PrivKit

Una raccolta di file oggetto beacon (BOF) per controlli di escalation dei privilegi locali su Windows.

Descrizione

PrivKit è uno strumento open-source che permette a red teamer e penetration tester di identificare rapidamente i comuni vettori di escalation dei privilegi locali su Windows utilizzando i file oggetto beacon (BOF) di Cobalt Strike.

Per l'uso da riga di comando e gli esempi, consultare la sezione Utilizzo.

Se trovate bug, non esitate a segnalarli. Il vostro feedback è prezioso per migliorare la qualità di questo progetto!

Disclaimer

Gli autori e i collaboratori di questo progetto non sono responsabili per qualsiasi uso illegale dello strumento. È inteso esclusivamente per scopi educativi e di test di sicurezza autorizzati. Gli utenti sono responsabili di garantire un utilizzo conforme alla legge.

Indice

• PrivKit
  • Descrizione
  • Disclaimer
  • Indice
  • Ringraziamenti
  • Caratteristiche
  • Installazione
  • Utilizzo
  • Esempi
  • Riferimenti

Ringraziamenti

Un ringraziamento speciale al mio amico @nickvourd per tutti i suoi contributi.

Un ringraziamento speciale al team di TrustedSec per il loro eccellente progetto CS-Situational-Awareness-BOF, che è stato di ispirazione per questo strumento.

Riconoscenza al team di Cobalt Strike per la loro documentazione completa sui BOF e gli esempi.

PrivKit è stato creato con ❤️ da @merterpreter.

Caratteristiche

PrivKit offre una suite completa di controlli di escalation dei privilegi, tra cui:

Perché i BOF?

• ✅ Esecuzione in memoria - Nessun file scritto su disco
• ✅ Leggeri - Impronta minima sul beacon
• ✅ Veloci - Velocità di esecuzione nativa
• ✅ Furtivi - Esecuzione nel contesto del processo del beacon
• ✅ Multi-architettura - Supporto sia x64 che x86

PrivKit è scritto in C e compilato come file oggetto beacon, rendendolo compatibile con Cobalt Strike 4.x su target Windows.

Installazione

⚠️ Assicurarsi che MinGW-w64 sia installato sul sistema.

ℹ️ Su piattaforme Linux (Ubuntu/Debian) installare il seguente pacchetto:

sudo apt update && sudo apt install mingw-w64 -y

ℹ️ Su piattaforme MacOS installare il seguente pacchetto:

brew install mingw-w64

1. Clonare il repository eseguendo il seguente comando:

git clone https://github.com/mertdas/PrivKit.git

2. Una volta clonato il repository, spostarsi nella directory PrivKit:

cd PrivKit

3. Utilizzare lo script make_all.sh che compila tutti i BOF per entrambe le architetture x64 e x86:

./make_all.sh

4. Caricare lo script aggressor in Cobalt Strike:

Cobalt Strike -> Script Manager -> Carica -> PrivCheck.cna

5. Verificare l'installazione nel beacon:

beacon> help

Utilizzo

Esegui tutti i controlli

Eseguire tutti i controlli di escalation dei privilegi contemporaneamente:

beacon> PrivCheck

Esegui controlli individuali

Eseguire controlli specifici secondo necessità:

beacon> AlwaysInstallElevatedCheck
beacon> AutologonCheck
beacon> CredentialManagerCheck
beacon> HijackablePathCheck
beacon> ModifiableAutorunCheck
beacon> ModifiableSVCCheck
beacon> TokenPrivilegesCheck
beacon> UnquotedSVCPathCheck
beacon> PowerShellHistoryCheck
beacon> UACStatusCheck

Esempi

AlwaysInstallElevatedCheck

beacon> AlwaysInstallElevatedCheck
[*] BOF by @merterpreter && @nickvourd
[*] Verifica della vulnerabilità di escalation dei privilegi AlwaysInstallElevated...

=== Controllo AlwaysInstallElevated ===

[*] HKCU\...\Installer\AlwaysInstallElevated = 1
[*] HKLM\...\Installer\AlwaysInstallElevated = 1

[+] VULNERABILE: AlwaysInstallElevated è impostato sia in HKCU che in HKLM

UACStatusCheck

beacon> UACStatusCheck
[*] BOF by @merterpreter && @nickvourd
[*] Verifica dello stato UAC, livello di integrità e appartenenza al gruppo admin...

=== Controllo stato UAC ===

[11/27 15:08:08] [+] received output:
[*] UAC abilitato (EnableLUA): Sì

[11/27 15:08:08] [+] received output:
[*] ConsentPromptBehaviorAdmin: 5 
[11/27 15:08:08] [+] received output:
(Richiedi consenso per i binari non Windows)

[11/27 15:08:08] [+] received output:
[*] PromptOnSecureDesktop: Sì

[11/27 15:08:08] [+] received output:


[11/27 15:08:08] [+] received output:
[*] Livello di integrità: 
[11/27 15:08:08] [+] received output:
Medio

[11/27 15:08:08] [+] received output:
[*] Membro del gruppo admin locale: Sì

[11/27 15:08:08] [+] received output:

[*] Riepilogo:

[11/27 15:08:08] [+] received output:
[+] L'utente è amministratore locale ma NON elevato (token filtrato UAC)

[11/27 15:08:08] [+] received output:
[+] Un bypass UAC potrebbe essere possibile

Riferimenti

• Documentazione BOF di Cobalt Strike
• CS-Situational-Awareness-BOF di TrustedSec
• CS-Remote-OPs-BOF di TrustedSec
• Windows-Local-Privilege-Escalation-Cookbook GitHub di nickvourd
• Windows Privilege Escalation - PayloadsAllTheThings
• Documentazione Microsoft delle API WIN32
• Offensive Coding di Mr.Un1k0der
• Sektor7 Institute