WTS Impersonator
Το εργαλείο WTS Impersonator εκμεταλλεύεται τον "\pipe\LSM_API_service" RPC Named pipe για να καταγράψει κρυφά τους συνδεδεμένους χρήστες και να κλέψει τα tokens τους, παρακάμπτοντας τις παραδοσιακές τεχνικές Token Impersonation. Αυτή η προσέγγιση διευκολύνει τις ομαλές πλευρικές κινήσεις εντός των δικτύων. Η καινοτομία πίσω από αυτή την τεχνική αποδίδεται στον Omri Baso, του οποίου το έργο είναι προσβάσιμο στο GitHub.
Κύρια Λειτουργικότητα
Το εργαλείο λειτουργεί μέσω μιας ακολουθίας κλήσεων API:
Key Modules and Usage
Αναγνώριση Χρηστών: Η τοπική και απομακρυσμένη αναγνώριση χρηστών είναι δυνατή με το εργαλείο, χρησιμοποιώντας εντολές για κάθε σενάριο:
Τοπικά:
Απομακρυσμένα, καθορίζοντας μια διεύθυνση IP ή όνομα υπολογιστή:
Εκτέλεση Εντολών: Τα modules
execκαιexec-remoteαπαιτούν ένα Service context για να λειτουργήσουν. Η τοπική εκτέλεση χρειάζεται απλώς το εκτελέσιμο WTSImpersonator και μια εντολή:Παράδειγμα για τοπική εκτέλεση εντολής:
Το PsExec64.exe μπορεί να χρησιμοποιηθεί για να αποκτήσει ένα service context:
Απομακρυσμένη Εκτέλεση Εντολών: Περιλαμβάνει τη δημιουργία και εγκατάσταση μιας υπηρεσίας απομακρυσμένα, παρόμοια με το PsExec.exe, επιτρέποντας την εκτέλεση με κατάλληλες άδειες.
Παράδειγμα απομακρυσμένης εκτέλεσης:
Module Αναζήτησης Χρηστών: Στοχεύει συγκεκριμένους χρήστες σε πολλές μηχανές, εκτελώντας κώδικα με τα διαπιστευτήριά τους. Αυτό είναι ιδιαίτερα χρήσιμο για την στόχευση Domain Admins με τοπικά δικαιώματα διαχειριστή σε αρκετά συστήματα.
Παράδειγμα χρήσης:
Last updated