systeminfosysteminfo|findstr/B/C:"OS Name"/C:"OS Version"#Get only that informationwmicqfegetCaption,Description,HotFixID,InstalledOn#Patcheswmicosgetosarchitecture||echo%PROCESSOR_ARCHITECTURE%#Get system architecture
[System.Environment]::OSVersion.Version #Current OS versionGet-WmiObject-query'select * from win32_quickfixengineering'| foreach {$_.hotfixid} #List all patchesGet-Hotfix-description"Security update"#List only "Security Update" patches
Version Exploits
이 사이트는 Microsoft 보안 취약점에 대한 자세한 정보를 검색하는 데 유용합니다. 이 데이터베이스에는 4,700개 이상의 보안 취약점이 있으며, Windows 환경이 제공하는 대규모 공격 표면을 보여줍니다.
ConsoleHost_history#Find the PATH where is savedtype%userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txttypeC:\Users\swissky\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txttype $env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txtcat (Get-PSReadlineOption).HistorySavePathcat (Get-PSReadlineOption).HistorySavePath |slspassw
#Check is enable in the registryregqueryHKCU\Software\Policies\Microsoft\Windows\PowerShell\TranscriptionregqueryHKLM\Software\Policies\Microsoft\Windows\PowerShell\TranscriptionregqueryHKCU\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\TranscriptionregqueryHKLM\Wow6432Node\Software\Policies\Microsoft\Windows\PowerShell\TranscriptiondirC:\Transcripts#Start a Transcription sessionStart-Transcript-Path"C:\transcripts\transcript0.txt"-NoClobberStop-Transcript
PowerShell 모듈 로깅
PowerShell 파이프라인 실행의 세부 사항이 기록되며, 실행된 명령, 명령 호출 및 스크립트의 일부가 포함됩니다. 그러나 전체 실행 세부 사항 및 출력 결과는 캡처되지 않을 수 있습니다.
이를 활성화하려면 문서의 "전사 파일" 섹션의 지침을 따르고 **"모듈 로깅"**을 선택하십시오. "Powershell 전사" 대신에.
스크립트 실행의 전체 활동 및 전체 콘텐츠 기록이 캡처되어, 실행되는 모든 코드 블록이 문서화됩니다. 이 과정은 각 활동의 포괄적인 감사 추적을 보존하여 포렌식 및 악의적인 행동 분석에 유용합니다. 실행 시 모든 활동을 문서화함으로써 프로세스에 대한 자세한 통찰력을 제공합니다.
우리가 로컬 사용자 프록시를 수정할 수 있는 권한이 있고, Windows 업데이트가 Internet Explorer의 설정에 구성된 프록시를 사용한다면, 우리는 PyWSUS를 로컬에서 실행하여 자신의 트래픽을 가로채고 자산에서 상승된 사용자로서 코드를 실행할 수 있는 권한을 가지게 됩니다.
게다가, WSUS 서비스는 현재 사용자의 설정을 사용하므로, 현재 사용자의 인증서 저장소도 사용합니다. WSUS 호스트 이름에 대해 자체 서명된 인증서를 생성하고 이 인증서를 현재 사용자의 인증서 저장소에 추가하면 HTTP 및 HTTPS WSUS 트래픽을 모두 가로챌 수 있습니다. WSUS는 인증서에 대한 신뢰-첫 사용 유형 검증을 구현하기 위해 HSTS와 유사한 메커니즘을 사용하지 않습니다. 제시된 인증서가 사용자에 의해 신뢰되고 올바른 호스트 이름을 가지고 있다면, 서비스에 의해 수용됩니다.
로컬 권한 상승 취약점이 특정 조건 하에 Windows 도메인 환경에 존재합니다. 이러한 조건에는 LDAP 서명이 시행되지 않는 환경, 사용자가 **리소스 기반 제약 위임(RBCD)**을 구성할 수 있는 자기 권한을 가지며, 사용자가 도메인 내에서 컴퓨터를 생성할 수 있는 능력이 포함됩니다. 이러한 요구 사항은 기본 설정을 사용하여 충족된다는 점에 유의해야 합니다.
LAPS는 로컬 관리자 비밀번호 관리를 위해 설계되었으며, 각 비밀번호가 고유하고 무작위이며 정기적으로 업데이트되도록 보장합니다. 이러한 비밀번호는 Active Directory 내에 안전하게 저장되며, ACL을 통해 충분한 권한이 부여된 사용자만 접근할 수 있어, 권한이 있는 경우 로컬 관리자 비밀번호를 볼 수 있습니다.
Windows 8.1부터 Microsoft는 신뢰할 수 없는 프로세스가 메모리를 읽거나 코드를 주입하려는 시도를 차단하기 위해 로컬 보안 권한(LSA)에 대한 향상된 보호 기능을 도입하여 시스템을 더욱 안전하게 만들었습니다.
LSA 보호에 대한 자세한 정보는 여기에서 확인하세요.
# CMDnetusers%username%#Menetusers#All local usersnetlocalgroup#GroupsnetlocalgroupAdministrators#Who is inside Administrators groupwhoami/all#Check the privileges# PSGet-WmiObject-ClassWin32_UserAccountGet-LocalUser|ftName,Enabled,LastLogonGet-ChildItemC:\Users-Force|select NameGet-LocalGroupMemberAdministrators|ftName,PrincipalSource
Privileged groups
만약 당신이 특권 그룹에 속한다면 권한을 상승시킬 수 있습니다. 특권 그룹에 대해 배우고 이를 악용하여 권한을 상승시키는 방법은 여기에서 확인하세요:
for /f "tokens=2 delims='='" %%x in ('wmic process list full^|find /i "executablepath"^|find /i /v "system32"^|find ":"') do (
for /f eol^=^"^ delims^=^" %%z in ('echo %%x') do (icacls"%%z"2>nul |findstr/i"(F) (M) (W) :\\"|findstr/i":\\ everyone authenticated users todos %username%"&&echo.))
이 취약점을 탐지하고 악용하기 위해 _exploit/windows/local/service_permissions_를 사용할 수 있습니다.
서비스 바이너리의 약한 권한
서비스에 의해 실행되는 바이너리를 수정할 수 있는지 또는 바이너리가 위치한 폴더에 대한 쓰기 권한이 있는지 확인하십시오 (DLL Hijacking).wmic를 사용하여 서비스에 의해 실행되는 모든 바이너리를 가져오고 icacls를 사용하여 권한을 확인할 수 있습니다:
for /f "tokens=2 delims='='" %a in ('wmic service list full^|find /i "pathname"^|find /i /v "system32"') do @echo %a >> %temp%\perm.txt
for /f eol^=^"^ delims^=^" %a in (%temp%\perm.txt) do cmd.exe /c icacls "%a"2>nul |findstr"(M) (F) :\"
You can also use sc and icacls:
scquerystate=all|findstr"SERVICE_NAME:">>C:\Temp\Servicenames.txtFOR/F"tokens=2 delims= "%iin (C:\Temp\Servicenames.txt) DO @echo %i >> C:\Temp\services.txtFOR/F%iin (C:\Temp\services.txt) DO @sc qc %i |findstr"BINARY_PATH_NAME">>C:\Temp\path.txt
서비스 레지스트리 수정 권한
서비스 레지스트리를 수정할 수 있는지 확인해야 합니다.
서비스 레지스트리에 대한 권한을 확인하려면 다음을 수행할 수 있습니다:
regqueryhklm\System\CurrentControlSet\Services/s/vimagepath#Get the binary paths of the services#Try to write every service with its current content (to check if you have write permissions)for /f %a in ('reg query hklm\system\currentcontrolset\services') do del %temp%\reg.hiv 2>nul & reg save %a %temp%\reg.hiv 2>nul && reg restore %a %temp%\reg.hiv 2>nul && echo You can modify %a
get-aclHKLM:\System\CurrentControlSet\services\* |Format-List*|findstr/i"<Username> Users Path Everyone"
인증된 사용자 또는 NT AUTHORITY\INTERACTIVE가 FullControl 권한을 가지고 있는지 확인해야 합니다. 그렇다면 서비스에 의해 실행되는 바이너리를 변경할 수 있습니다.
net view #Get a list of computers
net view /all /domain [domainname] #Shares on the domains
net view \\computer /ALL #List shares of a computer
net use x: \\computer\share #Mount the share locally
net share #Check current shares
hosts file
hosts 파일에 하드코딩된 다른 알려진 컴퓨터가 있는지 확인하십시오.
type C:\Windows\System32\drivers\etc\hosts
네트워크 인터페이스 및 DNS
ipconfig /all
Get-NetIPConfiguration | ft InterfaceAlias,InterfaceDescription,IPv4Address
Get-DnsClientServerAddress -AddressFamily IPv4 | ft
Open Ports
외부에서 제한된 서비스를 확인하십시오.
netstat -ano #Opened ports?
라우팅 테이블
route print
Get-NetRoute -AddressFamily IPv4 | ft DestinationPrefix,NextHop,RouteMetric,ifIndex
ARP 테이블
arp -A
Get-NetNeighbor -AddressFamily IPv4 | ft ifIndex,IPAddress,L
