Token Universe

Token Universe es una herramienta avanzada para experimentar e investigar los mecanismos de seguridad de Windows. Expone una interfaz de usuario para crear, visualizar, suplantar y modificar tokens de acceso, generar procesos, gestionar la Autoridad de Seguridad Local, verificar el acceso disponible y modificar la seguridad de muchos tipos de objetos, y mucho más. El programa puede funcionar y (al menos parcialmente) proporcionar una funcionalidad valiosa bajo un amplio rango de privilegios, desde la sandbox LPAC AppContainer hasta SYSTEM con SeTcbPrivilege y SeCreateTokenPrivilege.

Descargas

La herramienta es compatible con Windows 7 y superior. Consulte la página de lanzamientos para binarios precompilados.

Si encuentra errores y sabe cómo reproducirlos, no dude en abrir incidencias. Además, puede descargar los símbolos de depuración (TokenUniverse.dbg) desde la página de lanzamientos y colocarlos en la misma carpeta que TokenUniverse.exe, lo que permite al programa mostrar trazas de pila en excepciones no controladas.

Para obtener instrucciones sobre cómo compilar el proyecto, consulte la sección más abajo.

Características

Visualización y Ajuste de Tokens

Apertura y Creación de Tokens

Ejemplo: Inicio de sesión

Ejemplo: Creación

Generación de Procesos

Verificación de Acceso

Edición de Seguridad

Otros

Lista de características

Hay muchas características ya implementadas, pero también muchas por venir. Aquí está la visión general de ambas:

Funcionalidad relacionada con tokens

Obtención de tokens

• Abrir tokens de procesos/hilos
• Abrir todos los tokens accesibles de procesos/hilos
• Abrir tokens mediante suplantación directa
• Consultar token de sesión de terminal
• Iniciar sesión de usuarios con credenciales
• Iniciar sesión de usuarios sin credenciales (inicio de sesión S4U)
• Iniciar sesión en cuentas virtuales
• Agregar membresía de grupo arbitraria al iniciar sesión de usuarios
• Duplicar tokens
• Duplicar identificadores
• Buscar identificadores abiertos
• Abrir tokens vinculados
• Crear tokens restringidos
• Crear tokens restringidos mediante API Safer
• Crear tokens LowBox (AppContainer)

Visualización y edición

• Grupos (habilitar/deshabilitar)
• Privilegios (habilitar/deshabilitar/eliminar)
• ID de sesión
• Nivel de integridad (reducir/aumentar)
• UIAccess, política obligatoria
• Virtualización (habilitar/deshabilitar y permitir/rechazar)
• Propietario y grupo principal
• Sesión de inicio de sesión de origen
• DACL predeterminada
• Descriptor de seguridad
• Atributos de seguridad
• Anulaciones de auditoría
• Indicadores de identificador (heredar, proteger)
• Información del SID
• Información de privilegios

Solo visualización

• Usuario, SIDs restrictivos
• Estadísticas, origen, indicadores
• Indicadores extendidos (TOKEN_*)
• SID de contenedor de aplicaciones
• Información detallada de sesión de terminal
• Tipo de elevación
• Información de la sesión de inicio de sesión
• Información de identidad del paquete
• Nivel de confianza
• Capacidades
• Reclamaciones
• Política de AppModel
• Información de objeto e identificador (acceso, atributos, referencias)
• Creador de objeto (PID)
• Lista de procesos que tienen identificadores a este token
• Fechas de creación y última modificación

Operaciones

• Suplantación
• Suplantación segura
• Suplantación directa
• Asignar tokens primarios
• Enviar identificadores a otro proceso
• Generar procesos con tokens
• Compartir con otra instancia de TokenUniverse
• Comparar tokens
• Vincular sesiones de inicio de sesión para crear tokens compatibles con UAC

AppContainers y Paquetes

• Ver información de AppContainer
• Listar perfiles de AppContainer por usuario
• Listar AppContainers secundarios
• Crear/eliminar AppContainers
• Ver información del paquete
• Listar paquetes

Autoridad de Seguridad Local

• Configuración de auditoría global
• Configuración de auditoría por usuario
• Asignación de privilegios
• Asignación de derechos de inicio de sesión
• Creación de cuentas virtuales
• Árbol de SID
• Visualización/edición de seguridad
• Enumerar cuentas con derecho/privilegio
• Fuente de derechos en el token
• Cuotas

Administrador de Cuentas de Seguridad

• Información de dominio
• Información de grupo
• Información de alias
• Información de usuario
• Enumerar grupos/alias/usuarios del dominio
• Enumerar miembros de grupo
• Enumerar miembros de alias
• Gestionar miembros de grupo
• Gestionar miembros de alias
• Crear grupos
• Crear alias
• Crear usuarios
• Árbol de objetos SAM
• Visualización/edición de seguridad

Creación de procesos

Métodos

• CreateProcessAsUser
• CreateProcessWithToken
• CreateProcessWithLogon (credenciales)
• CreateProcess mediante inyección de código (sin token)
• RtlCreateUserProcess
• RtlCreateUserProcessEx
• NtCreateUserProcess
• NtCreateProcessEx
• ShellExecuteEx (sin token)
• ShellExecute mediante IShellDispatch2 (sin token)
• WdcRunTaskAsInteractiveUser (sin token)
• WMI
• IDesktopAppXActivator (empaquetado)

Parámetros

• Directorio actual
• Escritorio
• Modo de visualización de la ventana
• Indicadores (heredar identificadores, crear suspendido, separarse del trabajo, ...)
• Forzar separación del trabajo
• Variables de entorno
• Anulación de proceso padre
• Políticas de mitigación
• Política de proceso hijo
• Protección de proceso (PPL/Full/etc.)
• Registro SxS personalizado
• Asignación de trabajo
• Ejecutar como invocador/ignorar elevación
• SID de AppContainer
• Capacidades
• Descriptor de seguridad

Lista de procesos e hilos

• Jerarquía
• Iconos
• Listado de procesos desde integridad baja y AppContainer
• Soporte para suspender/reanudar
• Columnas personalizables
• Resaltado
• Visualización/edición de seguridad

Análisis de Superficie de Ataque

• Verificar acceso a objetos del espacio de nombres NT
• Sugerencias de nombres de objetos del espacio de nombres
• Verificar acceso a procesos/hilos/tokens
• Verificar acceso a cuentas LSA y SAM
• Verificar acceso a estaciones de ventanas y escritorios
• Verificar acceso a servicios y SCM
• Verificar acceso a recursos compartidos de archivos
• Verificar acceso a transacciones del kernel
• Verificar acceso a objetos en espacios de nombres privados
• Visualización/edición de descriptores de seguridad
• Enumerar recursos accesibles

Otros

• Reiniciar como administrador
• Reiniciar como SYSTEM
• Reiniciar como SYSTEM con SeCreateToken
• Columnas personalizables
• Configuración
• Compartir configuración entre usuarios
• Iconos de hash gráficos
• Detección automática de identificadores heredados
• Sugerencias de SID
• Información detallada de estado de error
• Modo DLL

Compilación

Para compilar la herramienta, puede usar la Edición Comunitaria gratuita de Embarcadero Delphi. Después de instalarla, los pasos son los siguientes:

1. Clone el proyecto y sus dependencias de submódulos usando git clone --recurse-submodules. Alternativamente, puede usar git submodule update --init después de clonar el repositorio.
2. Asegúrese de que hay archivos en el directorio NtUtilsUI\NtUtils; de lo contrario, no clonó los submódulos.
3. Instale VirtualTree for VCL usando el menú del IDE Tools -> GetIt Package Manager.
   
4. Abra NtUtilsUI\DesignTime\NtUtilsUI.DesignTime.dproj en el IDE y haga clic en Install en el proyecto para registrarlo como un paquete en tiempo de diseño.
   
5. Ahora puede abrir y compilar el proyecto principal TokenUniverse.dproj.

Adicionalmente, si también desea generar símbolos de depuración durante la compilación, necesitará map2dbg - una herramienta que convierte archivos *.map generados por Delphi en archivos *.dbg que dbghelp.dll puede entender. El proyecto ya está configurado para generar archivos *.map y usar un evento posterior a la compilación, por lo que puede descargar map2dbg desde una respuesta a esta pregunta de Stack Overflow y colocarlo en algún lugar donde el compilador de Delphi pueda encontrarlo e invocarlo.