Windows под лупой. Собираем тулзы для всестороннего аудита

Се­год­ня я поделюсь с тобой инс­тру­мен­тами сбо­ра информа­ции для эска­лации при­виле­гий и пос­тэкс­плу­ата­ции. С их помощью ты смо­жешь как усо­вер­шенс­тво­вать ата­ку, так и защитить машины с Windows.

PrivescCheck

Ре­пози­торий: github.com/itm4n/PrivescCheck. Не путай со ста­рым и непод­держи­ваемым windows-privesc-check от pentestmonkey.

PrivescCheck — тул­за на базе скрип­та PowerShell (файл .ps1), который ищет век­торы локаль­ного повыше­ния при­виле­гий. Отлично под­ходит как для работы на хак­нутом тар­гете, так и для про­вер­ки собс­твен­ных машин с Windows. Боль­шинс­тво про­верок не тре­буют прав адми­на.

PrivescCheck реаль­но хорошо копа­ет! Ищет узкие мес­та в пра­вах дос­тупа, кри­во нас­тро­енные служ­бы, проб­лемы в раз­решени­ях на фай­лы, пап­ки и клю­чи реес­тра. Чека­ет чувс­тви­тель­ные дан­ные типа паролей в кон­фигах и исто­рии команд. В том чис­ле ана­лизи­рует Unattend.xml. Это спе­циаль­ный файл для авто­мати­чес­кого раз­верты­вания Windows, мас­тер уста­нов­ки берет из него отве­ты на воп­росы.

Ус­танов­ленный софт тоже не оста­нет­ся без вни­мания, в том чис­ле драй­веры и служ­бы. PrivescCheck чека­ет их на извес­тные CVE.

Скрипт час­то выруча­ет — по роду деятель­нос­ти мне пос­тоян­но при­ходит­ся ста­вить раз­ный софт, который может под­тянуть уяз­вимую DLL. Пери­оди­чес­ки про­гоняю PrivescCheck, что­бы уви­деть, какие проб­лемы появи­лись.

Для уста­нов­ки запус­ти тер­минал PowerShell и соз­дай каталог. Можешь исполь­зовать досов­ские mkdir и cd, либо сра­зу пиши, как взрос­лый, на PS:

Ска­чива­ние скрип­та:

Ес­ли оши­бок нет, запус­кай базовую про­вер­ку:

Аль­тер­натив­ный вари­ант запус­ка:

Это три отдель­ные коман­ды. С помощью Set-ExecutionPolicy отклю­чаем огра­ниче­ния PowerShell для текущей сес­сии. Bypass — режим выпол­нения скрип­тов без бло­киро­вок и пре­дуп­режде­ний. Через -Scope ука­зыва­ешь, что пра­вило дей­ству­ет толь­ко для текуще­го про­цес­са. -Force уби­рает лиш­ние воп­росы.

Сле­дующая коман­да запус­кает­ся через точ­ку — это dot-sourcing. Таким обра­зом ты зас­тавля­ешь сис­тему про­читать скрипт и заг­рузить все перемен­ные и фун­кции в текущую сес­сию. Пос­ле мож­но выпол­нить фун­кцию Invoke-PrivescCheck как обыч­ную коман­ду PS.

Ре­зуль­тат про­вер­ки PrivescCheck

Рас­ширен­ная про­вер­ка с сох­ранени­ем резуль­татов в фай­лы .txt и .html:

На выходе получишь фай­лы

Фай­лы с отче­тами

За­пуск с пол­ным ауди­том все­го:

При локаль­ных про­вер­ках запус­кай от име­ни текуще­го поль­зовате­ля, а не адми­на. Автор пря­мо ука­зыва­ет, что при запус­ке с пра­вами адми­на мно­гие про­вер­ки будут про­пуще­ны.

При­мер HTML-отче­та

WinPEAS

Ре­пози­торий: github.com/peass-ng/PEASS-ng/tree/master/winPEAS. Для ска­чива­ния дос­тупны три вари­анта: экзешник, скрип­ты .ps1 и .bat.