WTS Impersonator
Lo strumento WTS Impersonator sfrutta il "\pipe\LSM_API_service" RPC Named pipe per enumerare furtivamente gli utenti connessi e dirottare i loro token, eludendo le tecniche tradizionali di impersonificazione dei token. Questo approccio facilita movimenti laterali senza soluzione di continuità all'interno delle reti. L'innovazione dietro questa tecnica è attribuita a Omri Baso, il cui lavoro è accessibile su GitHub.
Funzionalità Principali
Lo strumento opera attraverso una sequenza di chiamate API:
Moduli Chiave e Utilizzo
Enumerazione Utenti: L'enumerazione degli utenti locali e remoti è possibile con lo strumento, utilizzando comandi per ciascun scenario:
Localmente:
Remotamente, specificando un indirizzo IP o un nome host:
Esecuzione di Comandi: I moduli
exec
eexec-remote
richiedono un contesto di Servizio per funzionare. L'esecuzione locale richiede semplicemente l'eseguibile WTSImpersonator e un comando:Esempio per l'esecuzione di comandi locali:
PsExec64.exe può essere utilizzato per ottenere un contesto di servizio:
Esecuzione Remota di Comandi: Comporta la creazione e l'installazione di un servizio a distanza simile a PsExec.exe, consentendo l'esecuzione con le autorizzazioni appropriate.
Esempio di esecuzione remota:
Modulo di Caccia agli Utenti: Mira a utenti specifici su più macchine, eseguendo codice sotto le loro credenziali. Questo è particolarmente utile per mirare agli Amministratori di Dominio con diritti di amministratore locale su diversi sistemi.
Esempio di utilizzo:
Last updated