Impersonificazione dei token

Ogni processo contiene un token di accesso che descrive l'utente, i gruppi e i privilegi. Windows supporta l'impersonificazione — un processo può agire utilizzando il token di un altro utente. Sfruttare questa possibilità consente a un account di servizio di diventare SYSTEM.

Due privilegi dei token sono particolarmente preziosi per l'escalation: SeImpersonatePrivilege e SeAssignPrimaryTokenPrivilege. Gli account di servizio (IIS, MSSQL) dispongono solitamente di SeImpersonate, sfruttato dalla famiglia di exploit «Potato».

Gli exploit Potato inducono un processo SYSTEM ad autenticarsi presso un listener locale malevolo, quindi ne rubano o impersonificano il token. Varianti: JuicyPotato, RoguePotato, PrintSpoofer, GodPotato — ciascuna adatta a versioni diverse di Windows.

PrintSpoofer sfrutta la named pipe di Print Spooler per forzare l'autenticazione SYSTEM, quindi impersonifica il token per eseguire un comando come SYSTEM. Funziona sulle versioni moderne di Windows 10/Server 2019, dove JuicyPotato è stato corretto.

JuicyPotato sfrutta DCOM/BITS per inoltrare l'autenticazione di SYSTEM a un listener locale. È affidabile nelle versioni meno recenti di Windows (precedenti alla 1809 / Server 2016), ma è stato mitigato nelle build più nuove; da qui RoguePotato/PrintSpoofer.

Concettualmente: Lei, in quanto account di servizio, attiva un componente privilegiato di Windows affinché esegua l'autenticazione verso il Suo endpoint malevolo. Intercetta tale autenticazione e, grazie a SeImpersonate, avvolge il token SYSTEM attorno a un nuovo processo — ottenendo immediatamente una shell SYSTEM.

RottenPotato era l'originale; RoguePotato lo ha aggiornato per aggirare le correzioni DCOM successive alla 1809, utilizzando un reindirizzamento del resolver OXID. La scelta del Potato corretto dipende dall'esatto numero di build ottenuto da systeminfo.

Oltre all'impersonificazione, faccia attenzione a SeBackupPrivilege/SeRestorePrivilege (leggere/scrivere qualsiasi file — eseguire il dump di SAM), SeDebugPrivilege (iniettare codice nei processi SYSTEM) e SeTakeOwnership. Ognuno rappresenta un percorso distinto per l'escalation.

I framework di post-exploitation semplificano l'abuso dei token. incognito di Meterpreter elenca e impersona i token disponibili; se nella memoria è presente un token SYSTEM o amministratore, è possibile sottrarlo direttamente.

Il panorama dei Potato dipende dalla versione. Legga la build del sistema operativo, quindi scelga: JuicyPotato (versioni meno recenti), RoguePotato/PrintSpoofer (1809+), GodPotato (ampia compatibilità con le versioni moderne). Lo strumento corretto consente di ottenere SYSTEM in modo affidabile; quello sbagliato semplicemente non funziona.

I difensori limitano gli account a cui viene assegnato SeImpersonate, applicano tempestivamente le patch, disabilitano Print Spooler quando non è necessario e monitorano l'uso sospetto dei token. Utilizzi queste tecniche esclusivamente nell'ambito di incarichi autorizzati.

Verifichi le Sue conoscenze sull'impersonificazione dei token.

Ha imparato a conoscere l'impersonificazione dei token:

• i token di accesso definiscono l'identità; l'impersonificazione può essere sfruttata
• SeImpersonatePrivilege abilita gli exploit Potato
• PrintSpoofer/RoguePotato per Windows moderno, JuicyPotato per le versioni meno recenti
• altri privilegi pericolosi: SeBackup, SeDebug, SeTakeOwnership

Prossimo argomento: raccolta delle credenziali.