Abusing Tokens
Last updated
Last updated
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
如果你不知道 Windows 访问令牌是什么，请在继续之前阅读此页面：
Access Tokens也许你可以通过滥用你已经拥有的令牌来提升权限
这是任何进程持有的特权，允许对任何令牌进行模拟（但不创建），前提是可以获得其句柄。可以通过诱使 Windows 服务（DCOM）对一个漏洞执行 NTLM 认证来获取特权令牌，从而启用以 SYSTEM 权限执行进程。可以使用各种工具利用此漏洞，例如 juicy-potato、RogueWinRM（需要禁用 winrm）、SweetPotato 和 PrintSpoofer。
RoguePotato, PrintSpoofer, SharpEfsPotato, GodPotatoJuicyPotato它与 SeImpersonatePrivilege 非常相似，将使用 相同的方法 来获取特权令牌。 然后，此特权允许将主令牌分配给一个新的/挂起的进程。使用特权模拟令牌可以派生出主令牌（DuplicateTokenEx）。 使用该令牌，可以通过 'CreateProcessAsUser' 创建一个 新进程 或创建一个挂起的进程并 设置令牌（一般来说，不能修改正在运行的进程的主令牌）。
如果你启用了此令牌，可以使用 KERB_S4U_LOGON 为任何其他用户获取 模拟令牌，而无需知道凭据，向令牌添加任意组（管理员），将令牌的 完整性级别 设置为 "中等"，并将此令牌分配给 当前线程（SetThreadToken）。
此特权使系统能够授予对任何文件的所有读取访问控制（仅限读取操作）。它用于从注册表中读取本地管理员帐户的密码哈希，随后可以使用像 "psexec" 或 "wmiexec" 这样的工具与哈希一起使用（Pass-the-Hash 技术）。然而，在以下两种情况下，此技术会失败：当本地管理员帐户被禁用时，或当有政策限制本地管理员远程连接的管理权限时。 你可以通过以下方式滥用此特权：
或如在以下内容中解释的 通过备份操作员提升权限 部分：
此特权提供对任何系统文件的 写访问 权限，无论文件的访问控制列表（ACL）如何。它为提升权限打开了许多可能性，包括修改服务、执行 DLL 劫持以及通过图像文件执行选项设置 调试器 等多种技术。
SeCreateTokenPrivilege 是一种强大的权限，特别是在用户具备模拟令牌的能力时，但在缺乏 SeImpersonatePrivilege 的情况下也很有用。此能力依赖于能够模拟一个代表同一用户的令牌，并且其完整性级别不超过当前进程的完整性级别。
关键点：
在没有 SeImpersonatePrivilege 的情况下进行模拟： 可以利用 SeCreateTokenPrivilege 在特定条件下通过模拟令牌进行权限提升。
令牌模拟的条件： 成功的模拟要求目标令牌属于同一用户，并且其完整性级别小于或等于尝试模拟的进程的完整性级别。
创建和修改模拟令牌： 用户可以创建一个模拟令牌，并通过添加特权组的 SID（安全标识符）来增强它。
此特权允许加载和卸载设备驱动程序，通过创建具有特定值的注册表项 ImagePath 和 Type。由于对 HKLM（HKEY_LOCAL_MACHINE）的直接写访问受到限制，因此必须使用 HKCU（HKEY_CURRENT_USER）。然而，为了使 HKCU 对内核可识别以进行驱动程序配置，必须遵循特定路径。
此路径为 \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName，其中 <RID> 是当前用户的相对标识符。在 HKCU 中，必须创建整个路径，并设置两个值：
ImagePath，即要执行的二进制文件的路径
Type，值为 SERVICE_KERNEL_DRIVER (0x00000001)。
遵循的步骤：
由于写访问受限，访问 HKCU 而不是 HKLM。
在 HKCU 中创建路径 \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName，其中 <RID> 代表当前用户的相对标识符。
将 ImagePath 设置为二进制文件的执行路径。
将 Type 设置为 SERVICE_KERNEL_DRIVER (0x00000001)。
这与 SeRestorePrivilege 类似。其主要功能允许一个进程 假定对象的所有权，绕过通过提供 WRITE_OWNER 访问权限的明确自由裁量访问要求。该过程首先确保获得所需注册表项的所有权以进行写入，然后更改 DACL 以启用写入操作。
此权限允许调试其他进程，包括读取和写入内存。可以利用此权限采用各种内存注入策略，能够规避大多数杀毒软件和主机入侵防御解决方案。
您可以使用来自SysInternals Suite的ProcDump来捕获进程的内存。具体来说，这可以应用于本地安全授权子系统服务（LSASS**）**进程，该进程负责在用户成功登录系统后存储用户凭据。
然后，您可以在mimikatz中加载此转储以获取密码：
如果你想获得一个 NT SYSTEM shell，你可以使用：
The 显示为禁用的令牌可以被启用，您实际上可以利用_启用_和_禁用_令牌。
如果您有禁用的令牌，可以使用脚本 EnableAllTokenPrivs.ps1 来启用所有令牌：
Or the script embed in this post.
Full token privileges cheatsheet at https://github.com/gtworek/Priv2Admin, summary below will only list direct ways to exploit the privilege to obtain an admin session or read sensitive files.
| Privilege | Impact | Tool | Execution path | Remarks |
|---|---|---|---|---|
| Admin | 3rd party tool | "这将允许用户模拟令牌并使用工具如 potato.exe、rottenpotato.exe 和 juicypotato.exe 提升到 nt 系统" | Thank you Aurélien Chalot for the update. I will try to re-phrase it to something more recipe-like soon. |
| Threat | Built-in commands | 使用 | - 如果您可以读取 %WINDIR%\MEMORY.DMP，可能会更有趣
- |
| Admin | 3rd party tool | 使用 | |
| Admin | PowerShell | 复制 | Script to be found at FuzzySecurity |
| Admin | 3rd party tool | 1. 加载有缺陷的内核驱动程序，如 | 1. |
| Admin | PowerShell | 1. 启动 PowerShell/ISE，并具有 SeRestore 权限。 2. 使用 Enable-SeRestorePrivilege 启用该权限。 3. 将 utilman.exe 重命名为 utilman.old 4. 将 cmd.exe 重命名为 utilman.exe 5. 锁定控制台并按 Win+U | 攻击可能会被某些 AV 软件检测到。 替代方法依赖于使用相同权限替换存储在 "Program Files" 中的服务二进制文件 |
| Admin | Built-in commands | 1. | 攻击可能会被某些 AV 软件检测到。 替代方法依赖于使用相同权限替换存储在 "Program Files" 中的服务二进制文件。 |
| Admin | 3rd party tool | 操纵令牌以包含本地管理员权限。可能需要 SeImpersonate。 待验证。 |
Take a look to this table defining Windows tokens: https://github.com/gtworek/Priv2Admin
Take a look to this paper about privesc with tokens.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
