Windows DACL Enum Project

Windows DACL을 열거하고 분석하는 도구 모음

NCC Group Plc가 오픈 소스로 공개 - http://www.nccgroup.com/

개발: Ollie Whitehouse, ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/WindowsDACLEnumProject

AGPL 라이선스로 공개되었습니다. 자세한 내용은 LICENSE를 참조하세요.

Windows DACL 및 ACE 개요

참고 - http://msdn.microsoft.com/en-us/library/windows/desktop/aa446597(v=vs.85).aspx

도구 #1: Process Perms

기능

이 프로젝트의 일부로 공개된 첫 번째 도구입니다. 다음을 열거합니다:

• 프로세스와 해당 프로세스가 실행 중인 무결성 수준 및 사용자.
• 선택 사항: 프로세스 개체와 연결된 DACL.
• 선택 사항: 프로세스의 스레드와 해당 스레드와 연결된 DACL.
• 선택 사항: 프로세스가 로드한 모듈
• 선택 사항: 출력에서 매핑되지 않은 SID 제외

이 도구는 의심스러운 DACL을 자동으로 플래그로 표시합니다.

명령줄 옵션

명령줄은 다음 옵션을 사용합니다:

• -p 프로세스 권한
• -m 모듈
• -t 스레드 및 권한
• -o [PID]
• -x 경고에서 매핑되지 않은 SID 제외

일반적인 사용법

일반적인 사용법은 다음과 같은 명령줄을 사용합니다: processperms -px

이 도구는 무결성 수준 인식으로 인해 Windows Vista / Server 2008 이상용으로 설계되었습니다.

스크린샷

======= 무결성 수준 인식으로 인해 Windows Vista / Server 2008 이상용으로 설계되었습니다.

도구 #2: Window Stations 및 Desktops

기능

이 프로젝트의 일부로 공개된 두 번째 도구입니다. 다음을 열거합니다:

• 실행된 세션 내의 Window Station 및 관련 DACL
• 해당 Window Station 내의 Desktop 및 관련 DACL

도구 #3: 서비스

기능

이 프로젝트의 일부로 공개된 세 번째 도구입니다. 다음을 열거합니다:

• 커널 드라이버, 필터 드라이버 및 사용자 영역 서비스를 포함한 서비스.
• 서비스 제어 관리자의 서비스 항목과 연결된 DACL.
• 서비스 상태, PID, 바이너리 경로.
• 관련 바이너리와 연결된 DACL.
• 명백히 취약한 DACL 표시

도구 #4: 파일 시스템

기능

이 프로젝트의 일부로 공개된 네 번째 도구입니다. 다음을 열거합니다:

• 파일 및 액세스 제어 목록
• 디렉터리 및 액세스 제어 목록
• 액세스 제어가 취약해 보이는 파일 또는 디렉터리에 대해 경고

도구 #5: 레지스트리

기능

이 프로젝트의 일부로 공개된 다섯 번째 도구입니다. 다음을 열거합니다:

• 레지스트리 키 및 액세스 제어 목록
• 액세스 제어가 취약해 보이는 키에 대해 경고
• -s 매개변수로 가장 의심스러운 출력 외의 모든 출력 제외(-h 참조).
• -x 매개변수로 의심스러운 출력에 대해서만 경고(-h 참조).