Hijack-service-binaries

Una herramienta de auditoría de seguridad en PowerShell que identifica binarios de servicios de Windows que pueden ser modificados por el usuario actual, un posible vector de escalada de privilegios.

Overview

Este script escanea todos los servicios de Windows (excepto system32 y svchost) y comprueba si el usuario actual tiene permisos de escritura, modificación o control total sobre los ejecutables de los servicios. Si se detectan permisos peligrosos, alerta al usuario con información detallada sobre el servicio vulnerable.

Features

• 🔍 Escanea todos los servicios de Windows que no son del sistema
• 🛡️ Comprueba las ACL (Listas de Control de Acceso) de los archivos en busca de permisos peligrosos
• ⚠️ Identifica oportunidades de escalada de privilegios
• 📋 Muestra el nombre del servicio, la cuenta, la ruta y los detalles de permisos
• 🎯 Filtra automáticamente los servicios del sistema

How It Works

1. Obtiene la identidad y la entidad de seguridad del usuario actual
2. Enumera todos los servicios Win32 mediante CIM (Modelo de información común)
3. Filtra los servicios en system32 y svchost
4. Para cada binario de servicio, recupera la ACL (Lista de Control de Acceso)
5. Comprueba si el usuario actual tiene derechos de escritura, modificación o control total
6. Informa de cualquier servicio cuyo binario pueda ser modificado por el usuario actual

Usage

powershell.exe .\hsb.ps1

Puedes ejecutarlo con un usuario de bajos privilegios.

Output

Cuando se encuentra un servicio vulnerable:

⚠️ Current user CAN modify service binary!
Service: ServiceName
Runs As: ACCOUNT
Path: C:\Path\To\Service.exe
Matched Identity: DOMAIN\USER
Rights: Write, Modify, FullControl

Security Impact

Si un binario de servicio puede ser modificado por un usuario no administrador:

1. El atacante puede reemplazar el binario por una versión maliciosa
2. Cuando se reinicia el servicio, el binario malicioso se ejecuta con los privilegios del servicio
3. Esto puede conducir a una escalada de privilegios si el servicio se ejecuta como SYSTEM u otra cuenta de altos privilegios

Disclaimer

Esta herramienta está destinada únicamente a evaluaciones de seguridad autorizadas y tareas de administración de sistemas. El acceso no autorizado a sistemas informáticos es ilegal.