PrivKit

Eine Sammlung von Beacon Object Files (BOFs) für Windows Local Privilege Escalation Checks.

Beschreibung

PrivKit ist ein Open-Source-Tool, das Red Teamer und Penetrationstester dabei unterstützt, häufige Windows Local Privilege Escalation-Vektoren mithilfe von Cobalt Strike Beacon Object Files (BOFs) schnell zu identifizieren.

Für die Befehlszeilennutzung und Beispiele siehe den Abschnitt Verwendung.

Sollten Sie Fehler finden, zögern Sie nicht, diese zu melden. Ihr Feedback ist wertvoll, um die Qualität dieses Projekts zu verbessern!

Haftungsausschluss

Die Autoren und Mitwirkenden dieses Projekts haften nicht für eine illegale Nutzung des Tools. Es ist ausschließlich für Bildungs- und autorisierte Sicherheitstestzwecke bestimmt. Die Benutzer sind für die Einhaltung der gesetzlichen Nutzung verantwortlich.

Inhaltsverzeichnis

• PrivKit
  • Beschreibung
  • Haftungsausschluss
  • Inhaltsverzeichnis
  • Danksagung
  • Funktionen
  • Installation
  • Verwendung
  • Beispiele
  • Referenzen

Danksagung

Besonderer Dank geht an meinen Freund @nickvourd für all seine Beiträge.

Besonderer Dank gilt dem TrustedSec-Team für ihr hervorragendes Projekt CS-Situational-Awareness-BOF, das als Inspiration für dieses Tool diente.

Dankbare Anerkennung an das Cobalt Strike-Team für ihre umfassende BOF-Dokumentation und Beispiele.

PrivKit wurde mit ❤️ von @merterpreter erstellt.

Funktionen

PrivKit bietet eine umfassende Suite von Privilege-Escalation-Prüfungen, darunter:

Warum BOFs?

• ✅ Ausführung im Arbeitsspeicher - Keine Dateien auf die Festplatte geschrieben
• ✅ Leichtgewichtig - Minimaler Beacon-Fußabdruck
• ✅ Schnell - Native Ausführungsgeschwindigkeit
• ✅ Heimlich - Läuft im Prozesskontext des Beacons
• ✅ Architekturübergreifend - Unterstützt sowohl x64 als auch x86

PrivKit ist in C geschrieben und als Beacon Object Files kompiliert, was es mit Cobalt Strike 4.x auf Windows-Zielen kompatibel macht.

Installation

⚠️ Bitte stellen Sie sicher, dass MinGW-w64 auf Ihrem System installiert ist.

ℹ️ Für Linux-Plattformen (Ubuntu/Debian) installieren Sie das folgende Paket:

sudo apt update && sudo apt install mingw-w64 -y

ℹ️ Für macOS-Plattformen installieren Sie das folgende Paket:

brew install mingw-w64

1. Klonen Sie das Repository mit folgendem Befehl:

git clone https://github.com/mertdas/PrivKit.git

2. Nachdem das Repository geklont wurde, navigieren Sie in das PrivKit-Verzeichnis:

cd PrivKit

3. Verwenden Sie das Skript make_all.sh, das alle BOFs für beide Architekturen x64 und x86 kompiliert:

./make_all.sh

4. Laden Sie das Aggressor-Skript in Cobalt Strike:

Cobalt Strike -> Script Manager -> Load -> PrivCheck.cna

5. Überprüfen Sie die Installation im Beacon:

beacon> help

Verwendung

Alle Prüfungen ausführen

Führen Sie alle Privilege-Escalation-Prüfungen auf einmal aus:

beacon> PrivCheck

Einzelne Prüfungen ausführen

Führen Sie bei Bedarf spezifische Prüfungen aus:

beacon> AlwaysInstallElevatedCheck
beacon> AutologonCheck
beacon> CredentialManagerCheck
beacon> HijackablePathCheck
beacon> ModifiableAutorunCheck
beacon> ModifiableSVCCheck
beacon> TokenPrivilegesCheck
beacon> UnquotedSVCPathCheck
beacon> PowerShellHistoryCheck
beacon> UACStatusCheck

Beispiele

AlwaysInstallElevatedCheck

beacon> AlwaysInstallElevatedCheck
[*] BOF von @merterpreter && @nickvourd
[*] Prüfe AlwaysInstallElevated-Privilege-Escalation-Schwachstelle...

=== AlwaysInstallElevated-Prüfung ===

[*] HKCU\...\Installer\AlwaysInstallElevated = 1
[*] HKLM\...\Installer\AlwaysInstallElevated = 1

[+] SCHWACHSTELLE: AlwaysInstallElevated ist in HKCU und HKLM gesetzt

UACStatusCheck

beacon> UACStatusCheck
[*] BOF von @merterpreter && @nickvourd
[*] Prüfe UAC-Status, Integritätsstufe und Admin-Mitgliedschaft...

=== UAC-Status-Prüfung ===

[11/27 15:08:08] [+] received output:
[*] UAC aktiviert (EnableLUA): Ja

[11/27 15:08:08] [+] received output:
[*] ConsentPromptBehaviorAdmin: 5 
[11/27 15:08:08] [+] received output:
(Aufforderung zur Zustimmung für Nicht-Windows-Binärdateien)

[11/27 15:08:08] [+] received output:
[*] PromptOnSecureDesktop: Ja

[11/27 15:08:08] [+] received output:


[11/27 15:08:08] [+] received output:
[*] Integritätsstufe: 
[11/27 15:08:08] [+] received output:
Medium

[11/27 15:08:08] [+] received output:
[*] Mitglied der lokalen Administratorgruppe: Ja

[11/27 15:08:08] [+] received output:

[*] Zusammenfassung:

[11/27 15:08:08] [+] received output:
[+] Benutzer ist lokaler Admin, aber NICHT erhöht (UAC-gefiltertes Token)

[11/27 15:08:08] [+] received output:
[+] UAC-Umgehung ist möglicherweise möglich

Referenzen

• Cobalt Strike BOF Documentation
• TrustedSec CS-Situational-Awareness-BOF
• TrustedSec CS-Remote-OPs-BOF
• Windows-Local-Privilege-Escalation-Cookbook GitHub by nickvourd
• Windows Privilege Escalation - PayloadsAllTheThings
• WIN32 APIs Microsoft Documentation
• Offensive Coding by Mr.Un1k0der
• Sektor7 Institute