Avaliação de Escalada de Privilégios

Quando Usar

• Após obter acesso inicial de baixo privilégio durante um teste de penetração para demonstrar o comprometimento total do sistema
• Avaliando o endurecimento de segurança de servidores Linux e Windows contra ataques locais de escalada de privilégios
• Avaliando se as ferramentas de detecção e resposta de endpoint (EDR) detectam técnicas comuns de escalada de privilégios
• Testando a eficácia de políticas de privilégio mínimo e listas de permissão de aplicativos em endpoints
• Validando se os controles de quebra de contêiner e fuga de VM estão configurados corretamente

Não use sem autorização por escrito, contra sistemas de produção onde a exploração possa causar tempo de inatividade, ou para implantar exploits de kernel em sistemas sem aprovação prévia e capacidade de reversão.

Pré-requisitos

• Acesso de shell de baixo privilégio (reverse shell, SSH, RDP) ao sistema de destino obtido por meios autorizados
• Scripts de enumeração de escalada de privilégios: linPEAS (Linux), winPEAS (Windows), Linux Smart Enumeration (LSE)
• Exploits de kernel compilados para CVEs comuns ou acesso a ferramentas de compilação no destino
• Referência GTFOBins para abuso de binários SUID/sudo no Linux e referência LOLBAS para binários living-off-the-land no Windows
• Binários pós-exploração pré-compilados para a arquitetura de destino se a compilação não estiver disponível no destino

Fluxo de Trabalho

Etapa 1: Enumeração do Sistema

Colete informações abrangentes sobre o sistema de destino:

Enumeração Linux:

• id && whoami - Associações de usuário e grupo atuais
• uname -a - Versão do kernel para identificação de exploits de kernel
• cat /etc/os-release - Distribuição e versão
• sudo -l - Comandos que o usuário atual pode executar como root via sudo
• find / -perm -4000 -type f 2>/dev/null - Binários SUID
• find / -perm -2000 -type f 2>/dev/null - Binários SGID
• crontab -l && ls -la /etc/cron* - Tarefas agendadas executadas como root
• ps aux | grep root - Processos em execução como root
• cat /etc/passwd - Contas de usuário (procure por usuários adicionais com UID 0)
• find / -writable -type d 2>/dev/null - Diretórios graváveis por qualquer pessoa
• Execute linpeas.sh para enumeração abrangente automatizada

Enumeração Windows:

• whoami /priv - Privilégios do usuário atual (procure por SeImpersonatePrivilege, SeDebugPrivilege)
• systeminfo - Versão do SO, nível de hotfix, arquitetura
• wmic service get name,pathname,startmode - Caminhos de serviço não citados
• icacls "C:\Program Files" /T - Diretórios graváveis em Arquivos de Programas
• reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated - Verificação AlwaysInstallElevated
• cmdkey /list - Credenciais do Windows armazenadas
• schtasks /query /fo LIST /v - Tarefas agendadas com suas contas de execução
• Execute winPEAS.exe para enumeração abrangente automatizada

Etapa 2: Vetores de Escalada de Privilégios no Linux

Teste os vetores de escalada identificados sistematicamente:

• Configurações incorretas de sudo: Se sudo -l mostrar entradas como (ALL) NOPASSWD: /usr/bin/vim, use GTFOBins para escalar:
  • sudo vim -c ':!/bin/bash' para iniciar um shell root
  • Entradas de sudo perigosas comuns: vim, less, find, nmap, python, perl, ruby, awk, env
• Abuso de binários SUID: Se um binário SUID for identificado que permite execução arbitrária de comandos, escape de shell ou leitura de arquivos:
  • SUID personalizado: Verifique se um binário SUID personalizado chama outros programas sem caminhos absolutos (injeção de PATH)
  • SUID conhecido: Verifique GTFOBins para exploração de binários SUID padrão
• Exploração de jobs cron: Se um job cron executa um script gravável pelo usuário atual, ou executa um script de um diretório gravável:
  • Modifique o script para adicionar um reverse shell ou uma cópia SUID do bash
  • Exploração de cron baseada em PATH: se o job cron chamar um comando sem caminho absoluto e o PATH for gravável
• Exploits de kernel: Combine a versão do kernel com exploits conhecidos:
  • DirtyPipe (CVE-2022-0847): kernel Linux 5.8-5.16.11
  • DirtyCow (CVE-2016-5195): kernel Linux 2.6.22-4.8.3
  • PwnKit (CVE-2021-4034): vulnerabilidade pkexec do Polkit afetando a maioria das distribuições Linux
• Abuso de capabilities: getcap -r / 2>/dev/null para encontrar binários com capabilities elevadas (cap_setuid, cap_dac_override)
• /etc/passwd gravável: Se /etc/passwd for gravável, adicione um novo usuário root: echo 'newroot:$1$hash:0:0::/root:/bin/bash' >> /etc/passwd

Etapa 3: Vetores de Escalada de Privilégios no Windows

Teste caminhos de escalada específicos do Windows:

• Impersonação de token: Se o usuário tiver SeImpersonatePrivilege (comum para contas de serviço e IIS):

…