Tater

Tater 是一个利用 Hot Potato Windows 权限提升漏洞的 PowerShell 实现。

致谢

所有感谢归于 @breenmachine、@foxglovesec、Google Project Zero 以及所有帮助解决此利用细节的其他人。

• Potato - https://github.com/foxglovesec/Potato

包含于

• p0wnedShell - https://github.com/Cn33liz/p0wnedShell
• PowerShell Empire - https://github.com/PowerShellEmpire/Empire
• PS>Attack - https://github.com/jaredhaight/psattack

函数

Invoke-Tater

• Tater 的主函数。

参数

• IP - 指定特定的本地 IP 地址。如果未使用此参数，将自动选择一个 IP 地址。
• SpooferIP - 指定用于 NBNS 欺骗的 IP 地址。当使用两台主机绕过提权目标上已被占用的 80 端口时，需要此选项。
• Command - 在本地主机上以 SYSTEM 身份执行的命令。必要时使用 PowerShell 字符转义。
• NBNS - 默认 = 启用：(Y/N) 启用/禁用 NBNS 暴力破解欺骗。
• NBNSLimit - 默认 = 启用：(Y/N) 启用/禁用 NBNS 暴力破解欺骗限制，以便在主机名正确解析时停止 NBNS 欺骗。
• ExhaustUDP - 默认 = 禁用：(Y/N) 启用/禁用 UDP 端口耗尽，强制所有 DNS 查询失败，从而回退到 NBNS 解析。
• HTTPPort - 默认 = 80：指定 HTTP 监听器和重定向响应的 TCP 端口。
• Hostname - 默认 = WPAD：要欺骗的主机名。Windows Server 2008 可能需要 WPAD.DOMAIN.TLD。
• WPADDirectHosts - 逗号分隔的主机列表，这些主机将在 wpad.dat 文件中被列为直接连接。请注意，localhost 始终被列为直接连接。
• WPADPort - 默认 = 80：指定要包含在 wpad.dat 文件中的代理服务器端口。
• Trigger - 默认 = 1：用于触发 HTTP 到 SMB 中继的触发器类型。0 = 无，1 = Windows Defender 签名更新，2 = Windows 10 Webclient/计划任务。
• TaskDelete - 默认 = 启用：(Y/N) 启用/禁用触发器 2 的计划任务删除。如果启用，将在任务名称中添加随机字符串，以避免多次运行触发器 2 后失败。
• Taskname - 默认 = Tater：与触发器 2 一起使用的计划任务名称。如果发现 Tater 在多次运行触发器 2 后不起作用，请尝试更改任务名称。
• RunTime - 默认 = 无限制：(整数) 设置运行时长（分钟）。
• ConsoleOutput - 默认 = 禁用：(Y/N) 启用/禁用实时控制台输出。如果通过 Shell 使用此选项，请测试以确保它不会使 Shell 挂起。
• StatusOutput - 默认 = 启用：(Y/N) 启用/禁用启动消息。
• ShowHelp - 默认 = 启用：(Y/N) 启用/禁用启动时的帮助消息。
• Tool - 默认 = 0：(0,1,2) 为更好地与外部工具（如 Metasploit 的交互式 PowerShell 会话和 Empire）配合使用而启用/禁用功能。0 = 无，1 = Metasploit，2 = Empire。

Stop-Tater

• 手动停止 Invoke-Tater 的函数。

用法

• 使用 Import-Module 导入： Import-Module ./Tater.ps1

• 使用点引入方法导入： . ./Tater.ps1

示例

• 基本触发器 1 示例 Invoke-Tater -Trigger 1 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"

• 基本触发器 2 示例 Invoke-Tater -Trigger 2 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"

• 双系统设置以绕过提权目标上已被占用的 80 端口 WPAD 系统 - 192.168.10.100 - 此系统仅提供 wpad.dat 文件，将提权目标上的 HTTP 流量重定向到非 80 端口 Invoke-Tater -Trigger 0 -NBNS N -WPADPort 8080 -Command "null"

  提权目标 - 192.168.10.101 Invoke-Tater -Command "net user Tater Winter2016 /add && net localgroup administrators Tater /add" -HTTPPort 8080 -SpooferIP 192.168.10.100

截图

Windows 7 使用触发器 1（NBNS WPAD 暴力破解 + Windows Defender 签名更新）

Windows 10 使用触发器 2（WebClient 服务 + 计划任务）

Windows 7 使用触发器 1 和 UDP 端口耗尽