quentinhardy/pytmipeBiblioteca Python e cliente para manipulações de token e impersonações para elevação de privilégios no Windows
PYTMIPE (biblioteca Python para Manipulação de Tokens e Impersonação para Elevação de Privilégios) é uma biblioteca Python 3 para manipular tokens do Windows e gerenciar impersonações a fim de obter mais privilégios no Windows. TMIPE é o cliente Python 3 que utiliza a biblioteca pytmipe.
Slides "Manipulação de Tokens do Windows, Impersonação e Elevação de Privilégios" (Inglês): link
Artigo no MISC 112 (Francês): link
| Método | Privilégio(s) Necessário(s) | SO (não exaustivo) | Alvo direto (máx.) |
|---|---|---|---|
| Criação e impersonação de token | nome de usuário & senha | Todos | administrador local |
| Impersonação/Roubo de token | SeDebugPrivilege | Todos | nt authority\system |
| Spoofing de PID pai (herança de handle) | SeDebugPrivilege | >= Vista | nt authority\system |
| Serviço (SCM) | Administrador local (e nível de integridade alto se UAC ativado) | Todos | nt authority\system ou conta de domínio |
| Evento WMI | Administrador local (e nível de integridade alto se UAC ativado) | Todos | nt authority\system |
| « Printer Bug » LPE | SeImpersonatePrivilege (conta de serviço) | Windows 8.1, 10 & Server 2012R2/2016/2019 | nt authority\system |
| RPCSS Service LPE | SeImpersonatePrivilege (conta de serviço) | Windows 10 & Server 2016/2019 | nt authority\system |
A lista não exaustiva a seguir mostra alguns recursos implementados na biblioteca pytmipe:
ctypes é usado na maioria das vezes. Muitos recursos do pywin32 foram re-desenvolvidos no pytmipe para evitar o uso de pywin32 para melhor portabilidade. No entanto, o módulo do Agendador de Tarefas ainda utiliza pywin32 (mais precisamente pythoncom) por falta de tempo. Todos os outros módulos usam apenas ctypes.
Para o cliente Python (chamado tmipe):
python.exe tmipe.py -h
usage: tmipe.py [-h] [--version]
{cangetadmin,printalltokens,printalltokensbyname,printalltokensbypid,printsystemtokens,searchimpfirstsystem,imppid,imptoken,printerbug,rpcss,spoof,impuser,runas,scm}
...
**
888888 8b d8 88 88""Yb 888888
88 88b d88 88 88__dP 88__
88 88YbdP88 88 88""" 88""
88 88 YY 88 88 88 888888
-------------------------------------------
Token Manipulation, Impersonation and
Privilege Escalation (Tool)
-------------------------------------------
By Quentin HARDY ([email protected])
positional arguments:
{cangetadmin,printalltokens,printalltokensbyname,printalltokensbypid,printsystemtokens,searchimpfirstsystem,imppid,imptoken,printerbug,rpcss,spoof,impuser,runas,scm}
Choose a main command
cangetadmin Check if user can get admin access
printalltokens Print all tokens accessible from current thread
printalltokensbyname
Print all tokens accessible from current thread by account name
printalltokensbypid Print all tokens accessible from current thread by pid
printsystemtokens Print all system tokens accessible from current
searchimpfirstsystem
search and impersonate first system token
imppid impersonate primary token of selected pid and try to spawn cmd.exe
imptoken impersonate primary or impersonation token of selected pid/handle and try to spawn cmd.exe
printerbug exploit the "printer bug" for getting system shell
rpcss exploit "rpcss" for getting system shell
spoof parent PID Spoofing ("handle inheritance)"
impuser create process with creds with impersonation
runas create process with creds as runas
scm create process with Service Control Manager
optional arguments:
-h, --help show this help message and exit
--version show program's version number and exit
Para a biblioteca Python (chamada pytmipe), veja o código-fonte e os exemplos. Normalmente, documentei bem o código-fonte... A maioria das funções está documentada.
Para exemplos de pyinstaller e executáveis autônomos, veja os arquivos na pasta src/examples/.
Se quiser saber como usar a biblioteca pytimpe, veja a pasta src/examples para muitos exemplos.
Para impersonar o primeiro token system e obter um prompt cmd.exe como system a partir do cliente Python (tmipe):
python.exe tmipe.py searchimpfirstsystem -vv
Para fazer a mesma coisa diretamente com a biblioteca pytmipe, veja o arquivo src/examples/searchAndImpersonateFirstSystemToken.py:
from impersonate import Impersonate
from utils import configureLogging
configureLogging()
imp = Impersonate()
imp.searchAndImpersonateFirstSystemToken(targetPID=None, printAllTokens=False)
Isso abrirá um prompt cmd.exe como system se o usuário atual do Windows tiver os direitos necessários.
Claro, a partir deste código-fonte, você pode criar um executável autônomo com pyinstaller.