PrivKit

Una colección de Archivos de Objetos Beacon (BOF) para comprobaciones de escalada de privilegios locales en Windows.

Descripción

PrivKit es una herramienta de código abierto que permite a los equipos rojos y probadores de penetración identificar rápidamente vectores comunes de escalada de privilegios locales en Windows utilizando Archivos de Objetos Beacon (BOF) de Cobalt Strike.

Para el uso desde la línea de comandos y ejemplos, consulte la sección Uso.

Si encuentra algún error, no dude en reportarlo. ¡Sus comentarios son valiosos para mejorar la calidad de este proyecto!

Descargo de responsabilidad

Los autores y colaboradores de este proyecto no se hacen responsables del uso ilegal de la herramienta. Está destinada únicamente para fines educativos y de pruebas de seguridad autorizadas. Los usuarios son responsables de garantizar un uso legal.

Tabla de Contenidos

• PrivKit
  • Descripción
  • Descargo de responsabilidad
  • Tabla de Contenidos
  • Agradecimientos
  • Características
  • Instalación
  • Uso
  • Ejemplos
  • Referencias

Agradecimientos

Un agradecimiento especial a mi amigo @nickvourd por todas sus contribuciones.

Agradecimientos especiales al equipo de TrustedSec por su excelente proyecto CS-Situational-Awareness-BOF, que sirvió de inspiración para esta herramienta.

Un agradecimiento especial al equipo de Cobalt Strike por su completa documentación y ejemplos sobre BOF.

PrivKit fue creado con ❤️ por @merterpreter.

Características

PrivKit ofrece un conjunto completo de comprobaciones de escalada de privilegios, que incluyen:

¿Por qué BOFs?

• ✅ Ejecución en memoria - Sin archivos escritos en disco
• ✅ Ligero - Huella mínima en el beacon
• ✅ Rápido - Velocidad de ejecución nativa
• ✅ Sigiloso - Se ejecuta dentro del contexto del proceso del beacon
• ✅ Multiarquitectura - Soporta tanto x64 como x86

PrivKit está escrito en C y compilado como Archivos de Objetos Beacon, lo que lo hace compatible con Cobalt Strike 4.x en objetivos Windows.

Instalación

⚠️ Asegúrese de que MinGW-w64 esté instalado en su sistema.

ℹ️ En plataformas Linux (Ubuntu/Debian) instale el siguiente paquete:

sudo apt update && sudo apt install mingw-w64 -y

ℹ️ En plataformas macOS instale el siguiente paquete:

brew install mingw-w64

1. Clone el repositorio ejecutando el siguiente comando:

git clone https://github.com/mertdas/PrivKit.git

2. Una vez clonado el repositorio, navegue al directorio de PrivKit:

cd PrivKit

3. Utilice el script make_all.sh que compila todos los BOF para arquitecturas x64 y x86:

./make_all.sh

4. Cargue el script de agresor en Cobalt Strike:

Cobalt Strike -> Script Manager -> Load -> PrivCheck.cna

5. Verifique la instalación en el beacon:

beacon> help

Uso

Ejecutar Todas las Comprobaciones

Ejecute todas las comprobaciones de escalada de privilegios a la vez:

beacon> PrivCheck

Ejecutar Comprobaciones Individuales

Ejecute comprobaciones específicas según sea necesario:

beacon> AlwaysInstallElevatedCheck
beacon> AutologonCheck
beacon> CredentialManagerCheck
beacon> HijackablePathCheck
beacon> ModifiableAutorunCheck
beacon> ModifiableSVCCheck
beacon> TokenPrivilegesCheck
beacon> UnquotedSVCPathCheck
beacon> PowerShellHistoryCheck
beacon> UACStatusCheck

Ejemplos

AlwaysInstallElevatedCheck

beacon> AlwaysInstallElevatedCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking AlwaysInstallElevated privilege escalation vulnerability...

=== AlwaysInstallElevated Check ===

[*] HKCU\...\Installer\AlwaysInstallElevated = 1
[*] HKLM\...\Installer\AlwaysInstallElevated = 1

[+] VULNERABLE: AlwaysInstallElevated is set in both HKCU and HKLM

UACStatusCheck

beacon> UACStatusCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking UAC status, integrity level, and admin membership...

=== UAC Status Check ===

[11/27 15:08:08] [+] received output:
[*] UAC Enabled (EnableLUA): Yes

[11/27 15:08:08] [+] received output:
[*] ConsentPromptBehaviorAdmin: 5 
[11/27 15:08:08] [+] received output:
(Prompt for consent for non-Windows binaries)

[11/27 15:08:08] [+] received output:
[*] PromptOnSecureDesktop: Yes

[11/27 15:08:08] [+] received output:


[11/27 15:08:08] [+] received output:
[*] Integrity Level: 
[11/27 15:08:08] [+] received output:
Medium

[11/27 15:08:08] [+] received output:
[*] Local Admin Group Member: Yes

[11/27 15:08:08] [+] received output:

[*] Summary:

[11/27 15:08:08] [+] received output:
[+] User is local admin but NOT elevated (UAC filtered token)

[11/27 15:08:08] [+] received output:
[+] UAC bypass may be possible

Referencias

• Documentación de BOF de Cobalt Strike
• CS-Situational-Awareness-BOF de TrustedSec
• CS-Remote-OPs-BOF de TrustedSec
• Windows-Local-Privilege-Escalation-Cookbook en GitHub por nickvourd
• Escalada de Privilegios en Windows - PayloadsAllTheThings
• Documentación de las API WIN32 de Microsoft
• Offensive Coding por Mr.Un1k0der
• Instituto Sektor7