PrivescCheckb
00 min
2024-12-16

PrivescCheck 工具簡介

PrivescCheck 是一款用於檢測 Windows 環境中可能存在的 權限提升漏洞（Privilege Escalation Vulnerabilities） 的工具。它是滲透測試和藍隊防禦中常用的工具之一，可快速掃描目標系統的錯誤配置、敏感數據暴露以及潛在的提權路徑。
該工具的目的是幫助滲透測試人員、紅隊或系統管理員發現系統中的錯誤配置，這些配置可能會被攻擊者利用來從低權限用戶提權到高權限（例如 Administrators 或 SYSTEM）。

功能特點

PrivescCheck 專注於以下幾個方面的檢查：
  1. 文件和目錄權限
      • 檢查系統中特定文件或目錄是否具有過於寬鬆的權限（例如，普通用戶可以修改敏感文件）。
      • 例如，某些應用程序的配置文件或二進制文件如果可以被普通用戶更改，可能導致提權。
  1. 服務配置錯誤
      • 檢測 Windows 服務的錯誤配置，包括：
        • 服務可執行文件的路徑是否可被修改。
        • 服務是否以高權限帳戶運行（例如 SYSTEM），但普通用戶可以控制它。
  1. 計劃任務
      • 檢查 Windows 任務計劃程序中是否存在錯誤配置，例如普通用戶可以修改高權限任務。
  1. 登錄腳本
      • 檢查登錄腳本是否可被低權限用戶修改，從而在管理員登錄時執行惡意代碼。
  1. 敏感憑據暴露
      • 檢查系統中是否存儲了敏感憑據：
        • 註冊表中保存的帳戶密碼。
        • 配置文件或腳本中硬編碼的憑據。
  1. 令牌和權限
      • 檢查當前用戶是否具有敏感權限（例如 SeImpersonatePrivilege 或 SeAssignPrimaryTokenPrivilege），這些權限可以被用於攻擊（例如 Potato 系列漏洞）。
  1. 自動啟動程序
      • 檢查自動啟動項（如註冊表 Run 鍵、啟動文件夾等）是否存在漏洞。
  1. 漏洞檢測
      • 分析系統是否存在已知的內核或應用程序漏洞，並提供相關的利用建議。

運行方法

  1. 下載工具：
      • 從可信來源下載 PrivescCheck 工具，通常它是以 PowerShell 腳本或可執行文件的形式提供的：
        • GitHub 官方倉庫（如有）。
        • 內部工具或已驗證的第三方來源。
  1. 執行腳本：
      • 以下是 PowerShell 版本的執行方式：
    1. 查看輸出：
        • 工具會生成詳細的掃描報告，列出所有可能的提權路徑和相關的誤配置。

    常見輸出解釋

    執行 PrivescCheck 後，工具會生成一份檢測報告，內容可能包括以下項目：

    1. 文件和目錄權限

    解釋：
    • 發現一個可寫的敏感目錄，攻擊者可以在此目錄中放置惡意文件，並通過某些機制執行它們。

    2. 服務配置錯誤

    解釋：
    • 發現服務的可執行路徑未加引號，攻擊者可以利用此漏洞插入惡意文件（即 服務路徑劫持）。

    3. 登錄腳本

    解釋：
    • 普通用戶可以修改高權限用戶的登錄腳本，導致管理員登錄時執行惡意代碼。

    4. 敏感憑據暴露

    解釋：
    • 在系統配置文件或註冊表中檢測到明文憑據，攻擊者可以利用這些憑據進行提權。

    5. 特權權限

    解釋：
    • 當前用戶具有 SeImpersonatePrivilege 權限，可以利用這個權限執行 Potato 系列漏洞（如 JuicyPotato 或 PrintNightmare），從而提權到 SYSTEM。

    應用場景

    1. 紅隊測試：
        • 在滲透測試或紅隊模擬中，使用 PrivescCheck 快速發現目標系統上的提權漏洞或機會。
        • 尋找錯誤配置（如未加引號的服務路徑、可寫的高權限文件等）。
    1. 藍隊防禦：
        • 系統管理員或藍隊使用該工具檢查內部環境中的錯誤配置，提前修復可能的安全問題。
        • 例如，識別和修復敏感文件的過度權限或憑據泄露。
    1. 漏洞評估：
        • 評估系統是否存在導致權限提升的已知漏洞，並修補相關問題。

    修復建議

    1. 修復文件和目錄權限

    • 限制敏感文件或目錄的權限：
      • 僅授予管理員和系統帳戶讀寫權限。
      • 移除普通用戶對敏感目錄的寫權限。

    2. 修復服務配置

    • 確保服務的可執行文件路徑加上引號，避免服務路徑劫持。
    • 限制普通用戶對服務相關文件的訪問權限。

    3. 檢查登錄腳本

    • 確保登錄腳本僅能被管理員修改。
    • 定期審計登錄腳本，避免其中包含惡意代碼。

    4. 清除明文憑據

    • 檢查系統中是否存儲了明文憑據（例如，註冊表、配置文件）。
    • 如果需要保存憑據，使用安全方式（如加密憑據存儲）。

    5. 限制特權權限

    • 移除低權限用戶的敏感權限（如 SeImpersonatePrivilege 和 SeAssignPrimaryTokenPrivilege）。
    • 使用 GPO 或安全基線對權限進行嚴格控制。

    總結

    PrivescCheck 是一款功能強大的 Windows 權限提升檢查工具，能夠幫助滲透測試人員和系統管理員快速識別目標系統中的提權機會。通過及時修復工具發現的錯誤配置和漏洞，可以顯著提升系統的安全性。
    相關鏈接：
    • 如果需要下載或了解更多，建議查看工具的官方文檔或 GitHub 項目頁面（如有）。
    上一篇
    HB
    下一篇
    AZ-900