Abusing Tokens
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Se non sai cosa sono i Windows Access Tokens leggi questa pagina prima di continuare:
Forse potresti essere in grado di elevare i privilegi abusando dei token che hai già
Questo è un privilegio detenuto da qualsiasi processo che consente l'impersonificazione (ma non la creazione) di qualsiasi token, a condizione che si possa ottenere un handle. Un token privilegiato può essere acquisito da un servizio Windows (DCOM) inducendolo a eseguire l'autenticazione NTLM contro un exploit, abilitando successivamente l'esecuzione di un processo con privilegi di SYSTEM. Questa vulnerabilità può essere sfruttata utilizzando vari strumenti, come juicy-potato, RogueWinRM (che richiede che winrm sia disabilitato), SweetPotato e PrintSpoofer.
È molto simile a SeImpersonatePrivilege, utilizzerà il stesso metodo per ottenere un token privilegiato. Poi, questo privilegio consente di assegnare un token primario a un nuovo processo/sospeso. Con il token di impersonificazione privilegiato puoi derivare un token primario (DuplicateTokenEx). Con il token, puoi creare un nuovo processo con 'CreateProcessAsUser' o creare un processo sospeso e impostare il token (in generale, non puoi modificare il token primario di un processo in esecuzione).
Se hai abilitato questo token puoi utilizzare KERB_S4U_LOGON per ottenere un token di impersonificazione per qualsiasi altro utente senza conoscere le credenziali, aggiungere un gruppo arbitrario (amministratori) al token, impostare il livello di integrità del token su "medio" e assegnare questo token al thread corrente (SetThreadToken).
Il sistema è indotto a concedere a tutti l'accesso in lettura a qualsiasi file (limitato alle operazioni di lettura) da questo privilegio. Viene utilizzato per leggere gli hash delle password degli account Administrator locali dal registro, dopo di che, strumenti come "psexec" o "wmiexec" possono essere utilizzati con l'hash (tecnica Pass-the-Hash). Tuttavia, questa tecnica fallisce in due condizioni: quando l'account Local Administrator è disabilitato, o quando è in atto una politica che rimuove i diritti amministrativi dagli Amministratori Locali che si connettono in remoto. Puoi abusare di questo privilegio con:
seguendo IppSec in https://www.youtube.com/watch?v=IfCysW0Od8w&t=2610&ab_channel=IppSec
O come spiegato nella sezione elevare i privilegi con gli Operatori di Backup di:
Il permesso per l'accesso in scrittura a qualsiasi file di sistema, indipendentemente dalla Access Control List (ACL) del file, è fornito da questo privilegio. Apre numerose possibilità di elevazione, inclusa la capacità di modificare i servizi, eseguire DLL Hijacking e impostare debugger tramite le Opzioni di Esecuzione del File Immagine tra varie altre tecniche.
SeCreateTokenPrivilege è un permesso potente, particolarmente utile quando un utente possiede la capacità di impersonare token, ma anche in assenza di SeImpersonatePrivilege. Questa capacità si basa sulla possibilità di impersonare un token che rappresenta lo stesso utente e il cui livello di integrità non supera quello del processo corrente.
Punti Chiave:
Impersonificazione senza SeImpersonatePrivilege: È possibile sfruttare SeCreateTokenPrivilege per EoP impersonando token in specifiche condizioni.
Condizioni per l'Impersonificazione del Token: L'impersonificazione riuscita richiede che il token target appartenga allo stesso utente e abbia un livello di integrità che è minore o uguale al livello di integrità del processo che tenta l'impersonificazione.
Creazione e Modifica di Token di Impersonificazione: Gli utenti possono creare un token di impersonificazione e migliorarlo aggiungendo un SID (Identificatore di Sicurezza) di un gruppo privilegiato.
Questo privilegio consente di caricare e scaricare driver di dispositivo con la creazione di una voce di registro con valori specifici per ImagePath e Type. Poiché l'accesso in scrittura diretto a HKLM (HKEY_LOCAL_MACHINE) è limitato, deve essere utilizzato HKCU (HKEY_CURRENT_USER). Tuttavia, per rendere HKCU riconoscibile dal kernel per la configurazione del driver, deve essere seguita una specifica strada.
Questa strada è \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName, dove <RID> è l'Identificatore Relativo dell'utente corrente. All'interno di HKCU, deve essere creata l'intera strada, e devono essere impostati due valori:
ImagePath, che è il percorso del binario da eseguire
Type, con un valore di SERVICE_KERNEL_DRIVER (0x00000001).
Passi da Seguire:
Accedi a HKCU invece di HKLM a causa dell'accesso in scrittura limitato.
Crea il percorso \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName all'interno di HKCU, dove <RID> rappresenta l'Identificatore Relativo dell'utente corrente.
Imposta ImagePath sul percorso di esecuzione del binario.
Assegna Type come SERVICE_KERNEL_DRIVER (0x00000001).
More ways to abuse this privilege in https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges#seloaddriverprivilege
Questo è simile a SeRestorePrivilege. La sua funzione principale consente a un processo di assumere la proprietà di un oggetto, eludendo il requisito di accesso discrezionale esplicito attraverso la fornitura di diritti di accesso WRITE_OWNER. Il processo prevede prima di assicurarsi la proprietà della chiave di registro prevista per scopi di scrittura, quindi di modificare il DACL per abilitare le operazioni di scrittura.
Questo privilegio consente di debuggare altri processi, inclusa la lettura e scrittura nella memoria. Possono essere impiegate varie strategie per l'iniezione di memoria, capaci di eludere la maggior parte delle soluzioni antivirus e di prevenzione delle intrusioni host, con questo privilegio.
Puoi utilizzare ProcDump dalla SysInternals Suite per catturare la memoria di un processo. In particolare, questo può applicarsi al processo Local Security Authority Subsystem Service (LSASS), che è responsabile della memorizzazione delle credenziali utente una volta che un utente ha effettuato l'accesso con successo a un sistema.
Puoi quindi caricare questo dump in mimikatz per ottenere le password:
Se vuoi ottenere una shell NT SYSTEM puoi usare:
I token che appaiono come Disabilitati possono essere abilitati, puoi effettivamente abusare dei token Abilitati e Disabilitati.
Se hai token disabilitati, puoi usare lo script EnableAllTokenPrivs.ps1 per abilitare tutti i token:
Or the script embed in this post.
Full token privileges cheatsheet at https://github.com/gtworek/Priv2Admin, summary below will only list direct ways to exploit the privilege to obtain an admin session or read sensitive files.
SeAssignPrimaryToken
Admin
3rd party tool
"Consentirebbe a un utente di impersonare i token e di ottenere privilegi di sistema nt utilizzando strumenti come potato.exe, rottenpotato.exe e juicypotato.exe"
SeBackup
Threat
Built-in commands
Leggi file sensibili con robocopy /b
- Potrebbe essere più interessante se puoi leggere %WINDIR%\MEMORY.DMP
- SeBackupPrivilege (e robocopy) non è utile quando si tratta di file aperti.
- Robocopy richiede sia SeBackup che SeRestore per funzionare con il parametro /b.
SeCreateToken
Admin
3rd party tool
Crea un token arbitrario incluso i diritti di amministratore locale con NtCreateToken.
SeDebug
Admin
PowerShell
Duplica il token di lsass.exe.
SeLoadDriver
Admin
3rd party tool
1. Carica un driver del kernel difettoso come szkg64.sys
2. Sfrutta la vulnerabilità del driver
In alternativa, il privilegio può essere utilizzato per scaricare driver relativi alla sicurezza con il comando incorporato ftlMC. i.e.: fltMC sysmondrv
SeRestore
Admin
PowerShell
L'attacco potrebbe essere rilevato da alcuni software antivirus.
Il metodo alternativo si basa sulla sostituzione dei file binari di servizio memorizzati in "Program Files" utilizzando lo stesso privilegio
SeTakeOwnership
Admin
Built-in commands
1. takeown.exe /f "%windir%\system32"
2. icalcs.exe "%windir%\system32" /grant "%username%":F
3. Rinomina cmd.exe in utilman.exe
4. Blocca la console e premi Win+U
L'attacco potrebbe essere rilevato da alcuni software antivirus.
Il metodo alternativo si basa sulla sostituzione dei file binari di servizio memorizzati in "Program Files" utilizzando lo stesso privilegio.
SeTcb
Admin
3rd party tool
Manipola i token per avere diritti di amministratore locale inclusi. Potrebbe richiedere SeImpersonate.
Da verificare.
Take a look to this table defining Windows tokens: https://github.com/gtworek/Priv2Admin
Take a look to this paper about privesc with tokens.
Thank you for the update. I will try to re-phrase it to something more recipe-like soon.
Script to be found at
1. La vulnerabilità szkg64 è elencata come
2. Il szkg64 è stato creato da
1. Avvia PowerShell/ISE con il privilegio SeRestore presente. 2. Abilita il privilegio con ). 3. Rinomina utilman.exe in utilman.old 4. Rinomina cmd.exe in utilman.exe 5. Blocca la console e premi Win+U
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
