Hijack-service-binaries

現在のユーザーが変更可能なWindowsサービスバイナリを特定するPowerShellセキュリティ監査ツールです。特権昇格の足掛かりとなる可能性があります。

概要

このスクリプトは、すべてのWindowsサービス（system32およびsvchostを除く）をスキャンし、現在のユーザーがサービス実行ファイルに対して書き込み、変更、またはフルコントロールの権限を持っているかどうかをチェックします。危険な権限が検出された場合、脆弱なサービスに関する詳細情報とともにユーザーに警告します。

特徴

• 🔍 すべての非システムWindowsサービスをスキャン
• 🛡️ ファイルのACL（アクセス制御リスト）をチェックし、危険な権限を検出
• ⚠️ 特権昇格の機会を特定
• 📋 サービス名、アカウント、パス、権限の詳細を表示
• 🎯 システムサービスを自動的にフィルタリング

仕組み

1. 現在のユーザーのIDとセキュリティプリンシパルを取得
2. CIM（共通情報モデル）を介してすべてのWin32サービスを列挙
3. system32およびsvchost内のサービスをフィルタリング
4. 各サービスバイナリのACL（アクセス制御リスト）を取得
5. 現在のユーザーがWrite、Modify、またはFullControlの権限を持っているかをチェック
6. 現在のユーザーがバイナリを変更できるサービスをすべて報告

使用方法

powershell.exe .\hsb.ps1

低権限ユーザーで実行できます。

出力

脆弱なサービスが見つかった場合：

⚠️ Current user CAN modify service binary!
Service: ServiceName
Runs As: ACCOUNT
Path: C:\Path\To\Service.exe
Matched Identity: DOMAIN\USER
Rights: Write, Modify, FullControl

セキュリティへの影響

サービスバイナリが非管理者ユーザーによって変更可能な場合：

1. 攻撃者はバイナリを悪意のあるバージョンに置き換えることができます
2. サービスが再起動されると、悪意のあるバイナリがサービスの権限で実行されます
3. サービスがSYSTEMまたは他の高特権アカウントで実行されている場合、これは特権昇格につながる可能性があります

免責事項

このツールは、許可されたセキュリティ評価およびシステム管理タスクのみを目的としています。コンピュータシステムへの不正アクセスは違法です。