Hijack-service-binaries

一款 PowerShell 安全审计工具，用于识别当前用户可以修改的 Windows 服务二进制文件——这是一个潜在的权限提升向量。

概述

此脚本扫描所有 Windows 服务（system32 和 svchost 中的除外），并检查当前用户是否对服务可执行文件拥有写入、修改或完全控制权限。如果检测到危险权限，它会向用户发出警报，并提供易受攻击服务的详细信息。

特性

• 🔍 扫描所有非系统 Windows 服务
• 🛡️ 检查文件 ACL（访问控制列表）是否存在危险权限
• ⚠️ 识别权限提升机会
• 📋 显示服务名称、账户、路径和权限详细信息
• 🎯 自动过滤掉系统服务

工作原理

1. 获取当前用户的身份和安全主体
2. 通过 CIM（通用信息模型）枚举所有 Win32 服务
3. 过滤掉 system32 和 svchost 中的服务
4. 检索每个服务二进制文件的 ACL（访问控制列表）
5. 检查当前用户是否具有写入、修改或完全控制权限
6. 报告当前用户可以修改二进制文件的任何服务

使用方法

powershell.exe .\hsb.ps1

你也可以使用低权限用户来运行。

输出

当发现易受攻击的服务时：

⚠️ Current user CAN modify service binary!
Service: ServiceName
Runs As: ACCOUNT
Path: C:\Path\To\Service.exe
Matched Identity: DOMAIN\USER
Rights: Write, Modify, FullControl

安全性影响

如果非管理员用户能够修改服务二进制文件：

1. 攻击者可以将该二进制文件替换为恶意版本
2. 当服务重新启动时，恶意二进制文件将以服务权限运行
3. 如果服务以 SYSTEM 或其他高权限账户运行，这可能导致权限提升

免责声明

此工具仅用于授权的安全评估和系统管理任务。未经授权访问计算机系统是违法的。