ドットをつなぐ: PrivHoundがWindowsローカル権限昇格を探索可能なグラフに変換

PrivHound

グラフとしてのローカル権限昇格。

Windowsローカル権限昇格を、テキストの壁ではなく相互接続された攻撃パスとしてモデル化するWindows BloodHound OpenGraphコレクタ。

長い間、BloodHoundはActive Directoryの設定ミスを静的なチェックリストから探索可能な攻撃パスに変換し、攻撃者がグラフ的に考えることを証明してきました。しかし、ローカル権限昇格に関しては、業界は今でも2015年にとどまっています。ツールを実行し、テキストの壁を読み、手動でドットをつなぐか、LLMにやらせるかどちらかです😛

WinPEAS、PowerUp、Seatbeltは個別の設定ミスを見つけるのに優れていますが、次のような質問に答えることができません:

• 「この書き込み可能なProgram Filesディレクトリが実際にSYSTEMにつながるのは、サービスがそこからバイナリを実行しているからでしょうか?」
• 「このPowerShell履歴ファイルに含まれている認証情報は、ローカル管理者として有効でしょうか?」
• 「別のユーザーのプロフィールを読んで、保存されている認証情報を見つけ、彼らとしてログインし、彼らが書き込みアクセスできるサービスを悪用できますか?」

これらのツールは単独で検出結果を報告します。実際には、権限昇格はマルチステップチェーンであり、1つの検出結果が別の検出結果につながります。書き込み可能なディレクトリは、そこからサービスが実行されていなければ何の意味もありません。履歴ファイル内の認証情報は、それが特権ユーザーに属していなければ何の意味もありません。本当の質問は「どのような設定ミスが存在するか?」ではなく、「ここから実際に何に到達できるか?」です。

Active Directoryの攻撃がグラフと考えることができるなら、ローカル権限昇格はどうでしょうか?

PrivHoundはローカル権限昇格をグラフとしてモデル化することでこれを変えます。BloodHoundのOpenGraphフレームワークに基づいて、29のカテゴリのWindows権限昇格ベクトルを列挙し、弱いサービス権限からCOM乗っ取り、WebClientリレーまで、相互接続されたノードとエッジとして出力します。

結果: マルチホップ昇格チェーンが可視化され、Cypherで照会可能になり、既存のActive Directory攻撃パスの上に重ねられます。

チェック内容

マルチホップ攻撃パス

これが従来のprivescツールからPrivHoundを区別するものです。検出結果を単独で一覧表示する代わりに、PrivHoundはそれらを悪用可能なチェーンに接続します:

クロスユーザー権限昇格

PrivHoundが他のローカルユーザーの有効な認証情報を発見すると(GPPパスワード、オートログオン、無人ファイル、PowerShell履歴、クロスユーザープロフィールなどを経由して)、PHCanLoginAsエッジの作成で止まりません。発見されたユーザーが実際に何ができるかを分析します。

仕組み(SeImpersonatePrivilegeは不要):

1. LogonUserは発見された各ユーザーのトークンハンドルを取得します
2. GetTokenInformationはグループメンバーシップ(SID)とトークン権限を抽出します
3. ACLチェックは現在のユーザーのグループではなく、発見されたユーザーのグループを使用して実行されます
4. 発見されたユーザーのノードから、アクセスできる脆弱なリソースへのエッジが作成されます
5. トークンは閉じられます — なりすましは発生しません、昇格された権限は必要ありません

発見された各ユーザーに対してチェックする内容:

すべてのクロスユーザーエッジは、フィルタリング用のdiscovered_via="credential"プロパティを含みます。

ダウンロード & 使用