🔍 Enumeración post-explotación en Windows
Tras obtener acceso inicial a un sistema Windows, el siguiente objetivo es escalar privilegios hasta Administrator o SYSTEM. Para ello, primero hay que enumerar sistemáticamente el entorno en busca de vectores explotables.
Este lab cubre tanto la enumeración manual con comandos nativos de Windows como la automatizada con winPEAS, la herramienta de referencia para post-explotación Windows.
Privilegios peligrosos:
SeImpersonatePrivilege (Juicy/Rogue Potato), SeDebugPrivilege (acceso a lsass), SeBackupPrivilege (leer cualquier archivo), SeLoadDriverPrivilege (cargar drivers maliciosos).Vectores principales de escalada en Windows
| Vector | Técnica | Herramienta |
|---|---|---|
| Privilegios peligrosos | SeImpersonatePrivilege → Juicy Potato | whoami /priv |
| Servicios inseguros | Reemplazar binario del servicio | wmic service, icacls |
| DLL Hijacking | Sustituir DLL ausente en PATH del servicio | Process Monitor |
| Tareas programadas | Modificar script ejecutado como SYSTEM | schtasks, winPEAS |
| Software vulnerable | Exploit local para versión específica | wmic product, CVE |
| Credenciales almacenadas | Claves en registro, archivos, memoria | winPEAS, Mimikatz |
| AlwaysInstallElevated | MSI ejecutado como SYSTEM siempre | reg query, winPEAS |
🔧 Comandos del laboratorio
1. Información del sistema
cmd
systeminfo
# Muestra: versión Windows, hotfixes, arquitectura, dominio
cmd — solo parches instalados
systeminfo | findstr /B /C:"OS" /C:"Hotfix"2. Comprobar privilegios del usuario actual
cmd
whoami /priv
# Buscar: SeImpersonatePrivilege, SeDebugPrivilege, SeBackupPrivilege
cmd
whoami /all
# Muestra usuario, grupos y todos los privilegios3. Enumerar usuarios y grupos
cmd
net user
net localgroup administrators
net user <usuario>4. Enumerar software instalado
cmd
wmic product get name,version
# Buscar versiones desactualizadas con CVEs5. Inspeccionar servicios y sus permisos
cmd
wmic service get name,displayname,pathname,startmode
# Buscar rutas con espacios sin comillas (Unquoted Service Path)
cmd — permisos sobre el binario de un servicio
icacls "C:\ruta\al\servicio.exe"
# Si aparece (F) o (M) para Users -> reemplazable6. Comprobar AlwaysInstallElevated
cmd
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
# Si ambas son 1 -> crear MSI malicioso con msfvenom7. Enumeración automatizada con winPEAS
cmd
winPEASx64.exe
# o
winPEASany.exe
# Analiza: privilegios, servicios, credenciales, tareas programadas, software vulnerable
cmd — guardar salida en archivo
winPEASx64.exe > C:\Users\Public\output.txtwinPEAS codifica los resultados en colores: rojo = alto riesgo, amarillo = revisar, verde = correcto. En un terminal sin color, busca las secciones marcadas con [!].
8. Comprobar tareas programadas
cmd
schtasks /query /fo LIST /v
# Buscar tareas que corren como SYSTEM con script modificable🗼 Flujo del ejercicio
1
Reconocimiento interno
systeminfo + whoami /all para mapear el entorno.2
Privilegios peligrosos
whoami /priv → identificar SeImpersonate, SeDebug, etc.3
Software y servicios
wmic + icacls para detectar binarios reemplazables.4
Enumeración automatizadawinPEAS para cubrir todos los vectores de golpe.
5
Selección de técnicaElegir el exploit o técnica más adecuada según los hallazgos.
6
EscaladaEjecutar la técnica y obtener Administrator/SYSTEM.
🎯 ¿Qué buscar? — Indicadores de éxito
SeImpersonatePrivilegehabilitado → Juicy Potato, Rogue Potato o PrintSpoofer.- Servicio con ruta sin comillas y espacio (
C:\Program Files\Mi App\app.exe) → Unquoted Service Path. - Binario de servicio con permisos
(F)o(M)para el usuario actual → reemplazar con payload. - AlwaysInstallElevated = 1 en HKCU y HKLM → crear MSI con
msfvenom -p windows/exec. - Credenciales en el registro (
HKLM\SOFTWARE\) o archivos de configuración en claro. - winPEAS resaltado en rojo → vector de alta prioridad, investigar inmediatamente.