Windows ローカル特権昇格の見取り図

Windows のローカル特権昇格では、現在のユーザーが持つ権限と、サービスやファイルに与えられた権限を照らし合わせます。まず手動で事実を確認し、必要に応じて WinPEAS などのツールで見落としを探します。

調査の順序

1. システム情報とインストーラーで OS、パッチ、インストーラー設定を確認します。
2. 防御機能と検知設定を把握します。
3. ユーザー・プロセス・サービスとアプリケーション・DLL・ネットワークから、アクセス可能な対象を探します。
4. 資格情報や権限昇格の経路を確認します。

アクセストークンの操作とJuicyPotatoは個別の記事で扱います。調査に使うプログラムはツール一覧を参照してください。

最初に押さえる Windows の基礎

• アクセストークン：ユーザー ID、グループ、特権などを保持します。詳しくは Access Tokens を参照してください。
• ACL・DACL・SACL・ACE：対象へのアクセス許可と監査設定を表します。ACL の解説 で構成を確認できます。
• 整合性レベル：同じ管理者アカウントでも、プロセスの整合性レベルによってできる操作が変わります。Integrity Levels が参考になります。

Windows の防御機能

マルウェア対策、UAC、ログ設定などは調査方法に影響します。現在の設定を確認してから、Windows Security Controls と照らし合わせてください。