Kontrolna lista - Local Windows Privilege Escalation

Reading time: 7 minutes

Najbolji alat za pronalaženje Windows local privilege escalation vektora: WinPEAS

Informacije o sistemu

• Nabavite System information
• Tražite kernel exploits using scripts
• Koristite Google za pretragu kernel exploits
• Koristite searchsploit za pretragu kernel exploits
• Zanimljive informacije u env vars?
• Lozinke u PowerShell history?
• Zanimljive informacije u Internet settings?
• Drives?
• WSUS exploit?
• Third-party agent auto-updaters / IPC abuse
• AlwaysInstallElevated?

Enumeracija logovanja/AV

• Proverite Audit i WEF podešavanja
• Proverite LAPS
• Proverite da li je WDigest aktivan
• LSA Protection?
• Credentials Guard?
• Cached Credentials?
• Proverite da li postoji neki AV
• AppLocker Policy?
• UAC
• User Privileges
• Proverite trenutne privilegije korisnika
• Da li ste član neke privilegovane grupe?
• Proverite da li imate bilo koji od ovih tokena omogućen: SeImpersonatePrivilege, SeAssignPrimaryPrivilege, SeTcbPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeCreateTokenPrivilege, SeLoadDriverPrivilege, SeTakeOwnershipPrivilege, SeDebugPrivilege ?
• Users Sessions?
• Proverite home foldere korisnika (pristup?)
• Proverite Password Policy
• Šta je inside the Clipboard?

Mreža

• Proverite trenutne mrežne informacije
• Proverite skrivene lokalne servise ograničene prema spolja

Pokrenuti procesi

• Dozvole fajlova i foldera binarnih fajlova procesa file and folder permissions
• Memory Password mining
• Insecure GUI apps
• Ukrasti kredencijale iz interesting processes pomoću ProcDump.exe? (firefox, chrome, itd...)

Servisi

• Možete li izmeniti bilo koji servis?
• Možete li izmeniti binarni fajl koji se izvodi od strane nekog servisa?
• Možete li izmeniti registry bilo kog servisa?
• Možete li iskoristiti bilo koji unquoted service binary path?
• Service Triggers: enumerate and trigger privileged services

Aplikacije

• Dozvole za pisanje na instaliranim aplikacijama permissions on installed applications
• Startup Applications
• Vulnerable Drivers

DLL Hijacking

• Možete li pisati u bilo koji folder unutar PATH?
• Postoji li poznati binarni fajl servisa koji pokušava da učita nepostojeću DLL?
• Možete li pisati u bilo koji folder sa binarima?

Mreža

• Enumerišite mrežu (share-ovi, interfejsi, rute, susedi, ...)
• Obratite posebnu pažnju na mrežne servise koji slušaju na localhost (127.0.0.1)

Windows kredencijali

• Winlogon kredencijali
• Windows Vault kredencijali koje možete iskoristiti?
• Zanimljivi DPAPI credentials?
• Lozinke sačuvanih Wifi networks?
• Zanimljive informacije u saved RDP Connections?
• Lozinke u recently run commands?
• Lozinke iz Remote Desktop Credentials Manager?
• AppCmd.exe exists? Kredencijali?
• SCClient.exe? DLL Side Loading?

Fajlovi i Registry (Credentials)

• Putty: Creds i SSH host keys
• SSH keys in registry?
• Lozinke u unattended files?
• Ima li nekih SAM & SYSTEM backup-a?
• Cloud credentials?
• McAfee SiteList.xml fajl?
• Cached GPP Password?
• Lozinka u IIS Web config file?
• Zanimljive informacije u web logs?
• Želite li da ask for credentials od korisnika?
• Zanimljivi fajlovi u Recycle Bin?
• Drugi registry containing credentials?
• Unutar Browser data (dbs, history, bookmarks, ...)?
• Generic password search u fajlovima i registru
• Tools za automatsko pretraživanje lozinki

Leaked Handlers

• Imate li pristup bilo kom handle-u procesa koji je pokrenuo administrator?

Pipe Client Impersonation

• Proverite da li možete da ga zloupotrebite