hacktricks/windows-hardening/windows-local-privilege-escalation/privilege-escalation-abusing-tokens

Abusing Tokens

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Tokens

If you δεν ξέρετε τι είναι τα Windows Access Tokens διαβάστε αυτή τη σελίδα πριν συνεχίσετε:

{% content-ref url="../access-tokens.md" %} access-tokens.md {% endcontent-ref %}

Ίσως να μπορείτε να ανεβάσετε δικαιώματα εκμεταλλευόμενοι τα tokens που ήδη έχετε

SeImpersonatePrivilege

Αυτή είναι η άδεια που κατέχει οποιαδήποτε διαδικασία που επιτρέπει την προσωποποίηση (αλλά όχι τη δημιουργία) οποιουδήποτε token, εφόσον μπορεί να αποκτηθεί ένα handle σε αυτό. Ένα προνομιακό token μπορεί να αποκτηθεί από μια υπηρεσία Windows (DCOM) προκαλώντας την να εκτελέσει NTLM authentication κατά ενός exploit, επιτρέποντας στη συνέχεια την εκτέλεση μιας διαδικασίας με δικαιώματα SYSTEM. Αυτή η ευπάθεια μπορεί να εκμεταλλευτεί χρησιμοποιώντας διάφορα εργαλεία, όπως juicy-potato, RogueWinRM (το οποίο απαιτεί να είναι απενεργοποιημένο το winrm), SweetPotato, EfsPotato, DCOMPotato και PrintSpoofer.

{% content-ref url="../roguepotato-and-printspoofer.md" %} roguepotato-and-printspoofer.md {% endcontent-ref %}

{% content-ref url="../juicypotato.md" %} juicypotato.md {% endcontent-ref %}

SeAssignPrimaryPrivilege

Είναι πολύ παρόμοιο με το SeImpersonatePrivilege, θα χρησιμοποιήσει την ίδια μέθοδο για να αποκτήσει ένα προνομιακό token.
Στη συνέχεια, αυτή η άδεια επιτρέπει να αναθέσει ένα πρωτεύον token σε μια νέα/ανασταλμένη διαδικασία. Με το προνομιακό token προσωποποίησης μπορείτε να παράγετε ένα πρωτεύον token (DuplicateTokenEx).
Με το token, μπορείτε να δημιουργήσετε μια νέα διαδικασία με 'CreateProcessAsUser' ή να δημιουργήσετε μια διαδικασία ανασταλμένη και να ορίσετε το token (γενικά, δεν μπορείτε να τροποποιήσετε το πρωτεύον token μιας εκτελούμενης διαδικασίας).

SeTcbPrivilege

Αν έχετε ενεργοποιήσει αυτό το token μπορείτε να χρησιμοποιήσετε KERB_S4U_LOGON για να αποκτήσετε ένα token προσωποποίησης για οποιονδήποτε άλλο χρήστη χωρίς να γνωρίζετε τα διαπιστευτήρια, να προσθέσετε μια αυθαίρετη ομάδα (admins) στο token, να ορίσετε το επίπεδο ακεραιότητας του token σε "medium", και να αναθέσετε αυτό το token στο τρέχον νήμα (SetThreadToken).

SeBackupPrivilege

Το σύστημα προκαλεί να παρέχει πλήρη πρόσβαση ανάγνωσης σε οποιοδήποτε αρχείο (περιορισμένο σε λειτουργίες ανάγνωσης) μέσω αυτής της άδειας. Χρησιμοποιείται για ανάγνωση των hash κωδικών πρόσβασης των τοπικών λογαριασμών Διαχειριστή από το μητρώο, μετά από το οποίο, εργαλεία όπως το "psexec" ή το "wmiexec" μπορούν να χρησιμοποιηθούν με το hash (τεχνική Pass-the-Hash). Ωστόσο, αυτή η τεχνική αποτυγχάνει υπό δύο συνθήκες: όταν ο λογαριασμός τοπικού διαχειριστή είναι απενεργοποιημένος, ή όταν υπάρχει πολιτική που αφαιρεί τα διοικητικά δικαιώματα από τους τοπικούς διαχειριστές που συνδέονται απομακρυσμένα.
Μπορείτε να εκμεταλλευτείτε αυτή την άδεια με:

• https://github.com/Hackplayers/PsCabesha-tools/blob/master/Privesc/Acl-FullControl.ps1
• https://github.com/giuliano108/SeBackupPrivilege/tree/master/SeBackupPrivilegeCmdLets/bin/Debug
• ακολουθώντας τον IppSec στο https://www.youtube.com/watch?v=IfCysW0Od8w&t=2610&ab_channel=IppSec
• Ή όπως εξηγείται στην ενότητα ανύψωσης δικαιωμάτων με Backup Operators:

{% content-ref url="../../active-directory-methodology/privileged-groups-and-token-privileges.md" %} privileged-groups-and-token-privileges.md {% endcontent-ref %}

SeRestorePrivilege

Η άδεια για πρόσβαση εγγραφής σε οποιοδήποτε αρχείο συστήματος, ανεξαρτήτως της Λίστας Ελέγχου Πρόσβασης (ACL) του αρχείου, παρέχεται από αυτή την άδεια. Ανοίγει πολλές δυνατότητες για ανύψωση, συμπεριλαμβανομένης της δυνατότητας τροποποίησης υπηρεσιών, εκτέλεσης DLL Hijacking, και ρύθμισης debuggers μέσω των Επιλογών Εκτέλεσης Αρχείων Εικόνας μεταξύ άλλων τεχνικών.

SeCreateTokenPrivilege

Το SeCreateTokenPrivilege είναι μια ισχυρή άδεια, ιδιαίτερα χρήσιμη όταν ένας χρήστης έχει τη δυνατότητα να προσωποποιεί tokens, αλλά και στην απουσία του SeImpersonatePrivilege. Αυτή η ικανότητα εξαρτάται από την ικανότητα να προσωποποιεί ένα token που αντιπροσωπεύει τον ίδιο χρήστη και του οποίου το επίπεδο ακεραιότητας δεν υπερβαίνει αυτό της τρέχουσας διαδικασίας.

Κύρια Σημεία:

• Προσωποποίηση χωρίς SeImpersonatePrivilege: Είναι δυνατόν να εκμεταλλευτείτε το SeCreateTokenPrivilege για EoP προσωποποιώντας tokens υπό συγκεκριμένες συνθήκες.
• Συνθήκες για Προσωποποίηση Token: Η επιτυχής προσωποποίηση απαιτεί το στοχευμένο token να ανήκει στον ίδιο χρήστη και να έχει επίπεδο ακεραιότητας που είναι μικρότερο ή ίσο με το επίπεδο ακεραιότητας της διαδικασίας που προσπαθεί να προσωποποιήσει.
• Δημιουργία και Τροποποίηση Προσωποποιημένων Tokens: Οι χρήστες μπορούν να δημιουργήσουν ένα token προσωποποίησης και να το ενισχύσουν προσθέτοντας ένα SID (Αναγνωριστικό Ασφαλείας) προνομιακής ομάδας.

SeLoadDriverPrivilege

Αυτή η άδεια επιτρέπει να φορτώνει και να ξεφορτώνει οδηγούς συσκευών με τη δημιουργία μιας εγγραφής μητρώου με συγκεκριμένες τιμές για το ImagePath και Type. Δεδομένου ότι η άμεση πρόσβαση εγγραφής στο HKLM (HKEY_LOCAL_MACHINE) είναι περιορισμένη, πρέπει να χρησιμοποιηθεί το HKCU (HKEY_CURRENT_USER). Ωστόσο, για να γίνει το HKCU αναγνωρίσιμο από τον πυρήνα για τη ρύθμιση του οδηγού, πρέπει να ακολουθηθεί μια συγκεκριμένη διαδρομή.

Αυτή η διαδρομή είναι \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName, όπου <RID> είναι ο Σχετικός Αναγνωριστής του τρέχοντος χρήστη. Μέσα στο HKCU, πρέπει να δημιουργηθεί αυτή η ολόκληρη διαδρομή και να οριστούν δύο τιμές:

• ImagePath, που είναι η διαδρομή προς το δυαδικό αρχείο που θα εκτελεστεί
• Type, με τιμή SERVICE_KERNEL_DRIVER (0x00000001).

Βήματα που πρέπει να ακολουθηθούν:

1. Πρόσβαση στο HKCU αντί για το HKLM λόγω περιορισμένης πρόσβασης εγγραφής.
2. Δημιουργία της διαδρομής \Registry\User\<RID>\System\CurrentControlSet\Services\DriverName εντός του HKCU, όπου <RID> αντιπροσωπεύει τον Σχετικό Αναγνωριστή του τρέχοντος χρήστη.
3. Ορισμός του ImagePath στη διαδρομή εκτέλεσης του δυαδικού αρχείου.
4. Ανάθεση του Type ως SERVICE_KERNEL_DRIVER (0x00000001).

# Example Python code to set the registry values
import winreg as reg

# Define the path and values
path = r'Software\YourPath\System\CurrentControlSet\Services\DriverName' # Adjust 'YourPath' as needed
key = reg.OpenKey(reg.HKEY_CURRENT_USER, path, 0, reg.KEY_WRITE)
reg.SetValueEx(key, "ImagePath", 0, reg.REG_SZ, "path_to_binary")
reg.SetValueEx(key, "Type", 0, reg.REG_DWORD, 0x00000001)
reg.CloseKey(key)

Περισσότεροι τρόποι για να καταχραστεί αυτή η εξουσία στο https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/privileged-accounts-and-token-privileges#seloaddriverprivilege

SeTakeOwnershipPrivilege

Αυτό είναι παρόμοιο με το SeRestorePrivilege. Η κύρια λειτουργία του επιτρέπει σε μια διαδικασία να αναλάβει την ιδιοκτησία ενός αντικειμένου, παρακάμπτοντας την απαίτηση για ρητή διακριτική πρόσβαση μέσω της παροχής δικαιωμάτων πρόσβασης WRITE_OWNER. Η διαδικασία περιλαμβάνει πρώτα την εξασφάλιση της ιδιοκτησίας του προοριζόμενου κλειδιού μητρώου για σκοπούς εγγραφής, και στη συνέχεια την τροποποίηση του DACL για να επιτραπούν οι λειτουργίες εγγραφής.

takeown /f 'C:\some\file.txt' #Now the file is owned by you
icacls 'C:\some\file.txt' /grant <your_username>:F #Now you have full access
# Use this with files that might contain credentials such as
%WINDIR%\repair\sam
%WINDIR%\repair\system
%WINDIR%\repair\software
%WINDIR%\repair\security
%WINDIR%\system32\config\security.sav
%WINDIR%\system32\config\software.sav
%WINDIR%\system32\config\system.sav
%WINDIR%\system32\config\SecEvent.Evt
%WINDIR%\system32\config\default.sav
c:\inetpub\wwwwroot\web.config

SeDebugPrivilege

Αυτό το προνόμιο επιτρέπει την αποσφαλμάτωση άλλων διεργασιών, συμπεριλαμβανομένης της ανάγνωσης και εγγραφής στη μνήμη. Διάφορες στρατηγικές για την ένεση μνήμης, ικανές να παρακάμψουν τις περισσότερες λύσεις antivirus και πρόληψης εισβολών φιλοξενίας, μπορούν να χρησιμοποιηθούν με αυτό το προνόμιο.

Dump memory

Μπορείτε να χρησιμοποιήσετε το ProcDump από το SysInternals Suite για να καταγράψετε τη μνήμη μιας διεργασίας. Συγκεκριμένα, αυτό μπορεί να εφαρμοστεί στη διεργασία Local Security Authority Subsystem Service (LSASS), η οποία είναι υπεύθυνη για την αποθήκευση των διαπιστευτηρίων χρηστών μόλις ένας χρήστης έχει συνδεθεί επιτυχώς σε ένα σύστημα.

Μπορείτε στη συνέχεια να φορτώσετε αυτό το dump στο mimikatz για να αποκτήσετε κωδικούς πρόσβασης:

mimikatz.exe
mimikatz # log
mimikatz # sekurlsa::minidump lsass.dmp
mimikatz # sekurlsa::logonpasswords

RCE

Αν θέλεις να αποκτήσεις ένα NT SYSTEM shell μπορείς να χρησιμοποιήσεις:

• SeDebugPrivilege-Exploit (C++)
• SeDebugPrivilegePoC (C#)
• psgetsys.ps1 (Powershell Script)

# Get the PID of a process running as NT SYSTEM
import-module psgetsys.ps1; [MyProcess]::CreateProcessFromParent(<system_pid>,<command_to_execute>)

Έλεγχος δικαιωμάτων

whoami /priv

Τα tokens που εμφανίζονται ως Απενεργοποιημένα μπορούν να ενεργοποιηθούν, μπορείτε πραγματικά να εκμεταλλευτείτε τα Ενεργοποιημένα και Απενεργοποιημένα tokens.

Ενεργοποίηση Όλων των tokens

Αν έχετε tokens που είναι απενεργοποιημένα, μπορείτε να χρησιμοποιήσετε το σενάριο EnableAllTokenPrivs.ps1 για να ενεργοποιήσετε όλα τα tokens:

.\EnableAllTokenPrivs.ps1
whoami /priv

Or the script embed in this post.

Table

Full token privileges cheatsheet at https://github.com/gtworek/Priv2Admin, summary below will only list direct ways to exploit the privilege to obtain an admin session or read sensitive files.

Privilege	Impact	Tool	Execution path	Remarks
SeAssignPrimaryToken	Admin	3rd party tool	"Θα επέτρεπε σε έναν χρήστη να προσποιείται tokens και να αποκτά δικαιώματα στο nt system χρησιμοποιώντας εργαλεία όπως το potato.exe, rottenpotato.exe και juicypotato.exe"	Ευχαριστώ Aurélien Chalot για την ενημέρωση. Θα προσπαθήσω να το ξαναδιατυπώσω σε κάτι πιο συνταγές σύντομα.
SeBackup	Threat	Built-in commands	Διαβάστε ευαίσθητα αρχεία με robocopy /b	- Μπορεί να είναι πιο ενδιαφέρον αν μπορείτε να διαβάσετε το %WINDIR%\MEMORY.DMP - SeBackupPrivilege (και robocopy) δεν είναι χρήσιμο όταν πρόκειται για ανοιχτά αρχεία. - Το Robocopy απαιτεί τόσο το SeBackup όσο και το SeRestore για να λειτουργήσει με την παράμετρο /b.
SeCreateToken	Admin	3rd party tool	Δημιουργήστε αυθαίρετο token συμπεριλαμβανομένων των δικαιωμάτων τοπικού διαχειριστή με NtCreateToken.
SeDebug	Admin	PowerShell	Διπλασιάστε το token του lsass.exe.	Το script μπορεί να βρεθεί στο FuzzySecurity
SeLoadDriver	Admin	3rd party tool	1. Φορτώστε ελαττωματικό kernel driver όπως το szkg64.sys 2. Εκμεταλλευτείτε την ευπάθεια του driver Εναλλακτικά, το δικαίωμα μπορεί να χρησιμοποιηθεί για να ξεφορτωθείτε drivers που σχετίζονται με την ασφάλεια με την εντολή ftlMC. π.χ.: fltMC sysmondrv	1. Η ευπάθεια szkg64 αναφέρεται ως CVE-2018-15732 2. Ο κώδικας εκμετάλλευσης szkg64 δημιουργήθηκε από Parvez Anwar
SeRestore	Admin	PowerShell	1. Εκκινήστε το PowerShell/ISE με το δικαίωμα SeRestore παρόν. 2. Ενεργοποιήστε το δικαίωμα με Enable-SeRestorePrivilege. 3. Μετονομάστε το utilman.exe σε utilman.old 4. Μετονομάστε το cmd.exe σε utilman.exe 5. Κλειδώστε την κονσόλα και πατήστε Win+U	Η επίθεση μπορεί να ανιχνευθεί από κάποιο λογισμικό AV. Η εναλλακτική μέθοδος βασίζεται στην αντικατάσταση των δυαδικών αρχείων υπηρεσίας που αποθηκεύονται στα "Program Files" χρησιμοποιώντας το ίδιο δικαίωμα.
SeTakeOwnership	Admin	Built-in commands	1. takeown.exe /f "%windir%\system32" 2. icalcs.exe "%windir%\system32" /grant "%username%":F 3. Μετονομάστε το cmd.exe σε utilman.exe 4. Κλειδώστε την κονσόλα και πατήστε Win+U	Η επίθεση μπορεί να ανιχνευθεί από κάποιο λογισμικό AV. Η εναλλακτική μέθοδος βασίζεται στην αντικατάσταση των δυαδικών αρχείων υπηρεσίας που αποθηκεύονται στα "Program Files" χρησιμοποιώντας το ίδιο δικαίωμα.
SeTcb	Admin	3rd party tool	Manipulate tokens to have local admin rights included. May require SeImpersonate. To be verified.

Reference

• Take a look to this table defining Windows tokens: https://github.com/gtworek/Priv2Admin
• Take a look to this paper about privesc with tokens.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}