  
> 如果均开启，可以选择-t \*  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]

攻击结果如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]

# 4.防御方法 #

1.阻止攻击者获得SeImpersonate或者SeAssignPrimaryToken权限  
2.即使打好系统补丁  
3.升级到最新的windows系统

# 5.参考文章 #

[github工具下载地址][github]  
[Windows本地提权工具Juicy Potato测试分析][Windows_Juicy Potato]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/eccb11ea56ec4cb4b4bed8abd5f2c075.png
[20201118140615850.png_pic_center]: https://img-blog.csdnimg.cn/20201118140615850.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20201118135734650.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70#pic_center
[github]: https://github.com/shanfenglan/test/tree/master/juicypotato
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]: https://img-blog.csdnimg.cn/20201118140514899.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70#pic_center
[Windows_Juicy Potato]: https://3gstudent.github.io/3gstudent.github.io/Windows%E6%9C%AC%E5%9C%B0%E6%8F%90%E6%9D%83%E5%B7%A5%E5%85%B7Juicy-Potato%E6%B5%8B%E8%AF%95%E5%88%86%E6%9E%90/