msf的getsystem命令原理与windows命名管道

骑猪看日落 2022-12-23 06:59 107阅读 0赞

### CATALOG ###

*  1.前言
 *  2.windows命名管道
 *  3.msf中getsystem原理
 *  4.参考文章

# 1.前言 #

之前已经写过了winodws命名管道相关的知识，在我的[由psexec远控的实现原理到windows命名管道][psexec_windows]这篇文章中，最近复习的时候又看到了，同时对其有了新的理解，进而又想起了msf中getsystem的原理发现两者刚好有所关联，于是有了这篇文章。

# 2.windows命名管道 #

首先我们需要明确的一点，命名管道基于smb协议通信，smb，smb。重要的事情说三遍。  
它是用来让两个进程间进行通信的，这两个进程可以是本地进程，也可以是远程进程。命名管道有点类似于socket连接，是用来传输数据的，可以设置具体的权限让指定权限的进程才能连接命名管道，理论上每个程序都能连接命名管道，只是连接之后能做的事情不同，具体能做什么事跟服务端的配置有关系。  
下面总结几点：  
1.命名管道是C/S架构，必须让服务端某个进程先创建命名管道。  
2.命名管道可以被任何符合权限的进程去访问，且何种权限可以访问是可以自定义的。  
3.客户端可以是本地的某个进程或者远程的某个进程，本地进程访问命名管道方式为.\\pipe\\pipename,远程进程访问命名管道方法为\\ip\\pipe\\pipename。  
4.在powershell中使用dir .\\pipe\\ | select name可以查看当前所有命名管道的名称。  
命名管道还有一个特点就是当服务端进程被客户端进程连接的时候，理论上说服务端进程有可能获取到客户端的权限。ImpersonateNamedPipeClient()这个api可以帮助我们进行实现，前提是我们当前用户具有SeImpersontePrivilege权限。

# 3.msf中getsystem原理 #

1.创建一个以system权限启动的程序，这个程序的作用是连接指定的命名管道。  
2.创建一个进程，并让进程创建命名管道。  
3.让之前的以system权限启动的程序启动并连接这个命名管道。  
4.利用ImpersonateNamedPipeClient()函数生成system权限的token。  
5.利用system权限的token启动cmd.exe。

我们模拟一下这个过程：  
在一个拥有SeImpersonatePrivilege权限的用户(User组)启动一个进程，这个进程的作用是创建一个命名管道等待连接，连接成功后模拟客户端的权限，并用这个权限启动一个cmd窗口。

1.查看当前用户权限：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]  
2.启动创建命名管道的脚本：  
脚本下载地址：[pipeserverimpersonate][]  
![在这里插入图片描述][20201123171608356.png_pic_center]  
3.在administrator组用户的cmd中连接test1用户创建的命名管道：  
![在这里插入图片描述][2020112317175535.png_pic_center]  
4.弹出一个新的cmd窗口，查看权限发现是administrator用户的：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]

# 4.参考文章 #

[Windows Named Pipes & Impersonation][Windows Named Pipes _ Impersonation]  
[msf手册][msf]

[psexec_windows]: https://shanfenglan.blog.csdn.net/article/details/108455478
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/d4e4262ae75349aeaf5140b858eeab10.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221120/8cbeeb9823e74843abb9f98a35ad54d7.png
[pipeserverimpersonate]: https://github.com/decoder-it/pipeserverimpersonate
[20201123171608356.png_pic_center]: /images/20221120/60bc24686f2040219712d9ae85f06fed.png
[2020112317175535.png_pic_center]: /images/20221120/2dcce37573914a2d9cd54f84db728aa3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221120/18ddd369bde84860a4a4ed69b4e05f81.png
[Windows Named Pipes _ Impersonation]: https://decoder.cloud/2019/03/06/windows-named-pipes-impersonation/
[msf]: https://zhuanlan.zhihu.com/p/68927033