Tokenizer

• Tokenizer — это проект драйвера режима ядра, который позволяет заменить токен процесса в EPROCESS на системный токен, эффективно повышая привилегии процесса. Драйвер предназначен для использования с пользовательским приложением, которое отправляет идентификатор процесса драйверу через IOCTL.

технические детали

• Когда процесс создается, он наследует токен пользователя, создавшего его. Токен используется системой для определения того, какие действия может выполнять процесс. Токен содержит информацию об идентификаторе безопасности пользователя (SID), членстве в группах и привилегиях.

  

• Член Token находится по смещению 0x4b8 в структуре _EPROCESS, которая является структурой данных, представляющей объект процесса. Член Token определяется в структуре _EX_FAST_REF, которая является типом объединения, который может хранить либо указатель на объект ядра, либо счетчик ссылок, в зависимости от размера указателя. Смещение структуры _EX_FAST_REF внутри _EPROCESS зависит от конкретной версии Windows, но обычно в последних версиях Windows находится по смещению 0x4b8.

• Смещения токена для сборок Windows x64 и x86

• Структура _EX_FAST_REF в Windows содержит три члена: Object, RefCount и Value.

  

• Чтобы отобразить токен процесса в _EX_FAST_REF, мы передаем адрес структуры _EX_FAST_REF, содержащей токен, который обычно находится по смещению 0x4b8 в структуре _EPROCESS.

  

Использование

• Вы можете либо породить привилегированный процесс, либо повысить привилегии уже существующего идентификатора процесса.

  

• Для целей этого объяснения мы сосредоточимся на втором варианте и используем CMD в качестве примера.

  

• унаследованный токен

  

• отправьте идентификатор процесса драйверу через IOCTL

  

• После получения PID от пользовательского приложения драйвер использует его для получения указателя на структуру _EPROCESS для целевого процесса. Затем драйвер обращается к члену Token структуры _EPROCESS, чтобы получить указатель на токен процесса, который он заменяет на системный токен, эффективно изменяя контекст безопасности процесса на системный. Однако, если драйвер неверно находит член Token внутри структуры _EPROCESS или если смещение Token отличается от 0x4b8, драйвер может вызвать сбой системы или целевого процесса. Эта проблема будет исправлена в следующих обновлениях.

  

• токен cmd после

  

DEMO

https://user-images.githubusercontent.com/60795188/226200873-d0516968-b175-4ff4-8e85-02018c641679.mp4