Основы повышения привилегий в Windows

[@GH0st3rs]

Оформление? Нее не слышал…

[@artdeepitech]

Я над этим работаю. Пока мое видение оформления — субъективная вещь. Стараюсь сделать объективнее.

[@lowtech]

Согласен, свалено в кучу, непоследовательно и читается с огромным трудом. Даже устал.

[@bootracer]

Поддержу автора! Статья хорошая.
А тема большая. Можно разбить по части и писать постепенно.

[@ggreminder]

По поводу пароля администратора при установке через групповую политику (я правильно понял?) и через unattended installation — оно всегда остается? Вроде бы файл ответов стирают?
По поводу msdn.microsoft.com/en-us/library/cc422924.aspx — я не совсем понимаю, а для чего ключ выложен Майкрософтом?

[@karb0f0s]

В какой-то момент времени ключ шифрования был толи раскрыт толи утёк из Microsoft, после чего сохранение паролей в политиках запретили, а скрывать ключ более не имело смысл. Подробнее https://blogs.technet.microsoft.com/ash/2014/11/10/dont-set-or-save-passwords-using-group-policy-preferences/. Нюанс в том, что сохранённые ранее пароли всё ещё могут быть в файлах политик и доступны для расшифровки.

[@karb0f0s]

Ещё чудесатее тот факт, что ещё в 2008 году документировался факт «скрытия, а не шифрования»

«To obscure the password from casual users, it is not as clear text in the XML source code of the preference item. However, the password is not secured»
https://blogs.technet.microsoft.com/grouppolicy/2008/08/04/passwords-in-group-policy-preferences/

[@SergeyMax]

Каким образом осуществляется загрузка и выполнение библиотеки из каталога Python27, если в реестре для сервиса прописан путь к бинарнику в System32? Вы сами пробовали проделать описанное?

[@artdeepitech]

Загрузить файл в нужную директорию можно разными способами, хоть папку у себя расшарьте и из нее скопируйте. Если путь поиска dll задан абсолютно, то ничего и не получится.
Именно этот пример не пробовал.

[@SergeyMax]

Мой вопрос был не о загрузке файла в директорию, а о загрузке DLL в процесс. Вы же сами написали, что DLL загружаются из определённого списка каталогов, то есть если вы просто положите вашу поддельную библиотеку в произвольный каталог, то она не будет просто так использоваться. Чтобы она загрузилась вместе с процессом svchost, её нужно записать в каталог System32, а у вас туда доступа нет.

[@artdeepitech]

Данная служба запускает несуществующую dll.
Данный пример работает только в Windows Vista, 7, 8, Server 2008, Server 2008 R2 и Server 2012.
По умолчанию, если программное обеспечение установлено в каталоге C:\ вместо C:\Program Files, пользователи, прошедшие проверку подлинности, будут иметь доступ на запись в этот каталог. Программное обеспечение, как то Perl, Python и т. д. обычно добавляются к переменной Path. Поиск dll Идет по порядку, приведенному в статье, Path — последний пункт этого списка.
Такие «несуществующие» dll можно найти с помощью, например, ProcessMonitor

[@speshuric]

А почему в статье используется echo %username%, а не более традиционный whoami? Более того %username% можно и подменить, а вот whoami не очень.

[@GH0st3rs]

artdeepitech
А разве не нужно указывать, что это перевод, и прикладывать ссылку на оригинал?