渗透技巧——程序的降权启动

30 May 2017

0x00 前言

在渗透测试中，常常会遇到需要改变程序启动权限（分为提权和降权）的情况。

提权包含从普通用户权限到管理员权限和从管理员权限到system权限，而渗透测试中的降权通常是指从system权限降到普通用户权限（从管理员权限降到普通用户权限比较简单，方法很多），往往是为了操作当前用户的文件内容（如捕获桌面、操作注册表等）

本文将会介绍具体的降权方法（从system权限降到普通用户权限），理清其中的重点，并且开源一个小工具，用于判断进程权限

0x01 简介

本文将要介绍以下内容：

为什么要降权
从管理员权限降到普通用户权限的方法
从system权限降到普通用户权限的方法
利用SelectMyParent实现提权和降权

注：

测试系统： Win7

0x02 为什么要降权

使用sytem权限的进程可能会遇到以下问题:

1、无法获得当前用户的文件内容

例如无法捕获用户的屏幕

2、环境变量有差异

比如以下环境变量：

APPDATA
Temp
Tmp
USERDOMAIN
USERNAME
USERPROFILE

cmd下可通过echo查看环境变量，例如查看环境变量APPDATA的命令为：

echo %appdata%

system权限下，查询到的环境变量APPDATA为C:\Windows\system32\config\systemprofile\AppData\Roaming

管理员权限下，查询到的环境变量APPDATA为C:\Users\a\AppData\Roaming

如下图

Alt text

通过API SHGetSpecialFolderPath 获取指定的系统路径，如APPDATA，也能发现权限不同导致的区别

c++代码如下：

#include <windows.h>
#include <Shlobj.h>

bool IsSystemPrivilegeCmp()
{
    static bool isSystemPrivilege = false;
	char *flag="C:\\Windows";
    if (isSystemPrivilege)
    {
        return isSystemPrivilege;
    }
    char szPath[MAX_PATH] = {0};
    if (SHGetSpecialFolderPathA(NULL, szPath, CSIDL_APPDATA, TRUE))
    {
        printf("APPDATA Path:%s\n",szPath);   
		if(memcmp(szPath,flag,strlen(flag))==0)
			printf("[+]I'm System Privilege\n");
		else
			printf("[-]Not System Privilege\n");
    }
    return isSystemPrivilege;
}

int main(int argc, CHAR* argv[])
{
	IsSystemPrivilegeCmp();	
	return 0;
}

如下图

Alt text

注：

SHGetSpecialFolderPath支持查询的系统路径可在Shlobj.h中获取

如下图

Alt text

3、注册表有差异

对HKCU的部分注册表操作会被重定向到HKEY_USERS.DEFAULT

如下图

Alt text

0x03 从管理员权限降到普通用户权限的方法

1、runas

cmd：

runas /user:a calc.exe

接着输入密码：123456

calc.exe的权限为用户a的权限

如下图

Alt text

缺点：

需要等待用户手动输入密码，不够自动化

但是可以借助管道实现自动输入密码，需要借助第三方工具Sanur，方法不具体介绍

2、第三方工具：lsrunas

下载地址：

http://www.verydoc.com/exeshell.html

cmd：

lsrunas.exe /user:a /password:123456 /domain: /command:"calc.exe" /runpath:c:\

注：

/domain:参数为空表示为本机

从管理员权限降权到普通用户权限，成功，如下图

Alt text

3、第三方工具：CPAU

下载地址可参考我的github：

https://github.com/3gstudent/From-System-authority-to-Medium-authority

cmd：

CPAU.exe -u a -p 123456 -ex "calc.exe" -cwd c:\windows\system32 -lwp

注：

必须添加参数-lwp或-lwop，否则无法实现降权

从管理员权限降权到普通用户权限，成功，如下图

Alt text

4、powershell

代码如下：

$uname="a"                                                      
$pwd=ConvertTo-SecureString  "123456" -AsPlainText –Force                   
$cred=New-Object System.Management.Automation.PSCredential($uname,$pwd)        
Start-Process -FilePath  "calc.exe" -Credential $cred  

5、c++

使用API：

CreateProcessAsUser
CreateProcess