Windows環(huán)境下與使用者關(guān)聯(lián)的用戶賬戶

0x00 寫在前面

本次測試僅供學(xué)習(xí)使用，如若非法他用，與平臺(tái)和本文作者無關(guān)，需自行負(fù)責(zé)！ 0x01 軟件介紹 基礎(chǔ)知識(shí) 在window環(huán)境中，每個(gè)賬戶都有唯一的安全標(biāo)識(shí)符（Securityz Identifier, SID ）,用戶的權(quán)限是通過用戶的SID記錄的。 與使用者關(guān)聯(lián)的用戶賬戶 1、Administrator administrator是默認(rèn)的內(nèi)置管理員用戶，在所有與使用者關(guān)聯(lián)的賬戶中其權(quán)限最高。 2、Guest Guest 是提供給沒有用戶賬戶的訪客使用的，該賬戶默認(rèn)是禁用的。它擁有的權(quán)限非常有限，此賬戶也無法刪除，但是允許改名。 3、DefaultAccount DefaultAccount 是系統(tǒng)管理的賬戶，微軟為了防止開箱體驗(yàn)（oobe）時(shí)出現(xiàn)問題而準(zhǔn)備的默認(rèn)賬戶。 與Windows組件關(guān)聯(lián)的用戶賬戶 1、SYSTEM （本地系統(tǒng)） 該賬戶與使用計(jì)算機(jī)的人無關(guān)，是為windows 的核心組件訪問文件等資源提供權(quán)限的。 2、LOCAL_SERVICE (本地服務(wù)) LOCAL_SERVICE賬戶與計(jì)算機(jī)的使用者無關(guān)，它是為Windows 的一部分服務(wù)提供訪問系統(tǒng)的權(quán)限。 3、NETWORK SERVICE（網(wǎng)絡(luò)服務(wù)） NETWORK SERVICE賬戶與LOCAL SERVICE賬戶一致，也是為Windows的一部分服務(wù)提供訪問系統(tǒng)的權(quán)限。 TrustedInstaller是Windows系統(tǒng)中眾多系統(tǒng)內(nèi)置安全主體中的一個(gè)，本身是系統(tǒng)重要服務(wù)。 用戶無法直接在此服務(wù)的上下文中運(yùn)行程序或另一個(gè)服務(wù)。 它是操作系統(tǒng)上用來對(duì)系統(tǒng)進(jìn)行維護(hù)、更新等操作的組。 它的SID是

S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464

1、TrustedInstaller權(quán)限的意義是用來防止程序或用戶無意或惡意破壞系統(tǒng)文件。

2、這個(gè)安全主體本身是一個(gè)服務(wù)，名稱為：Windows Modules Installer。 在Windows XP及以前，System賬戶與管理員組對(duì)系統(tǒng)文件都有著完全訪問的權(quán)限。 3、這意味著以管理員身份運(yùn)行的程序可以任意更改系統(tǒng)，降低了系統(tǒng)安全性。 TrustedInstaller則改變了這一情況，使得只有擁有該令牌的系統(tǒng)進(jìn)程才能更改系統(tǒng)重要內(nèi)容，而其他大部分系統(tǒng)服務(wù)就沒有權(quán)限。 4、這是因?yàn)?，以SYSTEM權(quán)限運(yùn)行的程序不一定同時(shí)擁有該權(quán)限，只有通過了Service Control Manager（服務(wù)啟動(dòng)控制器）的驗(yàn)證后才能獲取。 工具使用 1、在攻擊成功后獲取系統(tǒng)用戶權(quán)限，再執(zhí)行某些命令報(bào)錯(cuò)。 開啟遠(yuǎn)程桌面

REGADDHKLMSYSTEMCurrentControlSetControlTerminal""Server/vfDenyTSConnections/tREG_DWORD/d00000000/f

關(guān)閉遠(yuǎn)程桌面

REGADDHKLMSYSTEMCurrentControlSetControlTerminal""Server/vfDenyTSConnections/tREG_DWORD/d11111111/f

2、借助工具進(jìn)行權(quán)限提升。 3、當(dāng)攻擊利用工具由于權(quán)限問題不能使用時(shí)，也可以借助該程序運(yùn)行。 網(wǎng)絡(luò)安全的本質(zhì)就是對(duì)抗！