搜索

[12892] 2018-07-01_如何使用Tokenvator和WindowsTokens实现提权

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-07-01_如何使用Tokenvator和WindowsTokens实现提权 如 何 使 用 T o k e n v a t o r 和 W i n d o w s   T o k e n s 实 现 提 权 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 7 - 0 1 今 天 给 大 家 介 绍 的 是 一 款 名 叫 今 天 给 大 家 介 绍 的 是 一 款 名 叫 T o k e n v a t o r 的 工 具 ， 该 工 具 采 用 的 工 具 ， 该 工 具 采 用 . N E T 开 发 ， 可 用 于 在 开 发 ， 可 用 于 在 W i n d o w s 系 统 中 提 权 。 系 统 中 提 权 。 工 具 下 载 工 具 下 载 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / 0 x b a d j u j u / T o k e n v a t o r 基 本 使 用 基 本 使 用 T o k e n v a t o r 可 以 直 接 在 交 互 式 终 端 中 运 行 ， 具 体 的 执 行 命 令 能 够 以 命 令 行 参 数 的 形 式 提 供 。 在 交 互 模 式 下 ， 可 以 用 t a b 键 补 全 命 令 ， 或 双 击 t a b 键 获 取 帮 助 信 息 。
下 面 大 部 分 截 图 显 示 的 是 在 交 互 模 式 下 的 命 令 运 行 情 况 ： S t e a l _ T o k e n 从 最 基 本 的 功 能 来 说 ， T o k e n v a t o r 可 以 用 来 访 问 并 修 改 W i n d o w s 认 证 令 牌 ， 为 了 获 取 到 特 定 进 程 的 令 牌 ， 我 们 需 要 结 合 目 标 进 程 的 P I D 来 运 行 S t e a l _ T o k e n 命 令 。
或 者 我 们 也 可 以 添 加 额 外 的 命 令 选 项 来 使 用 新 的 访 问 令 牌 。 G e t S y s t e m 一 般 来 说 ， 我 们 经 常 需 要 窃 取 的 就 是 N T   A U T H O R I T Y S Y S T E M 账 号 ， 而 G e t S y s t e m 命 令 可 以 帮 助 我 们 自 动 搜 索 并 访 问 S Y S T E M 令 牌 。 它 的 使 用 语 句 跟 S t e a l _ T o k e n 的 类 似 ：
在 某 些 情 况 下 ， 如 果 没 有 提 升 到 S Y S T E M 权 限 的 话 ， 我 们 可 能 无 法 直 接 访 问 到 特 定 进 程 的 令 牌 ， 比 如 说 N T S E R V I C E 账 号 （ 本 地 S Q L 服 务 进 程 ） 。
G e t T r u s t e d I n s t a l l e r 还 有 一 种 常 见 情 况 ， 就 是 S Y S T E M 3 2 目 录 或 部 分 注 册 表 内 容 属 于 T R U S T E D I N S T A L L E R 组 ， 为 了 修 改 这 些 位 置 的 数 据 ， 我 们 要 么 拿 到 数 据 的 拥 有 权 ， 要 么 拿 到 T R U S T E D I N S T A L L E R 组 成 员 的 访 问 令 牌 。 跟 G e t S y s t e m 类 似 ， G e t T r u s t e d I n s t a l l e r 也 是 一 个 S t e a l _ T o k e n 的 封 装 其 ， 它 可 以 开 启 T r u s t e d I n s t a l l e r 服 务 并 获 取 到 相 应 的 令 牌 。 L i s t _ P r i v i l e g e s 和 和 S e t _ P r i v i l e g e 有 的 时 候 ， 我 们 的 进 程 不 一 定 拥 有 所 要 完 成 任 务 必 备 的 权 限 。 比 如 说 ， 为 了 访 问 一 个 当 前 用 户 无 法 访 问 的 进 程 ， 我 们 就 需 要 S e D e b u g P r i v i l e g e   的 帮 助 了 。 下 面 显 示 的 是 在 一 个 高 度 完 整 的 进 程 中 对 令 牌 的 切 分 ( U A C   E l e v a t e d   – T o k e n E l e v a t i o n T y p e F u l l ) 。
接 下 来 ， 我 们 尝 试 以 管 理 员 身 份 来 运 行 n o t e p a d . e x e ， 并 查 看 其 访 问 令 牌 ： 测 试 完 n o t e p a d . e x e 的 令 牌 之 后 ， 我 们 可 以 尝 试 增 加 S e L o a d D r i v e r P r i v i l e g e 来 看 看 会 发 生 什 么 。 注 意 ： 权 限 名 称 是 大 小 写 敏 感 的 。
很 明 显 ， n o t e p a d . e x e 可 以 加 载 一 个 驱 动 器 了 ， 而 且 能 做 的 还 有 更 多 ， 我 们 之 后 还 会 增 加 权 限 移 除 的 功 能 ， 敬 请 期 待 。 U A C 绕 过 绕 过 实 现 U A C 绕 过 的 方 法 有 很 多 种 ， 但 最 有 趣 的 一 种 就 是 修 改 令 牌 了 。 F u z z y S e c u r i t y 在 利 用 W i n d o w s 令 牌 实 现 U A C 绕 过 方 面 做 过 很 多 研 究 ， 感 兴 趣 的 同 学 可 以 查 看 其 G i t H u b 代 码 库 【 传 送 门 】 ， T o k e n v a t o r 也 包 含 了 F u z z y S e c u r i t y 所 实 现 的 技 术 。 在 下 面 的 测 试 中 ， 我 们 位 提 权 的 令 牌 可 以 用 来 访 问 当 前 用 户 拥 有 的 特 权 进 程 ， 并 生 成 特 权 S h e l l 。
这 种 方 法 以 后 很 可 能 也 不 会 被 修 复 ， 因 为 这 更 像 是 一 种 功 能 。 查 找 用 户 进 程 查 找 用 户 进 程 首 先 ， 我 们 需 要 查 看 系 统 注 册 的 会 话 信 息 ： 下 面 是 L i s t _ P r o c e s s e s 命 令 所 实 现 的 东 西 ， 即 获 取 用 户 进 程 的 概 览 ： L i s t _ P r o c e s s e s 利 用 的 是 主 机 的 原 生 A P I ， 在 列 举 进 程 和 用 户 方 面 速 度 非 常 快 。 由 于 在 某 些 情 况 下 如 果 没 有 实 现 提 权 的 话 ， 某 些 功 能 还 是 无 法 正 常 运 行 的 ， 因 此 L i s t _ P r o c e s s e s _ W M I 便 应 运 而 生 。 很 明 显 ， 它 的 功 能 是 通 过 W M I 实 现 的 ， 所 以 它 的 速 度 肯 定 没 有 L i s t _ P r o c e s s e s 快 ， 但 是 它 可 以 在 非 提 权 场 景 下 正 常 运 行 。
我 们 还 可 以 直 接 列 举 出 特 定 用 户 场 景 下 所 有 运 行 的 进 程 信 息 ： 跟 L i s t _ P r o c e s s e s 机 制 类 似 ， 它 也 能 够 在 非 特 权 场 景 下 通 过 W M I 完 成 相 同 的 工 作 ： 总 结 总 结 这 款 工 具 是 我 跟 N e t S P I 团 队 共 同 开 发 的 ， 希 望 能 给 大 家 提 供 帮 助 ， 如 果 大 家 在 使 用 过 程 中 发 现 了 问 题 的 话 ， 可 以 在 G i t H u b 上 留 言 。 *   参 考 来 源 ： n e t s p i ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理