WTS Impersonator
Lo strumento WTS Impersonator sfrutta la Named pipe RPC "\pipe\LSM_API_service" per enumerare in modo furtivo gli utenti connessi e dirottare i loro token, eludendo le tecniche tradizionali di impersonificazione dei token. Questo approccio facilita gli spostamenti laterali all'interno delle reti. L'innovazione dietro questa tecnica è attribuita a Omri Baso, il cui lavoro è accessibile su GitHub.
Funzionalità principali
Lo strumento opera attraverso una sequenza di chiamate API:
Moduli chiave e utilizzo
Enumerazione degli utenti: È possibile enumerare gli utenti locali e remoti con lo strumento, utilizzando comandi per entrambi gli scenari:
Localmente:
In remoto, specificando un indirizzo IP o un nome host:
Esecuzione di comandi: I moduli
exec
eexec-remote
richiedono un contesto di Servizio per funzionare. L'esecuzione locale richiede semplicemente l'eseguibile WTSImpersonator e un comando:Esempio di esecuzione di un comando locale:
È possibile utilizzare PsExec64.exe per ottenere un contesto di servizio:
Esecuzione di comandi remoti: Coinvolge la creazione e l'installazione di un servizio in remoto simile a PsExec.exe, consentendo l'esecuzione con le autorizzazioni appropriate.
Esempio di esecuzione remota:
Modulo di ricerca utente: Permette di individuare utenti specifici su più macchine, eseguendo codice con le loro credenziali. Questo è particolarmente utile per prendere di mira gli amministratori di dominio con diritti di amministratore locale su diversi sistemi.
Esempio di utilizzo:
Last updated