権限昇格 — ポストエクスプロイトの核心と「SYSTEM/root」の奪取

権限昇格：侵入から「完全な支配」への転換点

権限昇格（Privilege Escalation）とは、初期侵入で得た限定的な権限（www-data や一般ドメインユーザーなど）から、OS を完全に制御できる root（Linux）や SYSTEM / Administrator（Windows）へと昇格するポストエクスプロイトの最重要フェーズです。MITRE ATT&CK では TA0004 Privilege Escalation として体系化されています。

「横展開」や「LSASSメモリからの認証情報ダンプ」といった次のフェーズに進むには、ローカルマシンの最高権限が前提となります。言い換えれば、権限昇格を封じることが、侵害を「足場の確立」で止める最も効果的な防御ラインです。

Linux におけるローカル権限昇格（LPE）

Linux の権限昇格の多くは、既製のツールを展開するのではなく、システムの「設定ミス（Misconfiguration）」を突く**Living off the Land（環境寄生型）**の手口です。

1. SUID/SGID バイナリの悪用（T1548.001）

SUID（Set-User-ID）ビットが設定されたバイナリは、実行時に所有者（通常は root）の権限で動作します。正規の用途では必要な仕様ですが、このビットが不要なバイナリに設定されていた場合、対話型シェルを生成（スポーン）する踏み台になります。

2. sudoers の過剰権限（T1548.003）

/etc/sudoers で特定コマンドを NOPASSWD 許可している場合、そのコマンド自体のシェル呼び出し機能を利用して root 権限が奪われることがあります。

3. cron ジョブとPATHインジェクション（T1053.003）

root が定期実行する cron ジョブが相対パスでコマンドを呼んでいるか、スクリプトの格納ディレクトリのパーミッションが緩い場合、攻撃者は自前のバックドアスクリプトを差し込み、次の実行タイミングで root シェルを獲得します。時間差で発火するため、侵害の痕跡が残りにくいのが厄介な点です。

Windows におけるローカル権限昇格

Windows の権限昇格は、レジストリ・サービスアーキテクチャ・DLL ローディングの仕様を突きます。

1. UAC（User Account Control）バイパス（T1548.002）

ユーザーがローカルの Administrators グループに属していても、UAC によって特権トークンは通常剥奪されています。攻撃者は「オートエレベート（自動昇格）機能」を持つ正規バイナリ（fodhelper.exe など）を悪用し、UAC プロンプトを一切表示させずにフル Administrator セッションを取得します。

2. DLL ハイジャッキング（T1574.001）

Windows プログラムが DLL を読み込む際、「現在のディレクトリ → PATH 上のディレクトリ」という順番で検索します。SYSTEM 権限で動作する正規サービスのフォルダに書き込み権限がある場合、同名の悪意ある DLL を配置するだけで、次回サービス起動時に最高権限でコードが実行されます。

3. Unquoted Service Path（T1574.010）

サービスのバイナリパスにスペースが含まれているにもかかわらず、ダブルクォーテーションで囲まれていない場合（例: C:\Program Files\My App\service.exe）、Windows は C:\Program.exe を先に探して実行しようとします。途中のフォルダに書き込み権限があれば、Program.exe という名前で自作の実行ファイルを置くだけで SYSTEM 権限が得られます。

権限昇格の自動化と、EDRの監視網

スキャナーによる Enumeration（情報収集）

侵入後、レッドチームは即座に以下のような自動列挙スクリプトを展開し、設定ミスを瞬時に洗い出します。

• WinPEAS / LinPEAS（PEASS-ng）
• PowerUp（PowerSploit/Empire）
• Linux Smart Enumeration (LSE)

ブルーチームの視点

最新のEDRはシグネチャ検知に留まらず、プロセスツリーの異常な振る舞い（例：fodhelper.exe の子として cmd.exe がスポーンされる）をリアルタイムで検出・遮断します。