Hijack-service-binaries

Ein PowerShell-Sicherheitsaudit-Tool, das Windows-Dienstbinärdateien identifiziert, die vom aktuellen Benutzer geändert werden können – ein potenzieller Vektor für Privilege Escalation.

Übersicht

Dieses Skript scannt alle Windows-Dienste (außer system32 und svchost) und prüft, ob der aktuelle Benutzer Schreib-, Änderungs- oder Vollzugriffsrechte auf die ausführbaren Dienstdateien hat. Wenn gefährliche Berechtigungen erkannt werden, warnt es den Benutzer mit detaillierten Informationen über den verwundbaren Dienst.

Funktionen

• 🔍 Scannt alle Nicht-System-Windows-Dienste
• 🛡️ Prüft Datei-ACLs (Access Control Lists) auf gefährliche Berechtigungen
• ⚠️ Identifiziert Privilege-Escalation-Möglichkeiten
• 📋 Zeigt Dienstname, Konto, Pfad und Berechtigungsdetails an
• 🎯 Filtert Systemdienste automatisch heraus

So funktioniert es

1. Ermittelt die Identität und den Sicherheitsprinzipal des aktuellen Benutzers
2. Listet alle Win32-Dienste über CIM (Common Information Model) auf
3. Filtert Dienste in system32 und svchost heraus
4. Ruft für jede Dienstbinärdatei die ACL (Access Control List) ab
5. Prüft, ob der aktuelle Benutzer Schreib-, Änderungs- oder Vollzugriffsrechte besitzt
6. Meldet alle Dienste, bei denen der aktuelle Benutzer die Binärdatei ändern kann

Verwendung

powershell.exe .\hsb.ps1

Sie können es mit einem Benutzer mit geringen Rechten ausführen.

Ausgabe

Wenn ein verwundbarer Dienst gefunden wird:

⚠️ Der aktuelle Benutzer KANN die Dienstbinärdatei ändern!
Dienst: ServiceName
Ausgeführt als: ACCOUNT
Pfad: C:\Path\To\Service.exe
Übereinstimmende Identität: DOMAIN\USER
Rechte: Write, Modify, FullControl

Sicherheitsauswirkungen

Wenn eine Dienstbinärdatei von einem nicht-administrativen Benutzer geändert werden kann:

1. Kann der Angreifer die Binärdatei durch eine bösartige Version ersetzen
2. Beim Neustart des Dienstes wird die bösartige Binärdatei mit den Rechten des Dienstes ausgeführt
3. Dies kann zu Privilege Escalation führen, wenn der Dienst als SYSTEM oder ein anderes Konto mit hohen Rechten ausgeführt wird

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitsbewertungen und Systemverwaltungsaufgaben bestimmt. Unbefugter Zugriff auf Computersysteme ist illegal.