WTS Impersonator
Das WTS Impersonator-Tool nutzt die "\pipe\LSM_API_service" RPC Named Pipe, um heimlich angemeldete Benutzer zu enumerieren und deren Tokens zu übernehmen, wodurch traditionelle Token-Impersonation-Techniken umgangen werden. Dieser Ansatz erleichtert nahtlose laterale Bewegungen innerhalb von Netzwerken. Die Innovation hinter dieser Technik wird Omri Baso zugeschrieben, dessen Arbeit auf GitHub zugänglich ist.
Kernfunktionalität
Das Tool funktioniert durch eine Abfolge von API-Aufrufen:
Key Modules and Usage
Enumerating Users: Lokale und remote Benutzerenumeration ist mit dem Tool möglich, indem Befehle für jedes Szenario verwendet werden:
Lokal:
Remote, indem eine IP-Adresse oder ein Hostname angegeben wird:
Executing Commands: Die Module
exec
undexec-remote
benötigen einen Service-Kontext, um zu funktionieren. Die lokale Ausführung benötigt einfach die WTSImpersonator ausführbare Datei und einen Befehl:Beispiel für lokale Befehlsausführung:
PsExec64.exe kann verwendet werden, um einen Service-Kontext zu erhalten:
Remote Command Execution: Beinhaltet das Erstellen und Installieren eines Dienstes remote, ähnlich wie PsExec.exe, was die Ausführung mit den entsprechenden Berechtigungen ermöglicht.
Beispiel für remote Ausführung:
User Hunting Module: Zielt auf spezifische Benutzer über mehrere Maschinen ab und führt Code unter ihren Anmeldeinformationen aus. Dies ist besonders nützlich, um Domain-Admins mit lokalen Administratorrechten auf mehreren Systemen anzuvisieren.
Anwendungsbeispiel:
Last updated