PrivKit

مجموعة من ملفات كائنات المنارة (BOFs) لفحص تصعيد الامتيازات المحلية في ويندوز.

الوصف

PrivKit هي أداة مفتوحة المصدر تمكن فرق الاختراق ومختبرّي الاختراق من تحديد نقاط الضعف الشائعة لتصعيد الامتيازات المحلية في ويندوز بسرعة باستخدام ملفات كائنات المنارة (BOFs) الخاصة بـ Cobalt Strike.

للاستخدام عبر سطر الأوامر والأمثلة، يُرجى الرجوع إلى قسم الاستخدام.

إذا وجدت أي أخطاء، لا تتردد في الإبلاغ عنها. ملاحظاتك ثمينة لتحسين جودة هذا المشروع!

إخلاء المسؤولية

المؤلفون والمساهمون في هذا المشروع غير مسؤولين عن أي استخدام غير قانوني للأداة. هي مخصصة لأغراض تعليمية واختبار أمني مصرح به فقط. المستخدمون مسؤولون عن ضمان الاستخدام القانوني.

جدول المحتويات

• PrivKit
  • الوصف
  • إخلاء المسؤولية
  • جدول المحتويات
  • شكر وتقدير
  • الميزات
  • التثبيت
  • الاستخدام
  • أمثلة
  • المراجع

شكر وتقدير

شكر خاص لصديقي @nickvourd على كل إسهاماته.

شكر خاص لفريق TrustedSec على مشروعهم الممتاز CS-Situational-Awareness-BOF الذي كان مصدر إلهام لهذه الأداة.

امتنان لفريق Cobalt Strike على توثيقهم الشامل لـ BOF وأمثلتهم.

تم إنشاء PrivKit بـ ❤️ بواسطة @merterpreter.

الميزات

يقدم PrivKit مجموعة شاملة من فحوصات تصعيد الامتيازات، وتشمل:

لماذا BOFs؟

• ✅ التنفيذ في الذاكرة - لا يتم إسقاط ملفات على القرص
• ✅ خفيف الوزن - بصمة منارة ضئيلة
• ✅ سريع - سرعة تنفيذ أصيلة
• ✅ متخفي - يعمل داخل سياق عملية المنارة
• ✅ متعدد البنى - يدعم كلاً من x64 و x86

PrivKit مكتوب بلغة C ويتم تجميعه كملفات كائنات منارة، مما يجعله متوافقًا مع Cobalt Strike 4.x على أهداف ويندوز.

التثبيت

⚠️ يُرجى التأكد من تثبيت MinGW-w64 على نظامك.

ℹ️ لمنصات لينكس (Ubuntu/Debian) قم بتثبيت الحزمة التالية:

sudo apt update && sudo apt install mingw-w64 -y

ℹ️ لمنصات MacOS قم بتثبيت الحزمة التالية:

brew install mingw-w64

1. استنساخ المستودع عن طريق تنفيذ الأمر التالي:

git clone https://github.com/mertdas/PrivKit.git

2. بعد استنساخ المستودع، انتقل إلى دليل PrivKit:

cd PrivKit

3. استخدم السكريبت make_all.sh الذي يقوم بتجميع جميع BOFs لكل من x64 و x86:

./make_all.sh

4. قم بتحميل سكريبت aggressor في Cobalt Strike:

Cobalt Strike -> Script Manager -> Load -> PrivCheck.cna

5. تحقق من التثبيت في المنارة:

beacon> help

الاستخدام

تشغيل جميع الفحوصات

قم بتنفيذ جميع فحوصات تصعيد الامتيازات مرة واحدة:

beacon> PrivCheck

تشغيل فحوصات فردية

قم بتشغيل فحوصات محددة حسب الحاجة:

beacon> AlwaysInstallElevatedCheck
beacon> AutologonCheck
beacon> CredentialManagerCheck
beacon> HijackablePathCheck
beacon> ModifiableAutorunCheck
beacon> ModifiableSVCCheck
beacon> TokenPrivilegesCheck
beacon> UnquotedSVCPathCheck
beacon> PowerShellHistoryCheck
beacon> UACStatusCheck

أمثلة

AlwaysInstallElevatedCheck

beacon> AlwaysInstallElevatedCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking AlwaysInstallElevated privilege escalation vulnerability...

=== AlwaysInstallElevated Check ===

[*] HKCU\...\Installer\AlwaysInstallElevated = 1
[*] HKLM\...\Installer\AlwaysInstallElevated = 1

[+] VULNERABLE: AlwaysInstallElevated is set in both HKCU and HKLM

UACStatusCheck

beacon> UACStatusCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking UAC status, integrity level, and admin membership...

=== UAC Status Check ===

[11/27 15:08:08] [+] received output:
[*] UAC Enabled (EnableLUA): Yes

[11/27 15:08:08] [+] received output:
[*] ConsentPromptBehaviorAdmin: 5 
[11/27 15:08:08] [+] received output:
(Prompt for consent for non-Windows binaries)

[11/27 15:08:08] [+] received output:
[*] PromptOnSecureDesktop: Yes

[11/27 15:08:08] [+] received output:


[11/27 15:08:08] [+] received output:
[*] Integrity Level: 
[11/27 15:08:08] [+] received output:
Medium

[11/27 15:08:08] [+] received output:
[*] Local Admin Group Member: Yes

[11/27 15:08:08] [+] received output:

[*] Summary:

[11/27 15:08:08] [+] received output:
[+] User is local admin but NOT elevated (UAC filtered token)

[11/27 15:08:08] [+] received output:
[+] UAC bypass may be possible

المراجع

• وثائق BOF لـ Cobalt Strike
• TrustedSec CS-Situational-Awareness-BOF
• TrustedSec CS-Remote-OPs-BOF
• دليل تصعيد الامتيازات المحلية لويندوز على GitHub من nickvourd
• تصعيد الامتيازات في ويندوز - PayloadsAllTheThings
• توثيق WIN32 APIs من Microsoft
• البرمجة الهجومية من Mr.Un1k0der
• معهد Sektor7