Tokenizer

Tokenizer è un progetto di driver in modalità kernel che consente la sostituzione del token di un processo in EPROCESS con un token di sistema, elevando efficacemente i privilegi del processo. Il driver è progettato per essere utilizzato con un'applicazione in modalità utente che invia un ID di processo al driver tramite un IOCTL.

Dettagli tecnici

Quando un processo viene creato, eredita il token dell'utente che lo ha creato. Il token viene utilizzato dal sistema per determinare quali azioni il processo può eseguire. Il token contiene informazioni sull'identificatore di sicurezza (SID) dell'utente, le appartenenze ai gruppi e i privilegi.
Il membro Token si trova all'offset 0x4b8 nella struttura _EPROCESS, che è una struttura dati che rappresenta un oggetto processo. Il membro Token è definito nella struttura _EX_FAST_REF, che è un tipo unione in grado di memorizzare un puntatore a un oggetto kernel o un conteggio di riferimenti, a seconda della dimensione del puntatore. L'offset della struttura _EX_FAST_REF all'interno di _EPROCESS dipende dalla versione specifica di Windows in uso, ma si trova tipicamente a un offset di 0x4b8 nelle versioni recenti di Windows.
Offset del token per numeri di build di Windows per architetture x64 e x86
La struttura _EX_FAST_REF in Windows contiene tre membri: Object, RefCount e Value
Per visualizzare il token del processo in _EX_FAST_REF, passiamo l'indirizzo della struttura _EX_FAST_REF che contiene il token, che si trova tipicamente a un offset di 0x4b8 nella struttura _EPROCESS.

Puoi generare un processo privilegiato o elevare un ID di processo già esistente.
Ai fini di questa spiegazione, ci concentreremo sulla seconda opzione e useremo CMD come esempio
Token ereditato
Invia l'ID del processo al driver tramite un IOCTL
Dopo aver ricevuto il PID dall'applicazione in modalità utente, il driver lo utilizza per ottenere un puntatore alla struttura _EPROCESS per il processo di destinazione. Il driver accede quindi al membro Token della struttura _EPROCESS per ottenere un puntatore al token del processo, che sostituisce con il token di sistema, cambiando di fatto il contesto di sicurezza del processo in quello del sistema. Tuttavia, se il driver non individua correttamente il membro Token all'interno della struttura _EPROCESS o se l'offset del Token è diverso da 0x4b8, il driver potrebbe causare un crash del sistema o del processo di destinazione. Questo problema verrà risolto nei prossimi aggiornamenti.
Token di cmd dopo