Kontrol Listesi - Yerel Windows Yetki Yükseltme

Reading time: 6 minutes

Windows yerel yetki yükseltme vektörlerini aramak için en iyi araç: WinPEAS

Sistem Bilgisi

• Sistem bilgilerini elde et
• kernel için saldırılar scriptler kullanarak ara
• Google kullanarak kernel saldırılarını ara
• searchsploit kullanarak kernel saldırılarını ara
• env vars içinde ilginç bilgiler var mı?
• PowerShell geçmişinde şifreler var mı?
• Internet ayarlarında ilginç bilgiler var mı?
• Sürücüler?
• WSUS saldırısı?
• AlwaysInstallElevated?

Günlükleme/AV sayımı

• Denetim ve WEF ayarlarını kontrol et
• LAPS kontrol et
• WDigest aktif mi kontrol et
• LSA Koruması?
• Kimlik Bilgileri Koruması?
• Önbelleklenmiş Kimlik Bilgileri?
• Herhangi bir AV kontrol et
• AppLocker Politikası?
• UAC
• Kullanıcı Yetkileri
• mevcut kullanıcı yetkilerini kontrol et
• herhangi bir ayrıcalıklı grubun üyesi misin?
• bu tokenlerden herhangibiri etkin mi: SeImpersonatePrivilege, SeAssignPrimaryPrivilege, SeTcbPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeCreateTokenPrivilege, SeLoadDriverPrivilege, SeTakeOwnershipPrivilege, SeDebugPrivilege ?
• Kullanıcı Oturumları?
• kullanıcı evlerini kontrol et (erişim?)
• Şifre Politikası kontrol et
• Panoya ne var?

Ağ

• mevcut ağ bilgilerini kontrol et
• Dışarıya kısıtlı gizli yerel hizmetleri kontrol et

Çalışan Süreçler

• Süreçlerin ikili dosya ve klasör izinleri
• Bellek Şifre madenciliği
• Güvensiz GUI uygulamaları
• ProcDump.exe aracılığıyla ilginç süreçlerle kimlik bilgilerini çal? (firefox, chrome, vb...)

Hizmetler

• Herhangi bir hizmeti değiştirebilir misin?
• Herhangi bir hizmet tarafından çalıştırılan ikiliyi değiştirebilir misin?
• Herhangi bir hizmetin kayıt defterini değiştirebilir misin?
• Herhangi bir belirtilmemiş hizmet ikili yolu üzerinden avantaj sağlayabilir misin?

Uygulamalar

• Yüklenmiş uygulamalar üzerindeki yazma izinleri
• Başlangıç Uygulamaları
• Zayıf Sürücüler

DLL Hijacking

• PATH içindeki herhangi bir klasöre yazabilir misin?
• yüklenmeye çalışan herhangi bir bilinen hizmet ikilisi var mı mevcut olmayan DLL?
• herhangi bir ikili klasöre yazabilir misin?

Ağ

• Ağı say (paylaşımlar, arayüzler, yollar, komşular, ...)
• localhost (127.0.0.1) üzerinde dinleyen ağ hizmetlerine özel bir göz at

Windows Kimlik Bilgileri

• Winlogon kimlik bilgileri
• Windows Vault kullanabileceğin kimlik bilgileri var mı?
• İlginç DPAPI kimlik bilgileri?
• Kaydedilmiş Wifi ağlarının şifreleri?
• kaydedilmiş RDP Bağlantılarında ilginç bilgiler var mı?
• son çalıştırılan komutlarda şifreler var mı?
• Uzak Masaüstü Kimlik Bilgileri Yöneticisi şifreleri?
• AppCmd.exe mevcut mı? Kimlik bilgileri?
• SCClient.exe? DLL Yan Yükleme?

Dosyalar ve Kayıt Defteri (Kimlik Bilgileri)

• Putty: Kimlik Bilgileri ve SSH anahtarları
• Kayıt defterinde SSH anahtarları?
• denetimsiz dosyalarda şifreler var mı?
• Herhangi bir SAM & SYSTEM yedeği var mı?
• Bulut kimlik bilgileri?
• McAfee SiteList.xml dosyası?
• Önbelleklenmiş GPP Şifresi?
• IIS Web yapılandırma dosyasında şifre var mı?
• web günlüklerinde ilginç bilgiler var mı?
• Kullanıcıdan kimlik bilgilerini istemek ister misin?
• Geri Dönüşüm Kutusu içindeki ilginç dosyalar var mı?
• kimlik bilgileri içeren diğer kayıt defterleri var mı?
• Tarayıcı verileri içinde (dbs, geçmiş, yer imleri, ...)?
• Dosyalar ve kayıt defterinde genel şifre araması
• Şifreleri otomatik olarak aramak için Araçlar

Sızdırılan İşleyiciler

• Yönetici tarafından çalıştırılan bir sürecin herhangi bir işleyicisine erişimin var mı?

Pipe İstemci Taklit Etme

• Bunu kötüye kullanıp kullanamayacağını kontrol et