Windows DACL Enum Project

Набор инструментов для перечисления и анализа Windows DACL

Выпущено как открытое ПО компанией NCC Group Plc - http://www.nccgroup.com/

Разработано Олли Уайтхаусом, ollie dot whitehouse at nccgroup dot com

https://github.com/nccgroup/WindowsDACLEnumProject

Выпущено под лицензией AGPL, см. LICENSE для получения дополнительной информации

Обзор Windows DACL и ACE

Читайте - http://msdn.microsoft.com/en-us/library/windows/desktop/aa446597(v=vs.85).aspx

Инструмент №1: Права процессов

Возможности

Первый инструмент, выпущенный в рамках этого проекта. Перечисляет:

• Процессы, а также уровень целостности и пользователя, от имени которого они запущены.
• Опционально: DACL, связанные с объектом процесса.
• Опционально: потоки процесса и связанные с ними DACL.
• Опционально: модули, загруженные процессом
• Опционально: исключить не сопоставленные SID из вывода

Инструмент автоматически помечает подозрительные DACL.

Параметры командной строки

Командная строка принимает следующие параметры:

• -p Права процессов
• -m Модули
• -t Потоки и права
• -o [PID]
• -x исключить не сопоставленные SID из предупреждений

Типичное использование

Обычно используется с командной строкой вида:

processperms -px

Инструмент предназначен для Windows Vista / Server 2008 и выше благодаря поддержке уровней целостности.

Скриншот

======= Инструмент предназначен для Windows Vista / Server 2008 и выше благодаря поддержке уровней целостности.

Инструмент №2: Оконные станции и рабочие столы

Возможности

Второй инструмент, выпущенный в рамках этого проекта. Перечисляет:

• Оконные станции в рамках сеанса, в котором он выполняется, и связанные с ними DACL
• Рабочие столы в этих оконных станциях и связанные с ними DACL

Инструмент №3: Службы

Возможности

Третий инструмент, выпущенный в рамках этого проекта. Перечисляет:

• Службы, включая драйверы ядра, фильтрующие драйверы и пользовательские службы.
• DACL, связанные с записями служб в диспетчере управления службами.
• Статус службы, PID, путь к исполняемому файлу.
• DACL, связанные с соответствующими исполняемыми файлами
• Помечать заведомо слабые DACL

Инструмент №4: Файловая система

Возможности

Четвертый инструмент, выпущенный в рамках этого проекта. Перечисляет:

• Файлы и списки управления доступом
• Каталоги и списки управления доступом
• Предупреждать о файлах или каталогах с управлением доступом, которое выглядит слабым

Инструмент №5: Реестр

Возможности

Пятый инструмент, выпущенный в рамках этого проекта. Перечисляет:

• Ключи реестра и списки управления доступом
• Предупреждать о ключах с управлением доступом, которое выглядит слабым
• параметр -s, чтобы исключить все, кроме самых подозрительных результатов (см. -h)
• параметр -x, чтобы предупреждать только о подозрительных результатах (см. -h)