TokenPlayer

Windows 액세스 토큰 조작 및 악용.

___TokenPlayer___는 win32 API 프로그래밍을 배우고 Windows의 액세스 토큰 모델을 더 잘 이해하기 위해 제가 만든 작은 도구입니다.

기능:

기본 토큰 탈취 및 가장(Impersonation).
보호된 프로세스 가장.
토큰 중복(Token-Duplication) 방식을 사용한 UAC 우회.
특수 권한이나 상승된 컨텍스트 없이 자격 증명을 제공하여 네트워크 인증용 새 토큰 생성(runas /netonly와 유사).
부모 프로세스 ID를 스푸핑하고 다른 부모를 가진 프로세스를 실행.
가장된 컨텍스트에서 제공된 매개변수로 모든 애플리케이션 실행.
파이프를 사용한 부모-자식 프로세스 통신을 통해 비대화형 컨텍스트(예: 리버스 셸)에서도 사용 가능.

사용법:

General options:
  --help                 Display help menu.

Impersonation Options:
  --impersonate          Impersonates the specified pid and spawns a new child
                         process under its context.
  --pid arg              Proccess ID to steal the token from.
  --spawn                Spawns a new command prompt under the context of the
                         stolen token.

Execution Options:
  --exec                 Execute an instance of a specified program under the
                         impersonated context.
  --pid arg              Proccess ID to steal the token from.
  --prog                 The full path to the program to be executed.
  --args                 Optional execution arguments for the specified
                         program.

Make Token Options:
  --maketoken            Create a new process under a set of creds for only
                         network authentication (Similar to runas /netonly).
  --username arg         Username
  --password arg         Password in plaintext format.
  --domain arg           The domain the user belongs, if domain isn't specified
                         the local machine will be used.

UAC Bypass Options:
  --pwnuac               Will try to bypass UAC using the token-duplication
                         method.
  --spawn                Spawns a new elevated prompt.
  --prog arg             The full path to the program to be executed.
  --args arg             Optional execution arguments for the specified
                         program.

Parent Process Spoofing Options:
  --spoofppid            Spawn a new instance of an application with spoofed
                         parent process.
  --ppid arg             The PID of the parent process.
  --prog arg             The full path to the program to be executed.
  --args arg             Optional execution arguments for the specified
                         program.