Windows - Fase 2: Exploração

Objetivo

Validar privilege escalation local em Windows com PoC mínima, priorizando vetores reproduzíveis de ACL, serviço, task, privilégio do token, credencial local e política fraca antes de qualquer técnica ruidosa.

Checklist de Exploração

1. Confirmar pré-condições técnicas do vetor com comando nativo sempre que possível.
2. Priorizar escrita em binário/path executado por serviço ou task, depois privilégios abusáveis e credenciais locais.
3. Evitar alteração persistente sem necessidade: provar impacto com artefato controlado e reversível.
4. Comprovar antes/depois: usuário, grupo, privilégio efetivo e execução administrativa.
5. Registrar exatamente qual controle falhou e como o time defensivo deve detectar.

Comandos Operacionais (Local)

whoami /priv
whoami /groups

# Serviços e permissões fracas
sc qc <servico>
sc query <servico>
wmic service get Name,StartName,State,PathName
accesschk64.exe -uwcqv "Authenticated Users" *
accesschk64.exe -uwcqv "Users" *

# Tasks e paths abusáveis
schtasks /query /fo LIST /v
icacls "C:\Path\to\target"

# Políticas e instalações elevadas
reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

# Prova mínima de contexto
whoami

Matriz de Vetores Prioritários

Bypass Comuns e Validação

# Contexto UAC/políticas
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System

# Sessões, tokens e tickets
query user
qwinsta
klist
whoami /all

# Credenciais e material de autenticação (somente em escopo autorizado)
cmdkey /list
dir /s /b *web.config* *appsettings* *unattend* 2>nul
findstr /si "password pwd token secret key connectionString" *.config *.xml *.ini *.txt 2>nul

• UAC bypass só deve ser tratado como achado quando houver usuário local privilegiado e controle indevido mensurável.
• Credencial achada não é impacto sozinha: validar permissão real no ativo em escopo, preferencialmente sem revelar segredo completo.
• Token ou privilégio abusável exige prova de ação administrativa, não apenas presença do privilégio.

Mapeamento ATT&CK

• TA0004 Privilege Escalation: mudança comprovada de privilégio local.
• T1543.003 Windows Service: abuso de serviço, path, binário ou configuração gravável.
• T1053.005 Scheduled Task: task privilegiada com caminho ou ação controlável.
• T1134 Access Token Manipulation: abuso de token e privilégios como `SeImpersonatePrivilege`.
• T1548.002 Bypass User Account Control: UAC bypass somente quando houver pré-condição e impacto mensurável.

Validação e Evidência

• Comparar contexto antes/depois: usuário, grupos, privilégios, integridade e processo executado.
• Associar vetor à configuração exata vulnerável: ACL, path, serviço, task, política ou segredo.
• Medir impacto: execução administrativa, leitura sensível, alteração de configuração ou caminho lateral.
• Guardar comando de reteste que comprove que o vetor não é mais reproduzível após correção.

Mitigação e Detecção

• Aplicar ACL mínima em `Program Files`, paths de serviço, scripts, tasks e diretórios de deploy.
• Usar Windows LAPS para senha de administrador local e impedir reutilização lateral.
• Habilitar PowerShell Script Block Logging, Sysmon e auditoria de alteração de serviço/task.
• Aplicar AppLocker ou WDAC em hosts críticos e revisar exceções de execução.
• Alertar criação de serviço, alteração de binário, task nova, processo filho incomum e uso de privilégio sensível.

Referências Práticas

• HTB Academy - Windows Privilege Escalation: módulo prático com situational awareness, privilégios, serviços vulneráveis, credential hunting e hardening.
• HackTricks - Local Windows Privilege Escalation Checklist: referência rápida para validar hipóteses de escalada local.
• ired.team - Privilege Escalation: exemplos reconhecidos de unquoted paths, weak service permissions, named pipes e token abuse.
• The Hacker Recipes - Windows: material organizado por técnica para transformar achados em fluxo de validação.