체크리스트 - 로컬 Windows 권한 상승

Reading time: 6 minutes

Windows 로컬 권한 상승 벡터를 찾기 위한 최고의 도구: WinPEAS

시스템 정보

• 시스템 정보 얻기
• 커널 스크립트를 사용한 익스플로잇 검색
• Google을 사용하여 커널 익스플로잇 검색
• searchsploit를 사용하여 커널 익스플로잇 검색
• 환경 변수에서 흥미로운 정보?
• PowerShell 기록에서 비밀번호?
• 인터넷 설정에서 흥미로운 정보?
• 드라이브?
• WSUS 익스플로잇?
• AlwaysInstallElevated?

로그/AV 열거

• 감사 및 WEF 설정 확인
• LAPS 확인
• WDigest가 활성화되어 있는지 확인
• LSA 보호?
• 자격 증명 가드?
• 캐시된 자격 증명?
• AV 확인
• AppLocker 정책?
• UAC
• 사용자 권한
• 현재 사용자 권한 확인
• 특권 그룹의 구성원인가요?
• 이 토큰 중 어떤 것이 활성화되어 있는지 확인: SeImpersonatePrivilege, SeAssignPrimaryPrivilege, SeTcbPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeCreateTokenPrivilege, SeLoadDriverPrivilege, SeTakeOwnershipPrivilege, SeDebugPrivilege ?
• 사용자 세션?
• 사용자 홈 확인 (접근 가능?)
• 비밀번호 정책 확인
• 클립보드 안에 무엇이 있나요?

네트워크

• 현재 네트워크 정보 확인
• 외부에 제한된 숨겨진 로컬 서비스 확인

실행 중인 프로세스

• 프로세스 바이너리 파일 및 폴더 권한
• 메모리 비밀번호 채굴
• 안전하지 않은 GUI 앱
• ProcDump.exe를 통해 흥미로운 프로세스로 자격 증명 도용? (firefox, chrome 등 ...)

서비스

• 서비스를 수정할 수 있나요?
• 서비스에 의해 실행되는 바이너리를 수정할 수 있나요?
• 서비스의 레지스트리를 수정할 수 있나요?
• 인용되지 않은 서비스 바이너리 경로를 이용할 수 있나요?

응용 프로그램

• 설치된 응용 프로그램에 대한 쓰기 권한
• 시작 응용 프로그램
• 취약한 드라이버

DLL 하이재킹

• PATH 안의 어떤 폴더에 쓸 수 있나요?
• 존재하지 않는 DLL을 로드하려고 하는 알려진 서비스 바이너리가 있나요?
• 바이너리 폴더에 쓸 수 있나요?

네트워크

• 네트워크 열거 (공유, 인터페이스, 경로, 이웃 등 ...)
• 로컬호스트(127.0.0.1)에서 수신 대기 중인 네트워크 서비스에 특별히 주목

Windows 자격 증명

• Winlogon 자격 증명
• Windows Vault 자격 증명을 사용할 수 있나요?
• 흥미로운 DPAPI 자격 증명?
• 저장된 Wifi 네트워크 비밀번호?
• 저장된 RDP 연결에서 흥미로운 정보?
• 최근 실행된 명령에서 비밀번호?
• 원격 데스크톱 자격 증명 관리자 비밀번호?
• AppCmd.exe 존재? 자격 증명?
• SCClient.exe? DLL 사이드 로딩?

파일 및 레지스트리 (자격 증명)

• Putty: 자격 증명 및 SSH 호스트 키
• 레지스트리의 SSH 키?
• 비대면 파일에서 비밀번호?
• SAM & SYSTEM 백업이 있나요?
• 클라우드 자격 증명?
• McAfee SiteList.xml 파일?
• 캐시된 GPP 비밀번호?
• IIS 웹 구성 파일에서 비밀번호?
• 웹 로그에서 흥미로운 정보?
• 사용자에게 자격 증명 요청 하시겠습니까?
• 휴지통 안의 흥미로운 파일?
• 자격 증명 포함 레지스트리?
• 브라우저 데이터 안에 (dbs, 기록, 북마크 등)?
• 파일 및 레지스트리에서 일반 비밀번호 검색
• 비밀번호를 자동으로 검색하는 도구

유출된 핸들러

• 관리자에 의해 실행된 프로세스의 핸들러에 접근할 수 있나요?

파이프 클라이언트 가장하기

• 이를 악용할 수 있는지 확인