Pentestlerde sızma testi adımları izlenirken makineye sızdıktan sonra(exploit sonrası) eğer düşük hak ve yetkilere sahip kullanıcı ile erişim sağlanmışsa hak ve yetki yükseltmek gerekir.(Privilege Escalation).Bu işlemin yapılması işletim sistemine ve makinenin açık olan servislerine göre değişiklik gösterir.Bu yazımda windows makineler için secondary logon zafiyetinden yararlanarak hak ve yetki yüksetlme işlemini anlatacağım.

Secondary Logon Nedir ?

Windows sistemler üzerinde bulunan ve yetkisiz kullanıcı oturumunda yetkili kullanıcı komutları çalıştırmaya yarayan bir servistir.Secondary Logon servisi ile yetkili herhangi bir token ile yeni bir proses oluşturulabilir.Bu servis aynı şekilde linux sistemlerde de bulunur.Linux sistemlerde suid olarak adlandırılır.Suid ile ilgili yazıyı görmek için tıkla.

Hak ve Yetki Yükseltme

1-)Metasploit


Eğer hedef makine de düşük yetkilere sahip bir meterpreter oturumunuz varsa metasploitte bulunan yetki yükseltme modülünü kullanarak işlemi gerçekleştirebiliriz.

exploit/windows/local/ms16_032_secondary_logon_handle_privesc

Bu işlemden sonra herhangi bir başka meterpreter oturumu dönmez,bizim localdeki yani şu an kullandığımız session üzerinde yetki yükseltme işlemi gerçekleştirir.

2-)PowerShell


Hedef makine üzerinde 3389(rdp) portundan giriş yaptıysak , Ruben Boonen tarafından geliştirilen linkte bulunan scripti hedef makinede çalıştırdığımızda ,yetki yükseltme işlemini başarıyla gerçekleştirmiş oluyor.

exploit için gereken kodlar

Bu kodları çalıştırdığımızda nt autority/system hak ve yetkilerinde cmd ekranı açılır.Scripti nasıl yükleyeceğiniz konusunda bilgi.

Script çalışması
Hak ve Yetki Yükseltme İşlemi

Sonuç

Windows sistemlerde bulunan Secondary Logon servisinin zafiyetinden faydalanarak hak ve yetki yükseltme işlemini tamamladık.Secondary Logon servisinin açık olup olmadığını kontrol etmek için;

  • Windows Tuşu+R
  • services.msc
  • Name sütununda Secondary Logon Service kısmını görebilirsiniz.

Bu zafiyet talepleri düzgün bir şekilde ele alamamasından kaynaklanmış olup, kayıtlara MS16-032 olarak geçmiş ve CVE kodu:2016-0099 dur.Windows 2016 Nisan güncellemesiyle bu zafiyeti kapattı.Zafiyet hakkında windows açıklaması ve zafiyetin kapatıldığına dair açıklamaya göz atmakta fayda var.Sisteminizi güncel tutun ,güvenli kalın 🙂

No responses yet

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir