quentinhardy/pytmipeBibliothèque Python et client pour les manipulations de jetons et les usurpations d'identité pour l'escalade de privilèges sous Windows
PYTMIPE (bibliothèque Python pour la manipulation de tokens et l'usurpation d'identité pour l'élévation de privilèges) est une bibliothèque Python 3 permettant de manipuler les tokens Windows et de gérer les usurpations d'identité afin d'obtenir plus de privilèges sur Windows. TMIPE est le client Python 3 qui utilise la bibliothèque pytmipe.
| Méthode | Privilège(s) requis | OS (non exhaustif) | Cible directe (max) |
|---|---|---|---|
| Création et usurpation de token | nom d'utilisateur et mot de passe | Tous | administrateur local |
| Usurpation/Vol de token | SeDebugPrivilege | Tous | nt authority\system |
| Spoofing du PID parent (héritage de handle) | SeDebugPrivilege | >= Vista | nt authority\system |
| Service (SCM) | Administrateur local (et niveau d'intégrité élevé si UAC activé) | Tous | nt authority\system ou compte domaine |
| Événement WMI | Administrateur local (et niveau d'intégrité élevé si UAC activé) | Tous | nt authority\system |
| LPE « Printer Bug » | SeImpersonatePrivilege (compte de service) | Windows 8.1, 10 & Server 2012R2/2016/2019 | nt authority\system |
| LPE du service RPCSS | SeImpersonatePrivilege (compte de service) | Windows 10 & Server 2016/2019 | nt authority\system |
La liste non exhaustive suivante montre certaines fonctionnalités implémentées dans la bibliothèque pytmipe :
ctypes est utilisé autant que possible. De nombreuses fonctionnalités de pywin32 ont été redéveloppées dans pytmipe pour éviter l'utilisation de pywin32 pour une meilleure portabilité. Cependant, le module Planificateur de tâches utilise encore pywin32 (plus précisément pythoncom) par manque de temps. Tous les autres modules utilisent uniquement ctypes.
Pour le client Python (nommé tmipe) :
python.exe tmipe.py -h
usage: tmipe.py [-h] [--version]
{cangetadmin,printalltokens,printalltokensbyname,printalltokensbypid,printsystemtokens,searchimpfirstsystem,imppid,imptoken,printerbug,rpcss,spoof,impuser,runas,scm}
...
**
888888 8b d8 88 88""Yb 888888
88 88b d88 88 88__dP 88__
88 88YbdP88 88 88""" 88""
88 88 YY 88 88 88 888888
-------------------------------------------
Token Manipulation, Impersonation and
Privilege Escalation (Tool)
-------------------------------------------
By Quentin HARDY ([email protected])
positional arguments:
{cangetadmin,printalltokens,printalltokensbyname,printalltokensbypid,printsystemtokens,searchimpfirstsystem,imppid,imptoken,printerbug,rpcss,spoof,impuser,runas,scm}
Choose a main command
cangetadmin Check if user can get admin access
printalltokens Print all tokens accessible from current thread
printalltokensbyname
Print all tokens accessible from current thread by account name
printalltokensbypid Print all tokens accessible from current thread by pid
printsystemtokens Print all system tokens accessible from current
searchimpfirstsystem
search and impersonate first system token
imppid impersonate primary token of selected pid and try to spawn cmd.exe
imptoken impersonate primary or impersonation token of selected pid/handle and try to spawn cmd.exe
printerbug exploit the "printer bug" for getting system shell
rpcss exploit "rpcss" for getting system shell
spoof parent PID Spoofing ("handle inheritance)"
impuser create process with creds with impersonation
runas create process with creds as runas
scm create process with Service Control Manager
optional arguments:
-h, --help show this help message and exit
--version show program's version number and exit
Pour la bibliothèque Python (nommée pytmipe), consultez le code source et les exemples. Normalement, j'ai bien documenté le code source... La plupart des fonctions sont documentées.
Pour les exemples pyinstaller et les exécutables autonomes, consultez les fichiers dans les dossiers src/examples/.
Pour usurper le premier token system et obtenir une invite cmd.exe en tant que system à partir du client Python (tmipe) :
python.exe tmipe.py searchimpfirstsystem -vv
Pour faire la même chose grâce à la bibliothèque pytmipe directement, consultez le fichier src/examples/searchAndImpersonateFirstSystemToken.py :
from impersonate import Impersonate
from utils import configureLogging