Belirteç Taklidi
Ayrıcalıkları kötüye kullanın
Belirteç Taklidi, CoddyKit'te ücretsiz bir Ethical Hacking Academy dersidir. Bu, 4 dersinin 3. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Ethical Hacking Academy öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Ethical Hacking Academy kursu toplamda 4 dersten oluşur.
Windows Erişim Belirteçleri
Her süreç, kullanıcısını, gruplarını ve ayrıcalıklarını açıklayan bir erişim belirteci taşır. Windows, taklit özelliğini destekler — bir süreç başka bir kullanıcının belirteciyle hareket edebilir. Bu özelliği istismar etmek, bir hizmet hesabının SYSTEM olmasını sağlar.
Taklit Ayrıcalıkları
İki belirteç ayrıcalığı yetki yükseltme açısından çok değerlidir: SeImpersonatePrivilege ve SeAssignPrimaryTokenPrivilege. Hizmet hesapları (IIS, MSSQL) genellikle SeImpersonate ayrıcalığına sahiptir; istismarların "Potato" ailesi de bunu kullanır.
whoami /priv
# SeImpersonatePrivilege EnabledPotato Ailesi
Potato istismarları, bir SYSTEM sürecini kötü amaçlı yerel bir dinleyiciye kimlik doğrulamaya kandırır, ardından belirtecini çalar/taklit eder. Türevleri: JuicyPotato, RoguePotato, PrintSpoofer, GodPotato — her biri farklı Windows sürümlerine uygundur.
PrintSpoofer
PrintSpoofer, SYSTEM kimlik doğrulamasını zorlamak için Print Spooler'ın adlandırılmış kanalını istismar eder, ardından belirteci taklit ederek bir komutu SYSTEM olarak çalıştırır. JuicyPotato'nun yamalandığı modern Windows 10/Server 2019 sistemlerinde çalışır.
PrintSpoofer.exe -i -c cmd
# spawns a SYSTEM shell when you hold SeImpersonateJuicyPotato
JuicyPotato, SYSTEM kimlik doğrulamasını yerel bir dinleyiciye aktarmak için DCOM/BITS'i kötüye kullanır. Eski Windows sürümlerinde (1809 öncesi / Server 2016) güvenilirdir; ancak daha yeni derlemelerde etkisi azaltılmıştır. Bu nedenle RoguePotato/PrintSpoofer kullanılmaktadır.
JuicyPotato.exe -l 1337 -p cmd.exe -t * -c {CLSID}Aktarım Nasıl Çalışır
Kavramsal olarak: Siz (bir hizmet hesabı), ayrıcalıklı bir Windows bileşeninin kötü amaçlı uç noktanızda kimlik doğrulaması yapmasını tetiklersiniz. Bu kimlik doğrulamasını yakalar ve SeImpersonate sayesinde SYSTEM belirtecini yeni bir işlemin etrafına sararsınız — anında SYSTEM kabuğu.
Rotten/Rogue Potato
RottenPotato özgün sürümdü; RoguePotato ise OXID çözümleyici yönlendirmesi kullanarak 1809 sonrası DCOM düzeltmelerini aşmak üzere güncellendi. Doğru Potato aracını seçmek, systeminfo çıktısındaki kesin derleme numarasına bağlıdır.
Diğer Tehlikeli Ayrıcalıklar
Kimliğe bürünmenin yanı sıra SeBackupPrivilege/SeRestorePrivilege (herhangi bir dosyayı okuma/yazma — SAM dökümü alma), SeDebugPrivilege (SYSTEM işlemlerine kod enjekte etme) ve SeTakeOwnership ayrıcalıklarına dikkat edin. Bunların her biri ayrı bir ayrıcalık yükseltme yoludur.
Meterpreter ile Belirteç Hırsızlığı
Sömürü sonrası çerçeveler, belirteçlerin kötüye kullanılmasını kolaylaştırır. Meterpreter'ın incognito bileşeni kullanılabilir belirteçleri listeler ve bunlara bürünür; bellekte bir SYSTEM veya yönetici belirteci varsa bunu doğrudan çalabilirsiniz.
meterpreter > load incognito
meterpreter > list_tokens -u
meterpreter > impersonate_token "NT AUTHORITY\\SYSTEM"Sömürüyü Derlemeyle Eşleştirme
Potato araçları sürüme duyarlıdır. OS derlemesini okuyup ardından seçim yapın: JuicyPotato (eski), RoguePotato/PrintSpoofer (1809+), GodPotato (modern sürümlerde geniş kapsam). Doğru araç güvenilir biçimde SYSTEM yetkisi sağlar; yanlış araç ise yalnızca başarısız olur.
Savunmalar ve Etik
Savunma ekipleri hangi hesapların SeImpersonate alacağını sınırlar, yamaları hızla uygular, gerekmediğinde Print Spooler'ı devre dışı bırakır ve şüpheli belirteç kullanımını izler. Bu teknikleri yalnızca yetkilendirilmiş çalışmalar kapsamında kullanın.
Hızlı Kontrol
Belirteçlere bürünme bilginizi sınayın.
Özet
Belirteçlere bürünmeyi öğrendiniz:
- Erişim belirteçleri kimliği tanımlar; kimliğe bürünme kötüye kullanılabilir
- SeImpersonatePrivilege, Potato istismarlarını etkinleştirir
- Modern Windows için PrintSpoofer/RoguePotato, eski sürümler için JuicyPotato kullanılır
- Diğer tehlikeli ayrıcalıklar: SeBackup, SeDebug, SeTakeOwnership
Sıradaki konu: kimlik bilgisi toplama.
Sıkça Sorulan Sorular
“Belirteç Taklidi” dersi ücretsiz mi?
Evet — “Belirteç Taklidi” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Ethical Hacking Academy kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Ethical Hacking Academy kursu toplamda 4 dersten oluşur.
“Belirteç Taklidi” dersinde ne öğreneceğim?
Ayrıcalıkları kötüye kullanın Ethical Hacking Academy ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.
Ethical Hacking Academy öğrenmeye başlamak için deneyim gerekli mi?
Önceden deneyim gerekmez. CoddyKit'te Ethical Hacking Academy, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 3. dersidir.
“Belirteç Taklidi” dersi ne kadar sürer?
Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.
Bu Ethical Hacking Academy dersinde kod yazıp çalıştırabilir miyim?
Evet. Her Ethical Hacking Academy dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.