声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。所有话题标签：#Web安全 #漏洞复现 #工具使用 #权限提升#权限维持 #防护绕过 #内网安全 #实战案例#其他笔记 #资源分享 #MSF |
|---|
- 1. 利用mssql_exec模块执行powershell payload绕过Windows Defender获取MSF会话；
- 2. 利用kiwi扩展“通过MSSQL客户端连接工具的Ssms.exe进程”模拟Administrator令牌；
- 3. 利用migrate进程迁移命令绕过Windows Defender得到SYSTEM以及HASH和明文密码；
0x04 其他绕过思路 当目标机器存在Windows Defender防病毒软件时，即使已经拿到了Administrator会话后仍然无法执行getsystem、hashdump、list_tokens等命令和一些后渗透模块，除了上边已测试的migrate进程迁移方法外还可以尝试以下三个思路。尽可能的拿到目标机器的SYSTEM以及HASH和明文密码，在内网环境中可能会有其他用途，这里仅为大家扩展几个绕过思路，就不截图了！ (1) 直接添加管理员用户 使用shell命令进入cmdshell后直接利用net命令来添加一个管理员用户，然后远程桌面连接进去关闭Windows Defender防病毒软件的实时保护，最后尝试抓取目标机器HASH和明文密码。 net user test xxxasec!@#!23 /add net localgroup administrators test /add (2) 修改SAM注册表权限 使用regini命令修改SAM注册表权限，然后利用post/windows/gather/hashdump模块抓取目标机器HASH，最后再利用135/445等支持哈希传递的工具来执行命令。 echo HKLMSAMSAM [1 17]>C:ProgramDatasam.ini regini C:ProgramDatasam.ini (3) 关闭杀毒软件实时保护 使用Windows Defender防病毒软件中自带的MpCmdRun.exe程序来关闭它的实时保护，然后再利用hashdump命令或模块抓取目标机器HASH。MSF中的rollback_defender_signatures模块也可以用来关闭实时保护，但是需要SYSTEM权限才能执行。 C:PROGRA~1WINDOW~1>MpCmdRun.exe -RemoveDefinitions -all MpCmdRun.exe -RemoveDefinitions -all Service Version: 4.18.1812.3 Engine Version: 1.1.17600.5 AntiSpyware Signature Version: 1.327.2026.0 AntiVirus Signature Version: 1.327.2026.0 NRI Engine Version: 1.1.17600.5 NRI Signature Version: 1.327.2026.0 Starting engine and signature rollback to none... Done! 0x05 注意事项 记得前几年在测试Windows Defender时好像几乎所有获取MSF会话的方式都是会被拦截的，但是不知道为什么在这个案例中就没有拦截web_delivery模块中的Powershell，hta_server模块是会被拦截的，MSF或Windows Defender版本原因吗？这里我也没有再去深究这个问题，所以大家在实战测试中还是得自己多去尝试，说不定哪种方法就成功了呢！！！ 只需在公众号回复“9527”即可领取一套HTB靶场学习文档和视频，“1120”领取安全参考等安全杂志PDF电子版，“1208”领取一份常用高效爆破字典，还在等什么？
