> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/windows-vulnerabilities.md). # Windows権限昇格 ローカル列挙、UACバイパス、AlwaysInstallElevated、資格情報アクセス、トークン権限、脆弱なサービス、スケジュールされたタスク、SMBリレー、カーネルエクスプロイト、 Windowsの権限昇格は、制限されたWindowsシェルからより強力なローカルコンテキストへ移行することに焦点を当てた、ローカルなポストエクスプロイテーション段階であり、しばしば `NT AUTHORITY\SYSTEM` または再利用可能な管理者資格情報へ移行します。 このセクションでは、Windows固有の内容をまとめています。ローカル列挙、危険な権限、資格情報へのアクセス、脆弱なサービス、カーネルエクスプロイト、SMBリレーのラボノート、リバースエンジニアリングの確認事項です。ドメイン全体のActive Directory攻撃経路は、専用のActive Directoryセクションにあります。 ## Windows権限昇格ワークフロー 1. 現在のユーザー、グループ、整合性レベル、特権、ホスト名、OSビルド、アーキテクチャ、パッチレベルを特定します。 2. UAC、AlwaysInstallElevated、書き込み可能なサービス、サービス権限、スケジュールされたタスク、インストール済みソフトウェア、露出したシークレットを列挙します。 3. 確認する `whoami /priv` および `whoami /groups` トークン特権、整合性レベル、グループベースの悪用経路を確認します。 4. LSASS、SAM、LSAシークレット、レジストリキー、展開ファイル、アプリケーション構成などのローカルな資格情報ソースを確認します。 5. 脆弱なサービス、サードパーティ製ソフトウェア、SMBリレー条件、カーネルCVE候補を、正確なWindowsバージョンと照合して検証します。 6. 確認できた中で最も安全な経路を悪用し、報告用にコマンド列、証拠、是正メモを保存します。 ## Windowsの手法

:windows:

ローカル権限昇格と資格情報

UACバイパス、AlwaysInstallElevated、Mimikatz、SAM抽出、LSASSシークレット、展開ファイルに保存された資格情報に関するWindowsのローカル権限昇格と資格情報アクセスのメモ。ローカル権限昇格と資格情報

:user-lock:

トークン特権

whoami /priv の出力を解釈し、SeImpersonatePrivilege または SeBackupPrivilege を使って権限昇格するためのWindowsトークン特権悪用メモ。Windowsトークン権限

:users-gear:

グループと整合性レベル

ローカル権限昇格時に、whoami /groups の出力、Windowsの整合性レベル、サービスとのやり取り経路を解釈します。Windowsのグループと整合性レベル

:gears:

脆弱なサービスとプロセス

サービス列挙、露出した資格情報、PrintNightmareのラボでの悪用、脆弱なサードパーティアプリケーション設定を扱う、Windowsの脆弱なプロセスとサービスのメモ。Windowsの脆弱なサービスとプロセス

:calendar-check:

スケジュールされたタスク

Windowsのスケジュールされたタスクを確認し、脆弱な対象パス、書き込み可能なスクリプト、昇格した実行コンテキスト、古い自動化資格情報を探します。Windowsのスケジュールタスク

:network-wired:

SMBリレー

許可されたWindowsラボ環境で、SMB経由のNTLM認証をキャプチャしてリレーします。Windows環境でのSMBリレー

:microchip:

カーネルエクスプロイト

OSビルド、アーキテクチャ、パッチレベル、ローカル権限昇格のエクスプロイト候補を検証するためのWindowsカーネルエクスプロイトのメモ。Windowsカーネルエクスプロイト

:file-code:

バイナリ解析

実行ファイル内のハードコードされた資格情報、エンドポイント、認証ロジック、その他有用な挙動を見つけるためのWindowsバイナリ解析メモ。Windowsバイナリ解析
## 手動列挙 自動化ツールを実行する前に、小さなベースラインから始めます。目的はノイズを集めることではなく、ホストを理解することです。 ```cmd whoami /all hostname systeminfo wmic qfe list brief ``` ネットワーク、公開されているサービス、ローカル共有を確認します： ```cmd ipconfig /all route print arp -a netstat -ano net share ``` ユーザー、グループ、セッション、実行中のソフトウェアを確認します： ```cmd net user net localgroup net localgroup administrators query user tasklist /svc sc query state= all ``` サービス、タスク、ファイルシステムの出力を絞り込むには、PowerShellの方が便利なことがよくあります： ```powershell Get-ComputerInfo | Select-Object WindowsProductName,WindowsVersion,OsHardwareAbstractionLayer Get-LocalUser Get-LocalGroup Get-Service | Sort-Object Status,Name Get-ScheduledTask | Select-Object TaskName,TaskPath,State ``` ## 簡易トリアージチェックリスト * `whoami /priv` 次のような危険な特権を示します： `SeImpersonatePrivilege`, `SeBackupPrivilege`, `SeRestorePrivilege`, `SeTakeOwnershipPrivilege`や `SeDebugPrivilege`. * サービスの実行アカウントが `LocalSystem` であり、書き込み可能なバイナリ、弱いDACL、または引用符のないパスを持っています。 * スケジュールされたタスクが昇格した権限で実行され、書き込み可能なスクリプトまたは実行ファイルを指しています。 * レジストリキーがAlwaysInstallElevated、自動ログオン値、サードパーティのパスワード、または書き込み可能な自動実行項目を公開しています。 * 展開ファイル、PowerShell履歴、IIS設定、データベース設定、またはアプリケーションフォルダに再利用可能な資格情報が含まれています。 * カーネルエクスプロイトは、正確なOSビルド、アーキテクチャ、欠落しているKB、より安全な経路を確認した後でのみ検討します。 ## 推奨ツール * [WinPEAS](https://github.com/peass-ng/PEASS-ng/tree/master/winPEAS) 自動化されたWindows権限昇格列挙用。 * [PowerUp](https://github.com/PowerShellMafia/PowerSploit/tree/master/Privesc) 一般的なWindows設定ミスの確認用。 * [Mimikatz](https://github.com/gentilkiwi/mimikatz) 許可されたラボでの資格情報アクセス検証用。 * [Impacket](https://github.com/fortra/impacket) SMB、NTLMリレー、レジストリ抽出、Windowsプロトコル関連ツール用。 * [Sysinternals](https://learn.microsoft.com/en-us/sysinternals/) プロセス、トークン、ログオンセッション、サービスの確認用。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/windows-vulnerabilities.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.