Tutorials

🛠️ Guida Avanzata a Windows-Exploit-Suggester (WES)

Windows-Exploit-Suggester è uno script Python che confronta i livelli di patch di un sistema Windows ottenuti tramite systeminfo con l’elenco ufficiale delle vulnerabilità Microsoft bulletin. In quest

#exploitation#post-exploitation#windows

🛠️ Guida Avanzata a Windows-Exploit-Suggester (WES)

📌 Cos’è Windows-Exploit-Suggester?

Windows-Exploit-Suggester è uno script Python che confronta i livelli di patch di un sistema Windows (ottenuti tramite systeminfo) con l’elenco ufficiale delle vulnerabilità Microsoft (bulletin). In questo modo, individua possibili exploit locali privilege escalation che potresti sfruttare.

✅ Scopo: Escalation dei privilegi locali
🔒 Target: Sistemi Windows (XP → Windows 11 / Server 2022)

📦 Requisiti

  • Python 3
  • systeminfo output dal target Windows
  • Accesso a internet per aggiornare il database dei bollettini
  • Repository ufficiale:
🔗 https://github.com/AonCyberLabs/Windows-Exploit-Suggester

🔧 Installazione

bash
git clone https://github.com/AonCyberLabs/Windows-Exploit-Suggester.git
cd Windows-Exploit-Suggester
pip install -r requirements.txt  # opzionale se richiesto

🧰 Utilizzo step-by-step

1️⃣ Ottenere systeminfo dal target Windows

Una volta che hai ottenuto accesso (via shell, Evil-WinRM, Meterpreter o altro), esegui:

systeminfo > systeminfo.txt

Salva il file localmente o trasferiscilo tramite un webserver/Evil-WinRM.

2️⃣ Scarica il database aggiornato delle vulnerabilità

bash
python windows-exploit-suggester.py --update

Questo genera un file 2025-XX-XX-mssb.xls con le ultime patch Microsoft disponibili.

3️⃣ Esegui il confronto tra il file systeminfo.txt e il database

bash
python windows-exploit-suggester.py --database 2025-XX-XX-mssb.xls --systeminfo systeminfo.txt

📥 Output:

  • Elenco degli exploit locali potenzialmente applicabili
  • Data del bulletin
  • Note sulla vulnerabilità

🧠 Analisi dell’output

bash
[] Windows Version identified as: Windows 10 10.0.10240 SP0
[+] The following exploits are applicable:
KB3079904 - privilege escalation - UAC bypass
KB3089656 - elevation of privilege in win32k.sys
KB3096447 - local privilege escalation via CSRSS

Ogni riga rappresenta un potenziale punto di escalation.

🔥 Tipologie di vulnerabilità individuabili

  • Kernel exploit (win32k.sys, splwow64.exe, CSRSS)
  • UAC bypass
  • DLL hijacking
  • Exploit per servizi vulnerabili
  • Escalation tramite chiavi di registro, binari, o configurazioni

⚙️ Best practices operative

AzioneDettaglio
🎯 Target primariSistemi legacy, ambienti aziendali non aggiornati
💣 ValidazioneVerifica ogni exploit con ricerca mirata (Exploit-DB, GitHub, Metasploit, etc.)
📤 AutomazionePuoi integrare lo script in pipeline di analisi automatica post-sfruttamento

💡 Esempio operativo completo

1. Ottenimento del file

bash
systeminfo > C:\temp\sysinfo.txt

2. Download

bash
python windows-exploit-suggester.py --update

3. Analisi

bash
python windows-exploit-suggester.py --database 2025-04-10-mssb.xls --systeminfo sysinfo.txt

4. Ricerca e test di exploit corrispondente - Su Exploit-DB - Usando searchsploit - O moduli exploit/windows/local/ su Metasploit

📁 Note avanzate

  • 🔐 systeminfo non mostra patch installate tramite WSUS → falsi positivi possibili.
  • 🔍 Cross-check con altri strumenti (ex: Seatbelt, WinPEAS) è raccomandato.
  • 🧪 WES segnala il CVE, non esegue exploit → è compito dell’operatore verificare l’effettiva possibilità di exploit.

🚀 Tool alternativi o complementari

ToolFunzione
WinPEASEnumera misconfig e privesc opportunity
SeatbeltEnum avanzata in .NET
WatsonWindows privesc exploit suggester
AccessChkVerifica ACL su binari e servizi