Hijack-service-binaries

현재 사용자가 수정할 수 있는 Windows 서비스 바이너리를 식별하는 PowerShell 보안 감사 도구입니다—잠재적인 권한 상승 벡터입니다.

개요

이 스크립트는 모든 Windows 서비스(system32 및 svchost 제외)를 스캔하고 현재 사용자에게 서비스 실행 파일에 대한 Write, Modify 또는 FullControl 권한이 있는지 확인합니다. 위험한 권한이 감지되면 취약한 서비스에 대한 자세한 정보와 함께 사용자에게 경고합니다.

기능

• 🔍 시스템이 아닌 모든 Windows 서비스를 스캔합니다
• 🛡️ 파일 ACL(액세스 제어 목록)에서 위험한 권한을 확인합니다
• ⚠️ 권한 상승 기회를 식별합니다
• 📋 서비스 이름, 계정, 경로 및 권한 세부 정보를 표시합니다
• 🎯 시스템 서비스를 자동으로 필터링합니다

작동 방식

1. 현재 사용자의 ID와 보안 주체(security principal)를 검색합니다
2. CIM(Common Information Model)을 통해 모든 Win32 서비스를 열거합니다
3. system32 및 svchost의 서비스를 필터링합니다
4. 각 서비스 바이너리에 대해 ACL(액세스 제어 목록)을 검색합니다
5. 현재 사용자에게 Write, Modify 또는 FullControl 권한이 있는지 확인합니다
6. 현재 사용자가 바이너리를 수정할 수 있는 모든 서비스를 보고합니다

사용법

powershell.exe .\hsb.ps1

낮은 권한의 사용자로 실행할 수 있습니다.

출력

취약한 서비스가 발견되면:

⚠️ Current user CAN modify service binary!
Service: ServiceName
Runs As: ACCOUNT
Path: C:\Path\To\Service.exe
Matched Identity: DOMAIN\USER
Rights: Write, Modify, FullControl

보안 영향

서비스 바이너리를 비관리자 사용자가 수정할 수 있는 경우:

1. 공격자는 바이너리를 악성 버전으로 교체할 수 있습니다
2. 서비스가 다시 시작되면 악성 바이너리가 서비스의 권한으로 실행됩니다
3. 서비스가 SYSTEM 또는 다른 높은 권한의 계정으로 실행되는 경우 권한 상승으로 이어질 수 있습니다

면책 조항

이 도구는 승인된 보안 평가 및 시스템 관리 작업에만 사용하도록 제작되었습니다. 컴퓨터 시스템에 대한 무단 액세스는 불법입니다.