WinLpeAuditor

Un petit auditeur de mauvaise configuration pour l'élévation de privilèges locale (LPE) sous Windows, doté d'une interface terminal, construit avec C++20 et FTXUI.

Vérifications incluses :

• Chemins de service non quotés - Services Win32 dont le chemin binaire non quoté contient des espaces, exploitables si un utilisateur peut écrire plus tôt dans ce chemin.
• Stratégie AlwaysInstallElevated - signale lorsque HKCU et HKLM autorisent tous deux n'importe quel utilisateur à installer des packages .msi avec les droits SYSTEM.
• Privilèges de jeton : Signale les privilèges Windows hautement dangereux (par ex. SeImpersonatePrivilege, SeDebugPrivilege) attribués au jeton du processus courant, qui ouvrent des voies directes vers une élévation de privilèges locale.
• Binaires de service modifiables : Analyse tous les services Windows enregistrés et parse les ACL de fichiers pour s'assurer que les groupes d'utilisateurs à faibles privilèges (comme Everyone ou Authenticated Users) ne possèdent pas de permissions d'écriture sur les exécutables des services.
• Stratégie Point and Print : Audite les stratégies d'imprimante HKLM pour s'assurer que l'installation de pilotes d'imprimante distants est réservée aux administrateurs et que les avertissements d'élévation n'ont pas été dangereusement désactivés.
• Démarrage automatique à l'ouverture de session (clés Run du registre) : Vérifie les clés globales HKLM Run et RunOnce pour détecter les permissions d'écriture accordées aux groupes d'utilisateurs standard.
• Démarrage automatique à l'ouverture de session (dossier Démarrage) : Audite les permissions de fichiers du répertoire de démarrage à l'échelle du système pour empêcher l'implantation de raccourcis par des utilisateurs non privilégiés.
• Configuration de l'utilisateur root par défaut de WSL : Inspecte les entrées de registre propres à l'utilisateur pour le Sous-système Windows pour Linux (WSL) afin de détecter les distributions qui se connectent automatiquement en tant qu'utilisateur root (UID 0).

Prérequis

• Windows (utilise les API Win32 Registry et Service Control Manager)
• CMake 3.21+
• Un compilateur C++20 (MSVC via Visual Studio / Build Tools)

Compilation

cmake -B build -S .
cmake --build build

FTXUI est récupéré automatiquement via FetchContent de CMake lors de la première configuration.

Exécution

.\build\WinLpeAuditor.exe

Raccourcis clavier : r lancer l'audit · ↑/↓ naviguer entre les vérifications · q quitter.

Ajouter une nouvelle vérification

Implémentez l'interface ICheck (include/Core/ICheck.h), ajoutez le .cpp à CMakeLists.txt, et enregistrez-la dans src/main.cpp :

engine.Register(std::make_unique<Checks::YourNewCheck>());

Aucun autre code n'a besoin d'être modifié.

Avertissement

À utiliser uniquement dans les environnements et systèmes que vous êtes autorisé à évaluer.

TODO

• Implémenter davantage de vérifications de privesc
• Pipeline de releases