Como Usar o WinPEAS: Guia de Escalação de Privilégios Windows

O que é o WinPEAS?

WinPEAS é uma ferramenta de enumeração para Windows que procura caminhos de escalação de privilégios em um host e imprime os achados coloridos conforme ajudem um atacante ou um defensor. É a metade Windows do PEASS-ng (Privilege Escalation Awesome Scripts Suite, Next Generation), mantido por Carlos Polop e colaboradores em github.com/peass-ng/PEASS-ng.

Por baixo do capô é um programa em C# construído sobre a biblioteca de verificações do SeatBelt, da GhostPack. O SeatBelt coleta os dados do host. O WinPEAS acrescenta opinião em cima disso, e essa opinião é todo o valor da ferramenta. Qualquer operador competente sabe rodar whoami /priv, sc query e schtasks /query na mão. O que ninguém faz rápido é cruzar duzentos resultados com os padrões que historicamente levaram a SYSTEM.

Um aviso que a página de download não deixa claro o bastante: o WinPEAS está em toda base de assinaturas de antivírus do planeta. O Windows Defender coloca o winPEASany.exe em quarentena poucos segundos depois de ele tocar o disco em uma máquina com configuração padrão. O software de segurança detectou, o que é exatamente o esperado para uma ferramenta ofensiva conhecida em um ambiente protegido. Em laboratório, adicione uma exclusão de pasta e siga em frente. Em um trabalho autorizado, combine a abordagem com o cliente antes de começar, para que o SOC dele não gaste uma tarde triando o seu script de enumeração.

Qual binário do WinPEAS baixar?

A página de releases oferece vários arquivos e os nomes não se explicam sozinhos. Veja para que serve cada um.

• winPEASany.exe - compilado para Any CPU, roda tanto em hosts de 32 quanto de 64 bits. Comece por ele. É a resposta certa na maioria das vezes e evita uma ida e volta quando você errou o palpite da arquitetura.
• winPEASx64.exe - só 64 bits. Use quando já souber que o alvo é x64 e quiser que a arquitetura do processo bata com a do host.
• winPEASx86.exe - só 32 bits. O que você precisa em máquinas antigas, e dentro de um processo 32 bits sob WOW64, onde um binário de 64 bits não carrega.
• winPEAS.bat - uma versão em batch puro, sem nenhuma dependência de .NET e com muito menos verificações. O papel dela é cobrir o caso em que o executável simplesmente não roda.

As variantes .exe exigem .NET Framework 4.5.2 ou superior. Toda versão do Windows a partir do 8.1 já traz algo mais novo, então isso só atrapalha em alvos Windows 7 e Server 2008 R2. Se o winPEASany.exe sai na hora sem imprimir nada, a ausência de .NET é a primeira hipótese a descartar. Rode reg query "HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full" /v Release: um valor de Release igual ou maior que 379893 indica 4.5.2 ou mais recente instalado.

Existe também uma versão em PowerShell, o winPEAS.ps1, e vale saber que ela não é publicada como asset de release. Ela vive na árvore do repositório e é puxada direto do raw.githubusercontent.com. Cobre menos terreno que o executável, mas é a alternativa que vale lembrar quando uma lista de permissões de aplicativos bloqueia executáveis novos e o PowerShell continua disponível.

Como rodar o WinPEAS

Antes de tudo, conserte as cores. O WinPEAS emite sequências de escape ANSI e um console padrão do Windows não as interpreta. Pule esse passo e você fica com uma tela cheia de [1;31m e toda a informação de prioridade apagada, que é o motivo mais comum de iniciantes desistirem da ferramenta.

REG ADD HKCU\Console /v VirtualTerminalLevel /t REG_DWORD /d 1

A mudança só vale para consoles abertos depois dela, então feche a janela e abra um cmd.exe novo. O Windows Terminal trata ANSI nativamente e não precisa de nada. Se você estiver trabalhando por um reverse shell em vez de um console interativo, as cores não sobrevivem ao salto de qualquer jeito: passe notcolor e se oriente pelos cabeçalhos de seção.

Depois é só rodar. Sem argumentos, o WinPEAS executa todas as verificações menos as lentas:

.\winPEASany.exe

Na prática, você quase sempre quer duas palavras a mais nessa linha:

.\winPEASany.exe quiet log

quiet tira o banner em ASCII art. log grava tudo em out.txt ao lado do binário, e você pode apontá-lo para outro lugar com log=C:\Users\Public\peas.txt. Registrar em arquivo importa mais do que parece: uma execução padrão leva alguns minutos, a saída estoura o buffer de rolagem do console na maioria dos hosts, e em um trabalho a saída bruta vai para o anexo do relatório de qualquer forma.

Outras três opções valem o espaço. wait pausa entre as verificações, o que é genuinamente útil nas primeiras vezes porque impede que a saída passe correndo. debug imprime tempo de execução e memória por verificação, prático quando uma delas trava em um compartilhamento de rede e você quer saber qual. searchpf estende a busca de credenciais por expressões regulares às pastas Program Files, uma segunda passada que compensa em servidores de aplicação, onde os arquivos de configuração interessantes ficam dentro de um produto instalado.

Como ler a saída do WinPEAS: a legenda de cores

O WinPEAS imprime a legenda no topo de cada execução, e a maioria das pessoas rola direto por cima. Ler uma vez economiza horas. As cinco cores não são uma escala de gravidade: são cinco tipos diferentes de afirmação.

• Vermelho - um privilégio especial que você tem sobre um objeto, ou algo mal configurado. Essa é a sua fila de trabalho.
• Verde - alguma proteção está ativa ou algo está bem configurado. O verde é escrito para o defensor que vai ler o relatório, não para você.
• Ciano - usuários ativos.
• Azul - usuários desabilitados.
• Amarelo claro - links para a documentação do HackTricks sobre aquela verificação.

Repare no que falta. Diferente do LinPEAS, o WinPEAS não tem a faixa vermelho sobre amarelo de "95% de confiança" nem um resumo dos principais achados no fim da execução. Toda linha vermelha carrega o mesmo peso visual, seja um binário de serviço gravável que entrega SYSTEM ou apenas um caminho de exclusão do Defender, no máximo curioso. Priorizar é trabalho seu, não da ferramenta, e essa diferença pega de surpresa quem aprendeu primeiro o lado Linux.

Os cabeçalhos de seção são o outro apoio de navegação. Cada um aparece como um banner ciano de caracteres de desenho de caixa em volta de um título verde e, desde a release atual, a maioria também carrega em cinza o ID da técnica MITRE ATT&CK correspondente. A seção Current Token Privileges, por exemplo, vem marcada com T1134.001. Ao reler um out.txt salvo, procurar por esses caracteres de banner é a forma mais rápida de pular de seção em seção.

Rode só as verificações de que você precisa

A opção que nenhum tutorial de WinPEAS menciona é que você pode nomear os grupos de verificação desejados como argumentos simples, e a ferramenta roda apenas aqueles. Em uma máquina lenta ou em um trabalho discreto, isso transforma um scan de dois minutos em cinco segundos.

.\winPEASany.exe systeminfo userinfo servicesinfo quiet

Os grupos são systeminfo, userinfo, processinfo, servicesinfo, applicationsinfo, networkinfo, eventsinfo, windowscreds, registryinfo, browserinfo, filesinfo, cloudinfo, domain e activedirectoryinfo. Outros dois ficam de fora da execução padrão: fileanalysis, que vasculha o conteúdo dos arquivos atrás de credenciais e acrescenta vários minutos, e networkscan, que varre portas dos hosts que descobrir. Passar all roda tudo, inclusive o fileanalysis.

A adição mais recente é um filtro MITRE, e é a opção que vale aprender:

.\winPEASany.exe mitre=T1134,T1053 quiet log

Isso executa apenas as verificações mapeadas para aqueles IDs de técnica do ATT&CK, no caso manipulação de tokens e tarefas agendadas. Dois usos. Em um trabalho de red team com escopo de técnicas acordado, você roda exatamente o que as regras de engajamento permitem e nada além. Em um exercício de purple team, você aponta para a técnica que o time azul está tentando detectar e vê se só a enumeração já acende o painel deles. O catálogo completo de técnicas está na página da tática Privilege Escalation do MITRE.

Um alerta sobre duas opções. -vulnpackages envia os nomes e versões dos aplicativos instalados para uma consulta on-line do HackTricks, e -linpeas baixa e executa o linpeas.sh dentro da distribuição WSL padrão. As duas geram tráfego de saída a partir do host alvo. Nenhuma tem lugar em um sistema de cliente sem autorização por escrito.

Os achados que realmente derrubam máquinas

Quatro seções da saída do WinPEAS produzem a maior parte das escalações reais. Aprenda como é uma vitória em cada uma e você faz a triagem de uma execução completa em noventa segundos.

Privilégios de token

Vá primeiro em "Current Token privileges", sempre. O WinPEAS marca nove privilégios em vermelho, e os dois que você mais vai encontrar são SeImpersonatePrivilege e SeAssignPrimaryTokenPrivilege. Contas de serviço os possuem por padrão, e é por isso que um web shell em IIS tantas vezes termina em SYSTEM. SeBackupPrivilege e SeRestorePrivilege deixam você ler qualquer arquivo do disco, incluindo os hives do registro que guardam os hashes de senha. SeDebugPrivilege e SeLoadDriverPrivilege são mais raros e igualmente fatais. A mecânica de transformar cada um em shell está no nosso guia de técnicas de escalação de privilégios no Windows.

Serviços

A seção de serviços é a parte mais densa da saída e aquela em que vale desacelerar. Três padrões aparecem em vermelho. Um serviço modificável, em que o seu usuário consegue reconfigurar o caminho do binário do serviço e reiniciá-lo. Um binpath gravável no registro do serviço, que chega ao mesmo resultado pelo registro em vez do gerenciador de controle de serviços. E o clássico caminho de serviço sem aspas, que o WinPEAS rotula com a string literal No quotes and Space detected. Vale memorizar essa frase exata, porque é o que você vai procurar em um log salvo.

Caminhos sem aspas só importam quando você consegue escrever em um dos diretórios em que o caminho se expande, e o WinPEAS diz isso na mesma linha: ele imprime os direitos sobre o arquivo e sobre o diretório que encontrou ao lado do serviço. Um serviço em C:\Program Files\Acme Backup\agent.exe é inofensivo a menos que C:\Program Files\Acme seja um lugar onde você possa largar um arquivo.

Tarefas agendadas e execução automática

A seção de aplicações lista tarefas agendadas e destaca alvos de execução graváveis em tarefas que rodam como SYSTEM, além das entradas de AutoRun do registro. A pergunta é sempre a mesma: algo privilegiado executa um arquivo que eu consigo substituir? Uma tarefa SYSTEM apontando para um script em um diretório em que o seu usuário pode escrever é a escalação mais limpa que existe no Windows, porque não exige exploit nem condição de corrida. Você espera o horário.

Credenciais do Windows

A seção de credenciais é onde um trabalho deixa de ser escalação de privilégios e vira movimentação lateral. O WinPEAS olha o Cofre do Windows e o Gerenciador de Credenciais, configurações de RDP salvas, transcrições do PowerShell, material do DPAPI, tickets Kerberos, chaves de WiFi salvas, arquivos de instalação autônoma, senhas de Group Policy Preferences em cache, e hives SAM, SECURITY e SYSTEM expostos em ACLs ativas, backups e cópias de sombra. Esse último é o prêmio grande: hives legíveis significam extração de hashes off-line, e um hash de administrador local com frequência vale no host seguinte. Pratique a parte da extração no lab Windows Password Cracker.

WinPEAS, LinPEAS ou na mão

A escolha entre WinPEAS e LinPEAS não é preferência, é sistema operacional. Se systeminfo responde, rode o WinPEAS. Se uname -a responde, rode o LinPEAS. As duas ferramentas compartilham projeto e filosofia, mas as superfícies de escalação quase não se sobrepõem: tokens, serviços e registro de um lado; binários SUID, regras de sudo e cron do outro. Aprender uma delas dá o hábito, não o conhecimento.

A pergunta mais interessante é quando dispensar o WinPEAS por completo. Três situações. Quando o host tem EDR que você não alinhou com o cliente e o barulho da enumeração queimaria o trabalho. Quando o .NET está ausente ou restrito e a versão batch cobre pouco demais para valer o upload. E quando você já sabe o que procura, caso em que whoami /priv e um sc qc respondem mais rápido que um scan completo.

Fora isso, rode. O argumento honesto a favor da enumeração automatizada não é que ela encontra coisas que você não encontraria. É que ela as encontra na mesma ordem todas as vezes, na sua quadragésima máquina às duas da manhã, quando você esqueceria de olhar o Gerenciador de Credenciais. Para situar o WinPEAS no resto do arsenal, nosso panorama de ferramentas de teste de invasão percorre o fluxo de trabalho inteiro.

Considerações legais e éticas

• Rode o WinPEAS apenas em sistemas que são seus, em alvos de laboratório, ou em hosts explicitamente dentro do escopo de um trabalho para o qual você assinou contrato.
• Baixe somente da página oficial de releases do PEASS-ng. Ferramentas de enumeração são alvo popular de backdoor justamente porque as pessoas as executam com os privilégios dos quais estão tentando sair.
• Alinhe -vulnpackages, -linpeas e networkscan com o cliente antes. Os três geram tráfego de saída a partir do alvo, e o último varre portas de hosts vizinhos que podem estar fora do escopo.
• Limpe atrás de você. O binário e qualquer out.txt que você escreveu são seus artefatos e cabe a você removê-los, com os caminhos registrados no relatório.
• Avise o cliente de que o Defender vai alertar. Uma quarentena sem aviso custa uma tarde de um analista de SOC e custa a você a boa vontade dele.