Comment Utiliser WinPEAS : Guide d'Élévation de Privilèges Windows

Qu'est-ce que WinPEAS ?

WinPEAS est un outil d'énumération Windows qui cherche sur un hôte les chemins d'élévation de privilèges et affiche ses résultats colorés selon qu'ils servent un attaquant ou un défenseur. C'est la moitié Windows de PEASS-ng (Privilege Escalation Awesome Scripts Suite, Next Generation), maintenu par Carlos Polop et ses contributeurs sur github.com/peass-ng/PEASS-ng.

Techniquement, c'est un programme C# bâti sur la bibliothèque de vérifications de SeatBelt, de GhostPack. SeatBelt collecte les données de l'hôte. WinPEAS y ajoute un avis, et cet avis constitue tout l'intérêt de l'outil. N'importe quel opérateur compétent sait lancer whoami /priv, sc query et schtasks /query à la main. Ce que personne ne sait faire vite, c'est recouper deux cents résultats avec les schémas qui, historiquement, mènent à SYSTEM.

Un point que la page de téléchargement n'énonce pas assez clairement : WinPEAS figure dans toutes les bases de signatures antivirus de la planète. Windows Defender met winPEASany.exe en quarantaine quelques secondes après son écriture sur disque, sur une machine configurée par défaut. Le logiciel de sécurité l'a détecté, ce qui est exactement le comportement attendu pour un outil offensif connu dans un environnement protégé. En laboratoire, ajoutez une exclusion de dossier et passez à la suite. Sur une mission autorisée, validez l'approche avec le client avant de commencer, pour que son SOC ne passe pas un après-midi à trier votre script d'énumération.

Quel binaire WinPEAS télécharger ?

La page des releases propose plusieurs fichiers et les noms ne parlent pas d'eux-mêmes. Voici à quoi sert chacun.

• winPEASany.exe - compilé pour Any CPU, il tourne aussi bien sur les hôtes 32 bits que 64 bits. Commencez par celui-ci. C'est la bonne réponse la plupart du temps et cela vous évite un aller-retour quand vous vous êtes trompé d'architecture.
• winPEASx64.exe - 64 bits uniquement. À utiliser quand vous savez déjà que la cible est en x64 et que vous voulez que l'architecture du processus corresponde à celle de l'hôte.
• winPEASx86.exe - 32 bits uniquement. Celui qu'il vous faut sur les machines anciennes, et dans un processus 32 bits sous WOW64 où un binaire 64 bits refusera de se charger.
• winPEAS.bat - une version en batch pur, sans dépendance .NET et avec beaucoup moins de vérifications. Son rôle est de couvrir le cas où l'exécutable ne peut pas tourner du tout.

Les variantes .exe exigent .NET Framework 4.5.2 ou supérieur. Toutes les versions de Windows depuis 8.1 embarquent mieux que cela, donc le problème ne se pose vraiment que sur Windows 7 et Server 2008 R2. Si winPEASany.exe se termine instantanément sans rien afficher, l'absence de .NET est la première piste à écarter. Lancez reg query "HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full" /v Release : une valeur Release supérieure ou égale à 379893 signifie que 4.5.2 ou une version plus récente est installée.

Il existe aussi une version PowerShell, winPEAS.ps1, et il vaut la peine de savoir qu'elle n'est pas publiée comme asset de release. Elle vit dans l'arborescence du dépôt et se récupère depuis raw.githubusercontent.com. Elle couvre moins de terrain que l'exécutable, mais c'est le repli à garder en tête quand une liste blanche d'applications bloque les nouveaux exécutables et que PowerShell reste disponible.

Comment lancer WinPEAS

Avant toute chose, réparez les couleurs. WinPEAS émet des séquences d'échappement ANSI et une console Windows standard ne les interprète pas. Sautez cette étape et vous obtenez un écran rempli de [1;31m avec toute l'information de priorité effacée, ce qui est la raison la plus fréquente pour laquelle les débutants abandonnent l'outil.

REG ADD HKCU\Console /v VirtualTerminalLevel /t REG_DWORD /d 1

Le changement ne s'applique qu'aux consoles ouvertes après coup : fermez la fenêtre et ouvrez un nouveau cmd.exe. Windows Terminal gère l'ANSI nativement et ne demande rien. Si vous travaillez depuis un reverse shell plutôt qu'une console interactive, de toute façon les couleurs ne survivront pas au saut : passez notcolor et repérez-vous aux en-têtes de section.

Ensuite, lancez-le. Sans argument, WinPEAS exécute toutes les vérifications sauf les plus lentes :

.\winPEASany.exe

En pratique, vous voudrez presque toujours deux mots de plus sur cette ligne :

.\winPEASany.exe quiet log

quiet supprime la bannière en ASCII art. log écrit tout dans out.txt à côté du binaire, et vous pouvez le rediriger ailleurs avec log=C:\Users\Public\peas.txt. La journalisation compte plus qu'il n'y paraît : une exécution par défaut prend quelques minutes, la sortie dépasse le tampon de défilement de la console sur la plupart des hôtes, et en mission la sortie brute a de toute façon sa place en annexe du rapport.

Trois autres options méritent leur place. wait met en pause entre les vérifications, ce qui est réellement utile les premières fois parce que cela empêche la sortie de défiler plus vite que vous ne lisez. debug affiche le temps d'exécution et la mémoire par vérification, pratique quand l'une d'elles se bloque sur un partage réseau et que vous voulez savoir laquelle. searchpf étend la recherche d'identifiants par expressions régulières aux dossiers Program Files, un deuxième passage qui vaut le coup sur les serveurs applicatifs, là où les fichiers de configuration intéressants vivent sous un produit installé.

Comment lire la sortie de WinPEAS : la légende des couleurs

WinPEAS affiche sa légende en tête de chaque exécution, et la plupart des gens la sautent en faisant défiler la page. La lire une fois vous fera gagner des heures. Les cinq couleurs ne forment pas une échelle de gravité. Ce sont cinq types d'affirmations différents.

• Rouge - un privilège particulier que vous détenez sur un objet, ou quelque chose de mal configuré. Voilà votre file de travail.
• Vert - une protection est active ou quelque chose est bien configuré. Le vert s'adresse au défenseur qui lira le rapport, pas à vous.
• Cyan - comptes utilisateurs actifs.
• Bleu - comptes utilisateurs désactivés.
• Jaune clair - liens vers la documentation HackTricks correspondant à la vérification.

Notez ce qui manque. Contrairement à LinPEAS, WinPEAS n'a pas de niveau « rouge sur jaune » à 95 % de confiance, ni de récapitulatif des meilleures trouvailles en fin d'exécution. Chaque ligne rouge porte le même poids visuel, qu'il s'agisse d'un binaire de service modifiable qui vous donne SYSTEM ou d'un simple chemin d'exclusion Defender, tout au plus curieux. Prioriser est votre travail, pas celui de l'outil, et cette différence prend de court ceux qui ont appris le côté Linux en premier.

Les en-têtes de section sont l'autre aide à la navigation. Chacun s'affiche comme une bannière cyan en caractères semi-graphiques encadrant un titre vert et, depuis la release actuelle, la plupart portent aussi en gris l'identifiant de technique MITRE ATT&CK correspondant. La section Current Token Privileges, par exemple, est taguée T1134.001. Quand vous relisez un out.txt sauvegardé, chercher ces caractères de bannière est le moyen le plus rapide de sauter d'une section à l'autre.

N'exécutez que les vérifications dont vous avez besoin

L'option que les tutoriels WinPEAS ne mentionnent jamais, c'est que vous pouvez nommer les groupes de vérifications voulus en arguments simples, et l'outil n'exécutera que ceux-là. Sur une machine lente ou une mission discrète, cela transforme un scan de deux minutes en cinq secondes.

.\winPEASany.exe systeminfo userinfo servicesinfo quiet

Les groupes sont systeminfo, userinfo, processinfo, servicesinfo, applicationsinfo, networkinfo, eventsinfo, windowscreds, registryinfo, browserinfo, filesinfo, cloudinfo, domain et activedirectoryinfo. Deux autres restent hors de l'exécution par défaut : fileanalysis, qui fouille le contenu des fichiers à la recherche d'identifiants et ajoute plusieurs minutes, et networkscan, qui scanne les ports des hôtes découverts. Passer all exécute tout, fileanalysis compris.

L'ajout le plus récent est un filtre MITRE, et c'est l'option qui vaut la peine d'être apprise :

.\winPEASany.exe mitre=T1134,T1053 quiet log

Cela n'exécute que les vérifications rattachées à ces identifiants de technique ATT&CK, ici la manipulation de jetons et les tâches planifiées. Deux usages. Sur une mission red team dont le périmètre technique a été convenu, vous exécutez exactement ce que les règles d'engagement autorisent et rien d'autre. Sur un exercice purple team, vous le pointez sur la technique que l'équipe bleue cherche à détecter et vous voyez si l'énumération seule allume leur tableau de bord. Le catalogue complet des techniques se trouve sur la page de la tactique Privilege Escalation de MITRE.

Un avertissement sur deux options. -vulnpackages envoie les noms et versions de vos applications installées à une recherche HackTricks en ligne, et -linpeas télécharge puis exécute linpeas.sh dans la distribution WSL par défaut. Les deux génèrent du trafic sortant depuis l'hôte cible. Aucune n'a sa place sur un système client sans accord écrit préalable.

Les découvertes qui font vraiment tomber une machine

Quatre sections de la sortie de WinPEAS produisent l'essentiel des élévations réelles. Apprenez à quoi ressemble une victoire dans chacune et vous trierez une exécution complète en quatre-vingt-dix secondes.

Privilèges de jeton

Allez d'abord à « Current Token privileges », à chaque fois. WinPEAS signale neuf privilèges en rouge, et les deux que vous croiserez le plus souvent sont SeImpersonatePrivilege et SeAssignPrimaryTokenPrivilege. Les comptes de service les détiennent par défaut, ce qui explique qu'un web shell sur IIS se termine si souvent en SYSTEM. SeBackupPrivilege et SeRestorePrivilege vous laissent lire n'importe quel fichier du disque, y compris les ruches du registre qui contiennent les empreintes de mots de passe. SeDebugPrivilege et SeLoadDriverPrivilege sont plus rares et tout aussi fatals. Les mécanismes pour transformer chacun en shell sont détaillés dans notre guide des techniques d'élévation de privilèges Windows.

Services

La section des services est la partie la plus dense de la sortie et celle où il faut ralentir. Trois schémas apparaissent en rouge. Un service modifiable, où votre utilisateur peut reconfigurer le chemin du binaire de service puis le redémarrer. Un chemin de binaire inscriptible dans le registre du service, qui aboutit au même résultat par le registre plutôt que par le gestionnaire de contrôle des services. Et le classique chemin de service sans guillemets, que WinPEAS étiquette de la chaîne littérale No quotes and Space detected. Cette formule exacte mérite d'être mémorisée, car c'est elle que vous chercherez dans un journal sauvegardé.

Les chemins sans guillemets ne comptent que si vous pouvez écrire dans l'un des répertoires que le chemin produit en s'expansant, et WinPEAS vous le dit sur la même ligne : il affiche les droits sur le fichier et les droits sur le répertoire qu'il a trouvés à côté du service. Un service situé à C:\Program Files\Acme Backup\agent.exe est inoffensif tant que C:\Program Files\Acme n'est pas un endroit où vous pouvez déposer un fichier.

Tâches planifiées et exécutions automatiques

La section des applications liste les tâches planifiées et met en évidence les cibles d'exécution inscriptibles dans les tâches qui tournent en SYSTEM, ainsi que les entrées AutoRun du registre. La question à se poser est toujours la même : est-ce que quelque chose de privilégié exécute un fichier que je peux remplacer ? Une tâche SYSTEM qui pointe vers un script dans un répertoire où votre utilisateur peut écrire est l'élévation la plus propre qui soit sous Windows, parce qu'elle ne demande ni exploit ni condition de course. Vous attendez l'horaire.

Identifiants Windows

La section des identifiants est l'endroit où une mission passe de l'élévation de privilèges au déplacement latéral. WinPEAS examine le Coffre Windows et le Gestionnaire d'informations d'identification, les paramètres RDP enregistrés, les transcriptions PowerShell, le matériel DPAPI, les tickets Kerberos, les clés WiFi sauvegardées, les fichiers d'installation automatisée (unattend), les mots de passe de Group Policy Preferences en cache, et les ruches SAM, SECURITY et SYSTEM exposées dans les ACL actives, les sauvegardes et les clichés instantanés. Ce dernier point est le gros lot : des ruches lisibles signifient une extraction d'empreintes hors ligne, et une empreinte d'administrateur local est fréquemment valide sur l'hôte suivant. Entraînez-vous à la partie extraction dans le lab Windows Password Cracker.

WinPEAS, LinPEAS ou à la main

Le choix entre WinPEAS et LinPEAS n'est pas une préférence, c'est un système d'exploitation. Si systeminfo répond, lancez WinPEAS. Si uname -a répond, lancez plutôt LinPEAS. Les deux outils partagent un projet et une philosophie, mais leurs surfaces d'élévation ne se recouvrent presque pas : jetons, services et registre d'un côté, binaires SUID, règles sudo et cron de l'autre. Apprendre l'un vous donne le réflexe, pas la connaissance.

La question plus intéressante est de savoir quand se passer complètement de WinPEAS. Trois situations. Quand l'hôte porte un EDR que vous n'avez pas évoqué avec le client et que le bruit de l'énumération grillerait la mission. Quand .NET manque ou est restreint et que la version batch couvre trop peu pour valoir le téléversement. Et quand vous savez déjà ce que vous cherchez, auquel cas whoami /priv et un sc qc répondent plus vite qu'un scan complet.

Au-delà, lancez-le. L'argument honnête en faveur de l'énumération automatisée n'est pas qu'elle trouve des choses hors de votre portée. C'est qu'elle les trouve dans le même ordre à chaque fois, sur votre quarantième machine à deux heures du matin, au moment où vous oublieriez de regarder le Gestionnaire d'informations d'identification. Pour situer WinPEAS parmi le reste de la panoplie, notre tour d'horizon des outils de test d'intrusion déroule le flux de travail complet.

Considérations légales et éthiques

• N'exécutez WinPEAS que sur des systèmes qui vous appartiennent, sur des cibles de laboratoire, ou sur des hôtes explicitement dans le périmètre d'une mission pour laquelle vous avez signé un contrat.
• Téléchargez uniquement depuis la page officielle des releases PEASS-ng. Les outils d'énumération sont une cible de choix pour les portes dérobées, précisément parce qu'on les exécute avec les privilèges dont on cherche à sortir.
• Faites valider -vulnpackages, -linpeas et networkscan par le client au préalable. Les trois génèrent du trafic sortant depuis la cible, et le dernier scanne les ports d'hôtes voisins qui peuvent être hors périmètre.
• Nettoyez. Le binaire et le fichier out.txt que vous avez écrit sont vos artefacts, à vous de les retirer, et leurs emplacements ont leur place dans le rapport.
• Prévenez le client que Defender déclenchera une alerte. Une mise en quarantaine non annoncée coûte un après-midi à un analyste SOC, et vous coûte sa bonne volonté.