ATT&CK: T1082 System Information Discovery, T1083 File and Directory Discovery, T1518 Software Discovery · Discovery (TA0007)
PEASS-ng(Privilege Escalation Awesome Scripts SUITE)의 Windows/Linux 변형. 호스트에 발 들인 직후 10분 안에 흥미로운 정보 수백 개를 뽑아낸다. 침투 테스트의 “두 번째 명령어"로 자주 쓰임.
1. 수집 범위 요약
| 카테고리 | 예 |
|---|---|
| OS/커널 | 버전, 패치, 아키텍처 |
| 사용자/권한 | 그룹 멤버십, SeImpersonate 같은 토큰 권한 |
| 서비스 | 잘못된 권한, Unquoted path |
| 파일 | 자격 흔적(패스워드 포함 가능한 설정 파일), SUID/SGID |
| 네트워크 | 열린 포트, 라우트, DNS |
| 스케줄 | cron, 스케줄 작업 |
| AV/EDR | 설치된 보안 제품 |
| 패치 수준 | 알려진 PrivEsc CVE 대조 |
2. LinPEAS (Linux)
2.1 설치/실행
# 대상 호스트에서
curl -L https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh -o linpeas.sh
chmod +x linpeas.sh
./linpeas.sh -a > linpeas.out
-a: all checks (평소 생략되는 느린 체크 포함).- 출력에
[+], 색깔(빨강=중요)로 자동 하이라이트.
2.2 유용한 플래그
# 네트워크 안 되는 환경 → 미리 다운받은 거 전송
./linpeas.sh -o SysI,Fin # 특정 섹션만
# 색깔 꺼서 로그에 저장할 때 (less -R로 보기 좋게)
./linpeas.sh -N > out.txt
2.3 봐야할 섹션 우선순위
- “Interesting files” — 패스워드가 들어있을 수 있는 설정/백업
- “SUID/SGID” — 잘못 설정된 바이너리
- “Cron” — 쓰기 가능한 cron 스크립트
- “Capabilities” —
cap_setuid같은 위험한 capability - “Kernel exploits” — 커널 버전 → 알려진 CVE 매핑
3. winPEAS (Windows)
3.1 .exe 변형
# PowerShell에서
.\winPEASx64.exe > winpeas.out
3.2 .bat / PowerShell 변형
# PowerShell 버전
.\winPEAS.ps1
# .bat (CMD에서)
winpeas.bat
AMSI/EDR 상황에 따라 어느 변형이 통할지 다름.
3.3 봐야할 섹션
- “Juicy files” — 자격 흔적
- “Services” — 잘못된 권한의 서비스(권한 상승 벡터)
- “User Privileges” — SeImpersonate, SeAssignPrimaryToken (Potato류 전제조건)
- “Installed Software” — 취약한 버전 식별
- “Patches not installed” — 미설치 보안 업데이트
4. 조용한 변형: Static Compiled
LinPEAS는 linpeas.sh가 bash 스크립트라 흔적이 큼. 더 조용히 가야 할 때 스크립트 몇 섹션만 실행:
./linpeas.sh -o Net,ProCronSrvcs # 네트워크 + 서비스만
winPEAS도 마찬가지로 플래그로 섹션 제한.
5. OPSEC
- 두 스크립트 모두 수천 번의 파일 읽기/명령 실행을 짧은 시간에 수행 — EDR이 “비정상적 enumeration” 룰에 쉽게 걸림.
- 바이너리 시그니처는 유명해서 EDR이 거의 다 탐지.
- 조용히 가려면 수동 체크 또는 LOLBAS만 쓰는 미니 스크립트.
6. 블루팀 신호
- 짧은 시간에
whoami /all,systeminfo,net user /domain, 수백 개 파일 읽기 등이 한 세션에서 연달아 발생. wmic,powershell -NoP -NonI패턴.- Sysmon ProcessCreate 이벤트 집계가 가장 명확한 탐지점.
참고
- peass-ng/PEASS-ng
- MITRE ATT&CK — T1082, T1083