PrivKit

Uma coleção de Beacon Object Files (BOFs) para Verificações de Escalação de Privilégio Local no Windows.

Descrição

PrivKit é uma ferramenta de código aberto que capacita red teamers e testadores de penetração a identificar rapidamente vetores comuns de escalação de privilégio local no Windows usando Beacon Object Files (BOFs) do Cobalt Strike.

Para uso via linha de comando e exemplos, consulte a seção Uso.

Se encontrar algum bug, não hesite em reportá-lo. Seu feedback é valioso para melhorar a qualidade deste projeto!

Aviso Legal

Os autores e contribuidores deste projeto não são responsáveis por qualquer uso ilegal da ferramenta. Ela é destinada apenas a fins educacionais e de testes de segurança autorizados. Os usuários são responsáveis por garantir o uso dentro da lei.

Índice

• PrivKit
  • Descrição
  • Aviso Legal
  • Índice
  • Agradecimentos
  • Funcionalidades
  • Instalação
  • Uso
  • Exemplos
  • Referências

Agradecimentos

Agradecimentos especiais ao meu amigo @nickvourd por todas as suas contribuições.

Agradecimentos especiais à equipe da TrustedSec pelo excelente projeto CS-Situational-Awareness-BOF, que serviu de inspiração para esta ferramenta.

Reconhecimento grato à equipe do Cobalt Strike por sua documentação abrangente e exemplos sobre BOF.

PrivKit foi criado com ❤️ por @merterpreter.

Funcionalidades

PrivKit oferece um conjunto abrangente de verificações de escalação de privilégio, incluindo:

Por que BOFs?

• ✅ Execução em memória - Nenhum arquivo gravado em disco
• ✅ Leve - Pegada mínima no beacon
• ✅ Rápido - Velocidade de execução nativa
• ✅ Discreto - Executa dentro do contexto do processo do beacon
• ✅ Multi-arquitetura - Suporta x64 e x86

PrivKit é escrito em C e compilado como Beacon Object Files, tornando-o compatível com Cobalt Strike 4.x em alvos Windows.

Instalação

⚠️ Certifique-se de que o MinGW-w64 está instalado em seu sistema.

ℹ️ Para plataformas Linux (Ubuntu/Debian), instale o seguinte pacote:

sudo apt update && sudo apt install mingw-w64 -y

ℹ️ Para plataformas MacOS, instale o seguinte pacote:

brew install mingw-w64

1. Clone o repositório executando o seguinte comando:

git clone https://github.com/mertdas/PrivKit.git

2. Após clonar o repositório, navegue até o diretório PrivKit:

cd PrivKit

3. Use o script make_all.sh para compilar todos os BOFs para as arquiteturas x64 e x86:

./make_all.sh

4. Carregue o script de agressor no Cobalt Strike:

Cobalt Strike -> Script Manager -> Load -> PrivCheck.cna

5. Verifique a instalação no beacon:

beacon> help

Uso

Executar Todas as Verificações

Execute todas as verificações de escalação de privilégio de uma só vez:

beacon> PrivCheck

Executar Verificações Individuais

Execute verificações específicas conforme necessário:

beacon> AlwaysInstallElevatedCheck
beacon> AutologonCheck
beacon> CredentialManagerCheck
beacon> HijackablePathCheck
beacon> ModifiableAutorunCheck
beacon> ModifiableSVCCheck
beacon> TokenPrivilegesCheck
beacon> UnquotedSVCPathCheck
beacon> PowerShellHistoryCheck
beacon> UACStatusCheck

Exemplos

AlwaysInstallElevatedCheck

beacon> AlwaysInstallElevatedCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking AlwaysInstallElevated privilege escalation vulnerability...

=== AlwaysInstallElevated Check ===

[*] HKCU\...\Installer\AlwaysInstallElevated = 1
[*] HKLM\...\Installer\AlwaysInstallElevated = 1

[+] VULNERABLE: AlwaysInstallElevated is set in both HKCU and HKLM

UACStatusCheck

beacon> UACStatusCheck
[*] BOF by @merterpreter && @nickvourd
[*] Checking UAC status, integrity level, and admin membership...

=== UAC Status Check ===

[11/27 15:08:08] [+] received output:
[*] UAC Enabled (EnableLUA): Yes

[11/27 15:08:08] [+] received output:
[*] ConsentPromptBehaviorAdmin: 5 
[11/27 15:08:08] [+] received output:
(Prompt for consent for non-Windows binaries)

[11/27 15:08:08] [+] received output:
[*] PromptOnSecureDesktop: Yes

[11/27 15:08:08] [+] received output:


[11/27 15:08:08] [+] received output:
[*] Integrity Level: 
[11/27 15:08:08] [+] received output:
Medium

[11/27 15:08:08] [+] received output:
[*] Local Admin Group Member: Yes

[11/27 15:08:08] [+] received output:

[*] Summary:

[11/27 15:08:08] [+] received output:
[+] User is local admin but NOT elevated (UAC filtered token)

[11/27 15:08:08] [+] received output:
[+] UAC bypass may be possible

Referências

• Cobalt Strike BOF Documentation
• TrustedSec CS-Situational-Awareness-BOF
• TrustedSec CS-Remote-OPs-BOF
• Windows-Local-Privilege-Escalation-Cookbook GitHub by nickvourd
• Windows Privilege Escalation - PayloadsAllTheThings
• WIN32 APIs Microsoft Documentation
• Offensive Coding by Mr.Un1k0der
• Sektor7 Institute