Windows Privilege Escalation — vom Standardbenutzer zum SYSTEM

Token Abuse & Potato Attacks — die mächtigsten Windows-Privilegien

Windows-Tokens sind die Kerneinheit der Zugriffskontrolle: Jeder Prozess läuft im Kontext eines Tokens, das die Identität und Privilegien des Benutzers enthält. Bestimmte Token-Privilegien ermöglichen direkte Privilege Escalation: SeImpersonatePrivilege — erlaubt einem Prozess, die Identität eines anderen Benutzers anzunehmen (Impersonation). Standardmäßig vergeben an: IIS AppPool-Accounts, MSSQL Service Accounts, Network Service, Local Service. Ein Angreifer, der Code im Kontext eines dieser Accounts ausführt (z. B. über eine SQL Injection in MSSQL oder eine Webshell in IIS), kann über Potato-Angriffe zu SYSTEM eskalieren. SeDebugPrivilege — erlaubt das Debuggen beliebiger Prozesse, einschließlich SYSTEM-Prozesse. Ein Angreifer kann damit einen SYSTEM-Token stehlen oder Code in SYSTEM-Prozesse injizieren.

Die Potato-Angriffsfamilie ist die erfolgreichste Privilege-Escalation-Technik auf Windows: Alle Varianten nutzen SeImpersonatePrivilege, um einen SYSTEM-Token zu erhalten. Das Grundprinzip: Der Angreifer bringt einen SYSTEM-Prozess dazu, sich bei ihm zu authentifizieren (über DCOM, NTLM, oder Named Pipes), fängt den Token ab und erstellt einen neuen Prozess mit SYSTEM-Rechten. GodPotato (2023) funktioniert auf allen Windows-Versionen von Windows Server 2012 bis Server 2025 und benötigt nur SeImpersonatePrivilege — keine weiteren Voraussetzungen.

• Potato-Varianten im Überblick: Hot Potato (2016) — NBNS-Spoofing + WPAD + NTLM-Relay. Rotten Potato (2016) — DCOM + NTLM-Relay über lokalen Listener. Juicy Potato (2018) — verbesserte Rotten Potato, wählt CLSID mit SYSTEM-Kontext. Sweet Potato (2020) — kombiniert mehrere Techniken (BeaconPrinter, EfsPotato). PrintSpoofer (2020) — Named-Pipe-Impersonation über den Druckerspooler. GodPotato (2023) — nutzt DCOM-Marshaling, funktioniert universell. CoercedPotato (2024) — kombiniert Coercion-Techniken (EfsRpc, SpoolSample) mit Token-Impersonation. Empfehlung für Pentester 2026: GodPotato als erste Wahl, PrintSpoofer als Fallback.
• SeBackupPrivilege & SeRestorePrivilege: SeBackupPrivilege erlaubt das Lesen jeder Datei auf dem System, unabhängig von ACLs — inkl. SAM, SYSTEM, SECURITY Registry Hives und der NTDS.dit (Active-Directory-Datenbank). Ein Angreifer kann damit: SAM+SYSTEM dumpen → lokale Passwort-Hashes extrahieren. NTDS.dit kopieren (auf einem DC) → alle Domänen-Passwort-Hashes. SeRestorePrivilege erlaubt das Schreiben jeder Datei — inkl. System-DLLs und Dienst-Binärdateien. Escalation: DLL überschreiben, die von einem SYSTEM-Dienst geladen wird.
• Token Impersonation mit Incognito/Tokenvator: Windows erlaubt das Auflisten und Nutzen von Delegation- und Impersonation-Tokens anderer Benutzer, die auf dem System angemeldet sind (oder waren). Wenn ein Administrator sich per RDP/WMI/PowerShell angemeldet hat, existiert möglicherweise ein Delegation Token im Speicher — der Angreifer kann diesen Token übernehmen und als Administrator agieren, ohne das Passwort zu kennen. Tools: Incognito (Meterpreter), Tokenvator (.NET), Invoke-TokenManipulation (PowerShell). Verteidigung: Logoff erzwingen nach Sitzungsende, Restricted Admin Mode für RDP (verhindert Credential-Caching).
• Credential Access über DPAPI: DPAPI (Data Protection API) ist die Windows-API zum Verschlüsseln sensibler Daten: gespeicherte Passwörter (Chrome, Edge, Wi-Fi), RDP-Credentials, Outlook-Profile. DPAPI-Masterkeys werden mit dem Benutzerpasswort oder dem Domänen-Backup-Schlüssel geschützt. Ein Angreifer mit lokalen Admin-Rechten kann: Mimikatz (sekurlsa::dpapi) — Masterkeys im Speicher extrahieren und alle DPAPI-geschützten Daten entschlüsseln. SharpDPAPI — .NET-Tool für DPAPI-Angriffe (Triage, Masterkey-Backup, Credential Decryption). Auf DCs: Domänen-DPAPI-Backup-Key extrahieren → alle DPAPI-Secrets aller Benutzer entschlüsseln.

Service Exploits & UAC Bypass — die klassischen Escalation-Pfade

Windows-Dienste sind eine der häufigsten Privilege-Escalation-Quellen: Unquoted Service Paths — wenn der Pfad zur Dienst-EXE Leerzeichen enthält und nicht in Anführungszeichen steht (C:\Program Files\My App\service.exe), versucht Windows zuerst C:\Program.exe, dann C:\Program Files\My.exe auszuführen. Wenn der Angreifer Schreibrechte auf C:\ oder C:\Program Files\ hat, kann er eine bösartige Program.exe platzieren. Weak Service Permissions — wenn ein niedrig privilegierter Benutzer die Service-Konfiguration ändern kann (sc config), kann er den binPath auf seine eigene Payload ändern und den Dienst neustarten → Code als SYSTEM. Writable Service Binary — wenn der Benutzer die EXE des Dienstes überschreiben kann, ersetzt er sie durch eine Payload.

UAC (User Account Control) ist Microsofts Mechanismus, um Admin-Aktionen zu bestätigen — aber in der Standard-Konfiguration (Default — „Notify me only when apps try to make changes“) gibt es zahlreiche Auto-Elevation-Bypasses: Programme, die von Microsoft signiert sind und das autoElevate-Manifest-Flag haben, werden ohne UAC-Prompt mit Admin-Rechten ausgeführt. Ein Angreifer manipuliert die Ausführungsumgebung dieser Auto-Elevation-Programme: Fodhelper (fodhelper.exe) — liest den ms-settings-Registry-Handler, Angreifer setzt eine bösartige DelegateExecute-Payload. EventViewer (eventvwr.msc) — ähnliche Registry-Hijacking-Technik. DiskCleanup (cleanmgr.exe) — Environment-Variable-Hijacking.

• Enumeration — WinPEAS & PowerUp: WinPEAS (Privilege Escalation Awesome Scripts) — das umfassendste Enumerationstool: Prüft Hunderte von Escalation-Vektoren automatisch: Token-Privilegien, Dienst-Permissions, Unquoted Paths, AutoLogon-Credentials, gespeicherte Wi-Fi-Passwörter, Always Install Elevated, Scheduled Tasks mit schwachen Permissions, DLL-Hijacking-Opportunities, PATH-Hijacking, Kernel-Exploits (Watson-Integration). PowerUp (PowerShell, PowerSploit) — fokussierter auf Service-Exploits: Invoke-AllChecks findet und kann automatisch ausnutzen. SharpUp (.NET-Port von PowerUp — AMSI-resistenter). BeRoot (Python) — plattformübergreifend.
• Scheduled Tasks & DLL Hijacking: Scheduled Tasks mit schwachen Permissions: Wenn ein Standardbenutzer die Task-Definition ändern oder die ausgeführte Datei überschreiben kann, ersetzt er sie durch eine Payload. Prüfung: schtasks /query /v + ACL-Prüfung der Binärdateien. DLL Hijacking: Viele Programme suchen DLLs in einer definierten Reihenfolge (DLL Search Order): 1) Anwendungsverzeichnis, 2) System32, 3) Windows, 4) PATH. Wenn der Angreifer in ein früher durchsuchtes Verzeichnis schreiben kann, platziert er eine bösartige DLL mit dem erwarteten Namen. DLL Proxying: Die bösartige DLL leitet alle Aufrufe an die echte DLL weiter — das Programm funktioniert normal, aber der Schadcode läuft mit.
• PrintNightmare (CVE-2021-34527): Eine der gravierendsten Windows-Privilege-Escalation-Schwachstellen: Der Windows Print Spooler erlaubte jedem authentifizierten Benutzer, einen Druckertreiber zu installieren — als SYSTEM. Ein Angreifer konnte eine bösartige DLL als „Druckertreiber“ installieren und damit Remote Code Execution als SYSTEM erlangen — auch über das Netzwerk (RCE) oder lokal (LPE). Varianten: CVE-2021-1675 (LPE), CVE-2021-34527 (RCE). Trotz Patch: Der Print Spooler bleibt eine Angriffsfläche — mehrere Folge-CVEs in 2022–2024. Empfehlung: Print Spooler auf allen Servern deaktivieren, die nicht als Druckserver fungieren (insbesondere Domain Controller!).
• HiveNightmare / SeriousSAM (CVE-2021-36934): Auf Windows 10 (Build 1809+) und Windows 11 waren die SAM-, SYSTEM- und SECURITY-Registry-Hives für alle Benutzer lesbar (fehlerhafte ACLs auf Shadow Copies). Jeder lokale Benutzer konnte die Passwort-Hashes aller lokalen Accounts extrahieren — inklusive des lokalen Administrators. Ausnutzung: icacls C:\Windows\System32\config\SAM → BUILTIN\Users:(I)(RX) = verwundbar. Tools: HiveNightmare.exe kopiert die Hives aus Shadow Copies. Verteidigung: Patch installieren + Shadow Copies löschen (die alten, verwundbaren Kopien bleiben sonst bestehen!).

Windows Hardening — Privilege Escalation verhindern

Die effektivste Verteidigung gegen Privilege Escalation ist Prävention durch Härtung: Wenn die Escalation-Pfade gar nicht erst existieren, kann der Angreifer sie nicht nutzen. Die Top-10-Härtungsmaßnahmen: 1) LAPS (Local Administrator Password Solution) — einzigartige, rotierende lokale Admin-Passwörter auf jedem System. 2) Privileged Access Workstations (PAW) — Admins arbeiten nur von dedizierten, gehärteten Workstations. 3) Credential Guard — isoliert LSASS in einer Virtualization-Based-Security-Umgebung (Mimikatz kann keine Credentials aus dem Speicher lesen). 4) Remote Credential Guard — verhindert Credential-Caching bei RDP-Sitzungen. 5) Print Spooler deaktivieren auf allen Nicht-Druckservern.

• LAPS (Local Administrator Password Solution): Windows LAPS (seit Windows Server 2019/Windows 10 nativ integriert, ehem. Microsoft LAPS) generiert einzigartige, zufällige Passwörter für den lokalen Administrator auf jedem Computer und speichert sie verschlüsselt im AD. Vorteile: Kein identisches lokales Admin-Passwort auf allen Systemen (→ ein kompromittiertes System kompromittiert nicht alle), automatische Rotation (z. B. alle 30 Tage), Audit-Trail (wer hat wann das Passwort abgerufen?). Windows LAPS (2023+) unterstützt zusätzlich: Passwort-Verschlüsselung im AD (DSRM-Backup), Entra-ID-Speicherung, History-Funktion.
• Credential Guard & VBS: Credential Guard nutzt Virtualization-Based Security (VBS), um den LSASS-Prozess in einer isolierten virtuellen Umgebung auszuführen. Selbst ein Angreifer mit SYSTEM-Rechten kann die Credentials nicht aus dem LSASS-Speicher extrahieren (Mimikatz sekurlsa::logonpasswords scheitert). Voraussetzungen: UEFI Secure Boot, TPM 2.0, Hyper-V aktiviert. Einschränkung: Schützt nur NTLM-Hashes und Kerberos-TGTs — nicht DPAPI-Masterkeys, gespeicherte Browser-Passwörter oder Zertifikate. LSA Protection (RunAsPPL): Leichtgewichtigere Alternative — lädt LSASS als Protected Process Light, verhindert nicht-signierte DLL-Injection.
• AppLocker & WDAC: Application Whitelisting ist die stärkste Prävention gegen Privilege Escalation: Nur explizit erlaubte Programme dürfen ausgeführt werden. AppLocker — regelbasiert (Publisher, Path, Hash), einfach zu konfigurieren, aber umgehbar (LOLBins, DLL-Loading). WDAC (Windows Defender Application Control) — Kernel-enforced, deutlich schwerer zu umgehen, unterstützt Code-Integrity-Policies. Empfehlung: WDAC im Audit-Mode starten (Event 3076/3077 protokollieren, was blockiert würde), Baseline erstellen, schrittweise in Enforcement übergehen. Kombination mit Smart App Control (Windows 11) für Endbenutzer-Geräte.
• Automationsgesteuerte Härtung: Microsoft Security Baselines (Security Compliance Toolkit) — GPO-Templates mit Microsofts empfohlenen Sicherheitseinstellungen für jede Windows-Version. CIS Benchmarks für Windows — über 300 Einstellungen pro Windows-Version, Level 1 (Basis) und Level 2 (streng). HardeningKitty (PowerShell, Open Source) — automatisierte Prüfung und Anwendung von CIS/STIG/Microsoft-Baselines. Ansible/DSC für automatisiertes Hardening: Desired State Configuration stellt sicher, dass Sicherheitseinstellungen nach jedem Reboot/Update erhalten bleiben. Attack Surface Reduction (ASR) Rules — Microsoft Defender-Regeln, die häufige Angriffstechniken blockieren (Office-Macro-Execution, Credential Stealing, Process Injection).