Tutorials

🔐 Meterpreter – Privilege Escalation via Process Migration

Elevarsi a utente SYSTEM su una macchina Windows compromessa tramite migrazione del processo process migration utilizzando Meterpreter, strumento integrato nel framework Metasploit. ---

#exploitation#post-exploitation#windows#privesc

🔐 Meterpreter – Privilege Escalation via Process Migration

🎯 Obiettivo

Elevarsi a utente SYSTEM su una macchina Windows compromessa tramite migrazione del processo (process migration) utilizzando Meterpreter, strumento integrato nel framework Metasploit.

📌 Requisiti

  • Accesso iniziale alla macchina target con Meterpreter session attiva.
  • Il processo di destinazione deve essere in esecuzione come NT AUTHORITY\SYSTEM.
  • L’utente attuale deve avere i privilegi necessari per accedere al processo target (tipicamente serve far parte del gruppo _Administrators_).

🛠️ Procedura Dettagliata

1️⃣ Visualizzazione dei processi attivi

Utilizza il comando ps nella sessione Meterpreter per ottenere l’elenco dei processi attualmente in esecuzione.

meterpreter > ps

Questo comando restituirà un output simile a:

bash
PID   PPID  Name             Arch  Session  User              Path
---   ----  ------------     ----  -------  ----              ----
480   456   notepad.exe      x64   1        demo\user1        path\notepad.exe
688   492   lsass.exe        x64   0        SYSTEM            path\lsass.exe
🔎 Nota: cerca un processo eseguito con utente NT AUTHORITY\SYSTEM, ad esempio lsass.exe, winlogon.exe, services.exe.

2️⃣ Selezione del PID target

Identifica il PID del processo privilegiato. Nell’esempio sopra, il processo lsass.exe ha PID 688.

3️⃣ Migrazione al processo

Utilizza il comando migrate per eseguire la migrazione del tuo payload al processo SYSTEM selezionato.

meterpreter > migrate 688

Se la migrazione ha successo, vedrai un messaggio simile a:

css
[] Migrating from 3524 to 688... [] Migration completed successfully.

📈 Vantaggi della Migrazione a un Processo SYSTEM

  • Accesso a privilegi SYSTEM, che equivalgono al massimo livello di privilegio su Windows.
  • Aumento della stabilità della sessione (i processi come lsass.exe o services.exe sono persistenti).
  • Possibilità di aggirare restrizioni di esecuzione e accedere a risorse protette.
  • Facilitazione di comandi come getsystem, hashdump, e altre tecniche avanzate di post-exploitation.

🛡️ Contromisure Difensive

Gli amministratori di sistema possono mitigare questa tecnica attraverso:

  • Abilitazione di Credential Guard e LSASS Protection per impedire l'accesso al processo lsass.exe.
  • Utilizzo di soluzioni EDR/AV con detection di process injection e monitoraggio di migrazioni anomale.
  • Isolamento delle sessioni RDP e privilegi minimi per gli utenti.

⚠️ Considerazioni Operative

  • Migrare a lsass.exe può essere pericoloso: in ambienti protetti può causare crash o allertare antivirus/EDR.
  • In alternativa, considera altri processi SYSTEM meno critici (es. svchost.exe) per aumentare le chance di successo.
  • La migrazione fallirà se il processo è protetto da PPL (Protected Process Light) o da altre tecnologie di sicurezza.