Privilege Escalation Weak Registry Services

السلام عليكم ورحمة الله وبركاته

الحمد لله على جميع نِعمه علينا ما علمنا منها وما لم نعلم حمداً والصلاة والسلام على نبينا محمد اشرف الخلق والمرسلين, اما بعد:

مقدمة:

في هذي المقالة راح اشرح لكم عن كيف نرفع صلاحيتنا عن طريق  Weak Registry Services اي سيرفس على الوندوز يكون لها مسار على الريجستري لكن بعض مسارات السيرفس اللي تكون على الريجستري يكون لنا صلاحية تعديل عليها ف بالتالي راح نعدل مسار ال executeable الخاص بالسيرفس بمسار الملف الخبيث حقنا او الريفيرس شيل ودايم تذكر هذا الشي وقد ذكرته ف المقالات الخاصه ب استغلال السيرفسيس انه لازم يكون عندك صلاحية تشغيل وايقاف للسيرفس المصابة ولا ماراح يمديك تستغلها

 

اللي ماوضحت معه الفكرة راح توضح لك مع الشرح

الشرح:

طيب اول شي انا داخل بيوزر محدود الصلاحية كالعادة اللي هو user

بعد كذا راح استخدم اداة winpease وشرحنا كيف ننلقها الى النظام المخترق في الاجزاء السابقة

راح نسوي رن لي winpease  ونشوف النتائج مع بعض

نلاحظ ان winpease يقولنا ان السيرفس اللي اسمها regsvc يمكننا التعديل عليها وهذا يعني ايضا انه عندنا  عليها صلاحية قراءة وكتابة وهذا مسارها في الريجستري:

HKLM\system\currentcontrolset\services\regsvc

راح نثبت هذا الشي برضه عن طريق اداة accesschk انه فعلا عندنا صلاحية كتابة وقراءة على هذي السيرفس في الريجستري

ملاحظة: قبل نبدا استغلال للسيرفيس دائما تعلم ان تشوف هل عندك صلاحية تشغيل و ايقاف للسيرفيس المصابة او لا  لان لو ماعندك صلاحية ايقاف و تشغيل ماراح تقدر تستغلها

 

برضه راح نعرف هل عندنا صلاحية ايقاف و تشغيل للسيرفس المصابة اللي هي regsvc عن طريق اداة accesschk عن طريق هذا الامر:

نلاحظ انه عندنا صلاحية ايقاف وتشغيل للسيرفس الان نبدا في مرحلة الأستغلال

 

راح نشوف المفاتيح والقيم الخاصة بالسيرفس في الريجستري عن طريق هذا الأمر:

reg query HKLM\system\currentcontrolset\services\regsv

طبعا الان نلاحظ ان قيمة ال key اللي اسمه ImagePath يؤدي الى الملف التنفيذي الخاص بالسيرفس راح نبدله بملف الريفيرس شيل الخاص فينا

عن طريق هذا الأمر:

reg add HKLM\system\currentcontrolset\services\regsvc /v ImagePath /t REG_EXPAND_SZ /d C:\PrivEsc\reverse.exe /f

اللي وده يطلع على اوبشنات الأمر ويفهم كل اوبشن ايش يسوي هذا الرابط:

RegAdd Command

قبل نفتح تنصت على البورت الخاص بالريفيرس شيل حقنا خلونا نشوف ايش حالة السيرفيس هل هي stop او start 

عن طريق هذا الامر:

ملاحظة: نلاحظ انه ال state حق السيرفس stop ف راح نسوي start فقط بس اذا كانت start راح تسويلها stop وترجع تسوي لها start

بس قبل اسوي start للسيرفس راح اتنصت على البورت الخاص بالملف الخبيث حقنا عن طريق netcat

بعد كذا راح اسوي ستارت للسيرفس عن طريق هذا الأمر :

net start regsvc

وبكذا حلصنا على اعلى صلاحية عن طريق Weak Registry Service

كلمات دليلية: hacking privilege windows