NamedPipePTH

Этот проект представляет собой PoC-код для использования Pass-the-Hash для аутентификации при локальной имперсонации пользователя через именованный канал. Также имеется поясняющий пост в блоге:

https://s3cur3th1ssh1t.github.io/Named-Pipe-PTH/

Он во многом основан на коде проектов Invoke-SMBExec.ps1 и RoguePotato.

В прошлом я сталкивался с определёнными ситуациями в проектах Offensive Security, когда у меня уже был NTLM-хеш учётной записи пользователя с низкими привилегиями и требовалась оболочка для этого пользователя на текущей скомпрометированной системе — но это было невозможно с помощью существующих публичных инструментов. Представьте ещё два факта для такой ситуации: NTLM-хеш не удавалось взломать и не было процесса пользователя-жертвы, в который можно было бы внедрить шеллкод или мигрировать. Возможно, для некоторых из вас это звучит как абсурдный пограничный случай. Тем не менее, я сталкивался с этим многократно. Не в одном проекте я тратил много времени на поиски подходящего инструмента/техники в этой конкретной ситуации.

Мои личные цели для инструмента/техники были:

• Полнофункциональная оболочка или C2-подключение от имени учётной записи пользователя-жертвы
• Возможность также имперсонировать учётные записи с низкими привилегиями — в зависимости от целей проекта может потребоваться доступ к системе от имени конкретного пользователя, такого как CEO, учетные записи HR, SAP-администраторы или другие
• Инструмент может использоваться как C2-модуль

К сожалению, у имперсонированного пользователя нет возможности сетевой аутентификации, так как новый процесс использует токен имперсонации с ограничениями. Таким образом, эту технику можно использовать только для локальных действий от имени другого пользователя.

Существует два способа использования этой техники. Вы можете скомпилировать \Resources\PipeServerImpersonate.sln, поместить исполняемый файл на удалённый хост и подключиться к именованному каналу через \Resources\Invoke-NamedPipePTH.ps1:

Или вы можете использовать автономный скрипт, оставаясь в памяти:

Если вы не хотите сбрасывать бинарный файл для выполнения, просто передайте аргументы для собственных двоичных файлов Windows, таких как Powershell:

Invoke-ImpersonateUser-PTH -Username USERNAME -Hash NTLMHASH -Domain DOMAIN -PipeName mypipe -binary "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe" -argument "-nop -w 1 -sta -enc BASEBLOB"