Tater
Tater est une implémentation PowerShell de l'exploit Hot Potato d'élévation de privilèges sous Windows.
Crédit
Tout le crédit revient à @breenmachine, @foxglovesec, Google Project Zero, et à toute autre personne ayant contribué à détailler cet exploit.
Inclus dans
Fonctions
Invoke-Tater
- La fonction principale de Tater.
Paramètres
- IP - Spécifie une adresse IP locale spécifique. Une adresse IP sera sélectionnée automatiquement si ce paramètre n'est pas utilisé.
- SpooferIP - Spécifie une adresse IP pour le spoofing NBNS. Cela est nécessaire lorsque vous utilisez deux hôtes pour contourner l'utilisation du port 80 sur la cible d'élévation de privilèges.
- Command - Commande à exécuter en tant que SYSTEM sur l'hôte local. Utilisez les séquences d'échappement PowerShell si nécessaire.
- NBNS - Par défaut = Activé : (Y/N) Active/Désactive le spoofing NBNS par brute-force.
- NBNSLimit - Par défaut = Activé : (Y/N) Active/Désactive la limitation du spoofeur NBNS par brute-force pour arrêter le spoofing NBNS lorsque le nom d'hôte se résout correctement.
- ExhaustUDP - Par défaut = Désactivé : (Y/N) Active/Désactive l'épuisement des ports UDP pour forcer l'échec de toutes les requêtes DNS et ainsi revenir à la résolution NBNS.
- HTTPPort - Par défaut = 80 : Spécifie un port TCP pour l'écouteur HTTP et la réponse de redirection.
- Hostname - Par défaut = WPAD : Nom d'hôte à usurper. WPAD.DOMAIN.TLD peut être requis par Windows Server 2008.
- WPADDirectHosts - Liste séparée par des virgules des hôtes à indiquer comme directs dans le fichier wpad.dat. Notez que localhost est toujours listé comme direct.
- WPADPort - Par défaut = 80 : Spécifie un port de serveur proxy à inclure dans le fichier wpad.dat.
- Trigger - Par défaut = 1 : Type de déclencheur à utiliser pour déclencher le relais HTTP vers SMB. 0 = Aucun, 1 = Mise à jour des signatures Windows Defender, 2 = Webclient/Tâche planifiée Windows 10
- TaskDelete - Par défaut = Activé : (Y/N) Active/Désactive la suppression de la tâche planifiée pour le déclencheur 2. Si activé, une chaîne aléatoire sera ajoutée au nom de la tâche pour éviter les échecs après plusieurs exécutions du déclencheur 2.
- Taskname - Par défaut = Tater : Nom de la tâche planifiée à utiliser avec le déclencheur 2. Si vous constatez que Tater ne fonctionne pas après plusieurs exécutions du déclencheur 2, essayez de changer le nom de la tâche.
- RunTime - Par défaut = Illimité : (Entier) Définit la durée d'exécution en minutes.
- ConsoleOutput - Par défaut = Désactivé : (Y/N) Active/Désactive la sortie console en temps réel. Si vous utilisez cette option via un shell, testez pour vous assurer qu'elle ne bloque pas le shell.
- StatusOutput - Par défaut = Activé : (Y/N) Active/Désactive les messages de démarrage.
- ShowHelp - Par défaut = Activé : (Y/N) Active/Désactive les messages d'aide au démarrage.
- Tool - Par défaut = 0 : (0,1,2) Active/Désactive les fonctionnalités pour une meilleure opération via des outils externes tels que les sessions Powershell interactives de Metasploit et Empire. 0 = Aucun, 1 = Metasploit, 2 = Empire
Stop-Tater
- Fonction pour arrêter manuellement Invoke-Tater.
Utilisation
- Pour importer avec Import-Module :
Import-Module ./Tater.ps1
- Pour importer en utilisant la méthode dot source :
. ./Tater.ps1
Exemples
- Exemple de base avec le déclencheur 1
Invoke-Tater -Trigger 1 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"
- Exemple de base avec le déclencheur 2
Invoke-Tater -Trigger 2 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"
- Configuration à deux systèmes pour contourner l'utilisation du port 80 sur la cible d'élévation de privilèges
Système WPAD - 192.168.10.100 - ce système se contente de servir un fichier wpad.dat qui dirigera le trafic HTTP de la cible d'élévation vers le port HTTP non-80
Invoke-Tater -Trigger 0 -NBNS N -WPADPort 8080 -Command "null"
Cible d'élévation - 192.168.10.101
Invoke-Tater -Command "net user Tater Winter2016 /add && net localgroup administrators Tater /add" -HTTPPort 8080 -SpooferIP 192.168.10.100
Captures d'écran
Windows 7 utilisant le déclencheur 1 (NBNS WPAD Bruteforce + mises à jour des signatures Windows Defender)
Windows 10 utilisant le déclencheur 2 (Service WebClient + Tâche planifiée)
Windows 7 utilisant le déclencheur 1 et l'épuisement des ports UDP
kevin-robertson/tater
