fontdrvhost占用高_windwos token提权

渗透测试时，一旦通过某些方式拿到了某台服务器的shell，就进入了“后渗透测试”阶段。一般情况下，shell的权限可能不高，无法“干大事”，首先面临提权的问题；windows是怎么控制内部权限的了？

内部权限的划分，本质上是进程(线程)权限的划分，因为所有的操作都是在进程(线程)中进行的，控制用户的权限就等同于控制该用户运行进程(线程)的权限，这又是怎么控制的了？

1、windwos access token机制简介

(1)当用户登录系统成功后，系统会生成与这个用户账户相关联的访问令牌。每个进程创建时都会根据登录会话权限由LSA(Local Security Authority)分配一个Token。一般情况下，用户双击运行一个程序，都会拷贝explorer.exe的Access Token，让该用户所有进程的权限一致；

Windows下有两种类型的Token令牌：授权令牌和模拟令牌。

授权令牌(Delegation Token)，也叫主令牌，是由windows内核创建并分配给进程的默认访问令牌，每一个进程有一个主令牌，它描述了与当前进程相关的用户帐户的安全上下文，用于交互式登录(如rdp登录访问)。

模拟令牌(Impersonation Token)，所在进程的主令牌会自动附加到当前的线程上，作为线程的安全上下文。而线程可以运行在另一个非主令牌的访问令牌下执行，而这个令牌被称为模拟令牌，用于非交互式的会话(利用WMI进行远程访问)。

主令牌与进程相关；模拟令牌与模拟令牌的线程相关。

(2)两种令牌会在系统重启或者关机后才会全部清除，不然将会一直在内存中存留。也就是说，如果机器不关机或者重启的话，就会存在散落的令牌。在系统注销后，具有授权令牌的用户会变为模拟令牌Impersonation Token，但依然有效。默认情况下，当前用户只能看到当前用户自己和比自己权限低的所有访问令牌(list_tokens -u 能查看到)

(3)Windows Access Token 组成如下：

用户(User)。用户账号的SID。若用户登录到本地计算机上的一个账号，则他的 SID来自于本地SAM维护的账号数据库；若用户登录到一个域账号，则他的SID来自于活动目录里用户对象的Object-SID属性。

组(Groups)。包含该用户的安全组的SID列表，表中也包含代表活动目录里用户 账号的用户对象的SID-History属性里的SID。

特权(Privileges)。用户和用户的安全组在本地计算机上拥有的特权列表。

所有者(Owner)。特定用户或安全组的SID，这些用户或安全组默认成为用户所 创建或拥有的任何对象的所有者。

主组(Primary Group)。用户的主安全组的SID。这个信息只由POSIX子系统使用， Windows 2000的其他部分对其忽略。

默认任意访问控制表(Default Discretionary Access Control List, DACL)。一组内置 许可权。在没有其他访问控制信息存在时操作系统将其作用于用户所创建的对象。默认DACL向创建所有者和系统赋予完全控制(Full Control)权限。

源(Source)。导致访问令牌被创建的进程，例如会话管理器、LAN管理器或远程 过程调用(RPC)服务器。

类型(Type)。指示访问令牌是主(primary)令牌还是模拟(impersonation)令牌。 主令牌代表一个进程的安全上下文；模拟令牌是服务进程里的一个线程，用来临时接受一个不同的安全上下文(如服务的一个客户的安全上下文)的令牌。

模拟级别(Impersonation Level)。指示服务对该访问令牌所代表的客户的安全上下 文的接受程度。

统计信息(Statistics)。关于访问令牌本身的信息。操作系统在内部使用这个信息。

限制SID(Restricting SID)。由一个被授权创建受限令牌的进程添加到访问令牌里 的可选的SID列表。限制SID可以将线程的访问限制到低于用户被允许的级别。

会话ID(Session ID)。指示访问令牌是否与终端服务(Terminal Services)客户会 话相关。

token具体的实例可以用windbg查看，微软官网有说明：https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/-token

kd> !exts.token -n e1bed030

_TOKEN e1bed030

TS Session ID:0User: S-1-5-21-518066528-515770016-299552555-2981724(User: MYDOMAIN\myuser)

Groups:00 S-1-5-21-518066528-515770016-299552555-513(Group: MYDOMAIN\Domain Users)

Attributes-Mandatory Default Enabled01 S-1-1-0(Well Known Group: localhost\Everyone)

Attributes-Mandatory Default Enabled02 S-1-5-32-544(Alias: BUILTIN\Administrators)

Attributes-Mandatory Default Enabled Owner03 S-1-5-32-545(Alias: BUILTIN\Users)

Attributes-Mandatory Default En