Windows访问控制模型--ACL分析

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

#查看指定文件或目录的ACL
icacls C:\Windows\SYSVOL\sysvol\rootkit.org

#备份指定文件(包括当前目录及其子目录中的文件)的ACL，备份结果格式是D:(A;;FA;;;SY)(A;;FA;;;BA)(A;;FA;;;S-1-5-21-649686750-1085018105-1475906644-1000)
icacls C:\Windows\SYSVOL\sysvol\rootkit.org /save Aclfile /t

#还原指定文件(包括当前目录及其子目录中的文件)的ACL，还原时，路径需要设置为上级目录。
icacls C:\Windows\SYSVOL\sysvol\ /restore AclFile /t

#添加用户test1对指定文件(包括当前目录及其子目录中的文件)的完全访问权限
icacls C:\Windows\SYSVOL\sysvol\rootkit.org /grant test1:(OI)(CI)(F) /t

#移除用户test1对指定文件(包括当前目录及其子目录中的文件)的完全访问权限
icacls C:\Windows\SYSVOL\sysvol\rootkit.org /remove test1 /t

#powershell也可以查看和编辑
Get-Acl -Path 'C:\Users\hanhan3\Desktop\1.txt'| Format-Table -wrap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

#查看指定路径的ACL
Get-Acl -Path 'HKLM:\SAM'| Format-Table -wrap

#获得Access项的具体内容
$acl = Get-Acl -Path 'HKLM:\SAM'
$acl.Access

#添加用户test1对指定路径(包括当前注册表项及其子健)的完全访问权限
$acl = Get-Acl HKLM:\SAM
$person = [System.Security.Principal.NTAccount]"test1"
$access = [System.Security.AccessControl.RegistryRights]"FullControl"
$inheritance = [System.Security.AccessControl.InheritanceFlags]"ObjectInherit,ContainerInherit" #表示其子健继承当前注册表项的权限
$propagation = [System.Security.AccessControl.PropagationFlags]"None"
$type = [System.Security.AccessControl.AccessControlType]"Allow"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule( `
$person,$access,$inheritance,$propagation,$type)
$acl.AddAccessRule($rule)
Set-Acl HKLM:\SAM $acl

#移除用户test1对指定路径(包括当前注册表项及其子健)的完全访问权限
$acl = Get-Acl HKLM:\SAM
$person = [System.Security.Principal.NTAccount]"test1"
$access = [System.Security.AccessControl.RegistryRights]"FullControl"
$inheritance = [System.Security.AccessControl.InheritanceFlags]"ObjectInherit,ContainerInherit"
$propagation = [System.Security.AccessControl.PropagationFlags]"None"
$type = [System.Security.AccessControl.AccessControlType]"Allow"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule( `
$person,$access,$inheritance,$propagation,$type)
$acl.RemoveAccessRule($rule)
Set-Acl HKLM:\SAM $acl

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

#获得当前域内所有对象
Get-DomainObject -Domain test.com
#获得当前域内所有对象的ACL
Get-DomainObjectAcl -Domain test.com
#获得指定用户的ACL
Get-DomainUser test1
#添加用户test1对指定对象(guid)的完全访问权限
Add-DomainObjectAcl -TargetIdentity '483e9973-2d45-4e2f-b034-f272a26950e0' -PrincipalIdentity test1 -Rights All
#移除用户test1对指定对象(guid)的完全访问权限
Remove-DomainObjectAcl -TargetIdentity '483e9973-2d45-4e2f-b034-f272a26950e0' -PrincipalIdentity test1 -Rights All

1
2
3
4
5
6

#查找某个对象在域内的所有ACL权限
AdFind.exe -b "DC=rootkit,DC=org" NTSecurityDescriptor -sddl+++ -sddlfilter ;;;;;"ROOTKIT\jerry" -recmute
#查找有dcync权限的用户
AdFind.exe -b "DC=rootkit,DC=org" NTSecurityDescriptor -sddl+++ -sddlfilter ;;;Replicating Directory Changes;; -recmute
#查找具有dcsync权限的用户(数据量很大，不要用)。（这里没有用三个+，那么过滤条件就要和输出的格式保持一致）
AdFind.exe -s subtree -b "DC=rootkit,DC=org" NTSecurityDescriptor -rawsddl -sddlfilter ;;;"1131f6ad-9c07-11d1-f79f-00c04fc2dcd2";; -recmute -resolvesids

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

#通用权限
GenericAll 授予对目标对象的完全控制权，包括WriteDacl和WriteOwner特权
GenericWrite 可以修改所有参数，因此包括对某些属性的WriteProperty，比如member
WriteOwner 修改所有者
WriteDACL 将新ACE写入目标对象的DACL的功能。例如，攻击者可以向目标对象DACL写入新的ACE，从而使攻击者可以“完全控制”目标对象。
Full Control 这个权限就具备以上所有的权限，随便挑一个特殊权限的攻击方式进行攻击就行了。

#扩展权限 AllExtendedRights
#将任意用户、组或计算机添加到目标组
AddMembers
#可以更改目标用户的密码
User-Force-Change-Password(0299570-246d-11d0-a768-00aa006e0529) 
#具有这两个扩展权限的用户具备dcsync权限
DS-Replication-Get-Changes(1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)
和DS-Replication-Get-Changes-All(1131f6ad-9c07-11d1-f79f-00c04fc2dcd2) 
#如果对一个对象有写入spn的权限，那么就可以对这个对象进行kerberosting
servicePrincipalName