hacktricks/windows-hardening/stealing-credentials/WTS-Impersonator.md

AWS hackleme becerilerini sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamınızı görmek veya HackTricks'i PDF olarak indirmek için ABONELİK PLANLARI'na göz atın!
• Resmi PEASS & HackTricks ürünlerini edinin
• PEASS Ailesi'ni keşfedin, özel NFT'lerimiz koleksiyonumuz
• 💬 Discord grubuna veya telegram grubuna katılın veya Twitter 🐦 @carlospolopm'ı takip edin.
• Hacking hilelerinizi paylaşarak PR göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.

WTS Impersonator aracı, geleneksel Token İmzalama tekniklerini atlayarak, gizlice oturum açmış kullanıcıları sıralamak ve tokenlarını ele geçirmek için "\pipe\LSM_API_service" RPC Adlandırılmış boruyu kullanır. Bu yaklaşım, ağlar içinde sorunsuz yatay hareketleri kolaylaştırır. Bu teknikteki yenilik, Omri Baso'ya aittir ve çalışması GitHub üzerinden erişilebilir.

Temel İşlevsellik

Araç, bir dizi API çağrısı aracılığıyla çalışır:

WTSEnumerateSessionsA → WTSQuerySessionInformationA → WTSQueryUserToken → CreateProcessAsUserW

Ana Modüller ve Kullanımı

• Kullanıcıları Sıralama: Araçla yerel ve uzaktaki kullanıcıları sıralamak mümkündür. Her iki senaryo için de aşağıdaki komutlar kullanılır:
• Yerel olarak:

.\WTSImpersonator.exe -m enum

• Uzaktan, IP adresi veya ana bilgisayar adı belirterek:

.\WTSImpersonator.exe -m enum -s 192.168.40.131

• Komutları Yürütme: exec ve exec-remote modülleri işlev görmek için bir Hizmet bağlamı gerektirir. Yerel yürütme için sadece WTSImpersonator yürütülebilir dosyası ve bir komut gereklidir:
• Yerel komut yürütme örneği:

.\WTSImpersonator.exe -m exec -s 3 -c C:\Windows\System32\cmd.exe

• Bir hizmet bağlamı elde etmek için PsExec64.exe kullanılabilir:

.\PsExec64.exe -accepteula -s cmd.exe

• Uzaktan Komut Yürütme: Uygun izinlerle yürütme yapabilen bir PsExec.exe gibi uzaktan bir hizmet oluşturup yüklemeyi içerir.
• Uzaktan yürütme örneği:

.\WTSImpersonator.exe -m exec-remote -s 192.168.40.129 -c .\SimpleReverseShellExample.exe -sp .\WTSService.exe -id 2

• Kullanıcı Avı Modülü: Birden fazla makinede belirli kullanıcıları hedef alarak kimlik bilgileriyle kod yürütme yapar. Bu, özellikle birkaç sistemde yerel yönetici haklarına sahip olan Etki Alanı Yöneticilerini hedeflemek için kullanışlıdır.
• Kullanım örneği:

.\WTSImpersonator.exe -m user-hunter -uh DOMAIN/USER -ipl .\IPsList.txt -c .\ExeToExecute.exe -sp .\WTServiceBinary.exe

AWS hacklemeyi sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamınızı yapmak veya HackTricks'i PDF olarak indirmek için ABONELİK PLANLARINI kontrol edin!
• Resmi PEASS & HackTricks ürünlerini edinin
• Özel NFT'lerden oluşan koleksiyonumuz The PEASS Family'yi keşfedin
• 💬 Discord grubuna veya telegram grubuna katılın veya bizi Twitter'da 🐦 @carlospolopm takip edin.
• Hacking hilelerinizi paylaşarak HackTricks ve HackTricks Cloud github depolarına PR göndererek katkıda bulunun.