Hijack-service-binaries

Инструмент аудита безопасности на PowerShell, который выявляет исполняемые файлы служб Windows, которые текущий пользователь может изменить, — потенциальный вектор повышения привилегий.

Обзор

Этот скрипт сканирует все службы Windows (кроме system32 и svchost) и проверяет, имеет ли текущий пользователь права на запись, изменение или полный доступ к исполняемым файлам служб. При обнаружении опасных разрешений он предупреждает пользователя с подробной информацией об уязвимой службе.

Возможности

• 🔍 Сканирует все несистемные службы Windows
• 🛡️ Проверяет списки контроля доступа (ACL) файлов на наличие опасных разрешений
• ⚠️ Выявляет возможности повышения привилегий
• 📋 Отображает имя службы, учётную запись, путь и сведения о разрешениях
• 🎯 Автоматически отфильтровывает системные службы

Как это работает

1. Получает идентификатор текущего пользователя и его субъект безопасности
2. Перечисляет все службы Win32 через CIM (Common Information Model)
3. Отфильтровывает службы в system32 и svchost
4. Для каждого исполняемого файла службы получает ACL (список контроля доступа)
5. Проверяет, есть ли у текущего пользователя права Write, Modify или FullControl
6. Сообщает обо всех службах, где текущий пользователь может изменить исполняемый файл

Использование

powershell.exe .\hsb.ps1

Вы можете запустить его от пользователя с низкими привилегиями.

Вывод

При обнаружении уязвимой службы:

⚠️ Current user CAN modify service binary!
Service: ServiceName
Runs As: ACCOUNT
Path: C:\Path\To\Service.exe
Matched Identity: DOMAIN\USER
Rights: Write, Modify, FullControl

Влияние на безопасность

Если исполняемый файл службы может быть изменён пользователем без прав администратора:

1. Злоумышленник может заменить файл вредоносной версией
2. При перезапуске службы вредоносный файл запускается с привилегиями службы
3. Это может привести к повышению привилегий, если служба запускается как SYSTEM или от другой учётной записи с высокими привилегиями

Отказ от ответственности

Этот инструмент предназначен только для авторизованных оценок безопасности и задач администрирования систем. Несанкционированный доступ к компьютерным системам является незаконным.