WTS Impersonator
Narzędzie WTS Impersonator wykorzystuje RPC Named pipe "\pipe\LSM_API_service" do cichego enumerowania zalogowanych użytkowników i przejmowania ich tokenów, omijając tradycyjne techniki impersonacji tokenów. Takie podejście ułatwia płynne ruchy lateralne w sieciach. Innowacja stojąca za tą techniką jest przypisywana Omriemu Baso, którego prace są dostępne na GitHub.
Kluczowa funkcjonalność
Narzędzie działa poprzez sekwencję wywołań API:
Kluczowe moduły i użycie
Enumeracja użytkowników: Możliwa jest lokalna i zdalna enumeracja użytkowników za pomocą narzędzia, używając poleceń dla każdego scenariusza:
Lokalnie:
Zdalnie, określając adres IP lub nazwę hosta:
Wykonywanie poleceń: Moduły
exec
iexec-remote
wymagają kontekstu Usługi do działania. Lokalna egzekucja wymaga jedynie pliku wykonywalnego WTSImpersonator i polecenia:Przykład lokalnej egzekucji polecenia:
PsExec64.exe można użyć do uzyskania kontekstu usługi:
Zdalna egzekucja poleceń: Polega na tworzeniu i instalowaniu usługi zdalnie, podobnie jak PsExec.exe, co pozwala na wykonanie z odpowiednimi uprawnieniami.
Przykład zdalnej egzekucji:
Moduł polowania na użytkowników: Celuje w konkretnych użytkowników na wielu maszynach, wykonując kod pod ich poświadczeniami. Jest to szczególnie przydatne w celu atakowania administratorów domeny z lokalnymi prawami administratora na kilku systemach.
Przykład użycia:
Last updated