Windows access token 介绍及利用

1 背景

我第一次看到 windows access token 是在打靶场的时候，通过 msf 的工具获取主机上管理员用户的令牌来伪造管理员权限，并通过进程迁移实现完全的提权。

当时对于 windows access token 还有很多疑问，这里尝试对其机制进行一个比较完整的解释，以及总结一下如何利用这个 access token 进行用户的伪造。

2 Windows access token 机制介绍

一简介

access token 翻译过来就是访问令牌，官方给的解释是：一个进程或者线程的描述安全上下文（the security context）的对象。安全上下文可以理解成一段关于系统安全的信息。

令牌中的信息包括与进程或线程相关的用户账户的身份和权限。

当用户登录系统之后，windows 会产生一个令牌（access token）颁发给用户，这是通过 LSASS.exe 这个程序完成的。

然后这个用户开启的所有进程都会从用户那里复制一份 access token 给进程自己。这也是为啥有时候 A 用户的进程 B 用户没有权限去使用，因为 A 、B 用户的 access token 不同，而且该进程的代码中写了令牌校验的机制。

当一个程序（线程）需要和系统安全相关的对象进行交互，或者需要权限执行某些系统任务的时候，windows 系统就会通过 access token 去校验身份。至于具体的校验机制，后面再补充。

二令牌包含的内容

The security identifier (SID) for the user’s account
- 用户帐户的安全标识符(SID)
SIDs for the groups of which the user is a member
- 用户所属的组的SID
A logon SID that identifies the current logon session
- 用于标识当前登录会话的登录SID
A list of the privileges held by either the user or the user’s groups
- 用户或用户组所拥有的权限列表
An owner SID
- 所有者SID
The SID for the primary group
- 主要组的SID
The default DACL that the system uses when the user creates a securable object without specifying a security descriptor
- 访问控制列表
The source of the access token
- 访问令牌的来源
Whether the token is a primary or impersonation token
- 令牌是主要令牌还是模拟令牌
An optional list of restricting SIDs
- 限制SID的可选列表
Current impersonation levels
- 目前的模拟等级
Other statistics
- 其他统计数据

3 主要令牌和模拟令牌

一主要令牌（primary token）

1 主要令牌的产生

主要令牌是用户登录的时候系统就会给该用户先颁发一个主要令牌

这里的登录主要指交互式登录，比如本地登录，远程桌面

这里补充一下关于主要令牌产生的细节

用户使用凭据(用户密码)进行认证 –> 登录 session 创建 –> windows 返回用户的 sid 和用户所在组的 sid –> LSA 创建一个 Access token —> 使用凭据成功认证 –> 登录 session —> token —> 进程、线程

2 主要令牌的传递

用户登录之后，用户开启的所有进程都会先复制一份主要令牌给进程自己

因此每个进程都有一个主要令牌，用于描述与该进程关联的用户帐户的安全上下文。

默认情况下，当进程的线程与安全对象进行交互时，系统使用主令牌。

此外，主要令牌有个机制，前面我们说了每个进程都复制了一份创建者的主要令牌，而这些进程开启的子进程也会从父进程那继承一份主要令牌（前提是子进程的代码中没有指定使用特定的 access token，且这个过程还是有 LSASS.exe 执行的）

二模拟令牌（impersonation token）

1 模拟令牌的定义

主要令牌很好理解，就是用户登录后系统颁发的描述安全信息的对象

而模拟令牌的定义则是：

当进程（线程）需要以其他用户的身份获取系统资源或执行某些功能的时候，就需要用到其他用户的模拟令牌

impersonation tokens: these allow a particular process(or thread in a process) to gain access to resources using the token of another (user/client) process

注意：一个模拟其他用户（客户端）的进程或线程是同时具有自己的主令牌和其他用户的模拟令牌的

2 模拟令牌的产生

当用户注销后，系统将会使主令牌切换为模拟令牌并保存在系统中，

且不会将令牌清除，只有在重启机器后才会清除。

3 为什么会有模拟令牌？（我们拿模拟令牌来干嘛）

impersonation token is for impersonation .（模拟令牌是用来模拟的）

看起来像句废话，但是这里重点在于模拟（impersonation）这个行为

官方原文：

Impersonation is the ability of a thread to execute using different security information than the process that owns the thread. Typically, a thread in a server application impersonates a client. This allows the server thread to act on behalf of that client to access objects on the server or validate access to the client’s own objects.

大概意思是，线程有时候要使用到其他用户的安全信息时，就会需要到模拟令牌。模拟（impersonation）就是去线程去模拟其他用户的身份，从而可以更加方便地执行各种功能逻辑。

简单来说就是我们希望不同用户（客户端）来访问主机上的服务时，服务可以模拟客户端的身份去访问服务，而不是用自己的主进程Token身份去访问，从而解决一些权限问题。

4 模拟令牌的级别

我们说用户注销之后会产生模拟令牌，且模拟令牌的意义就是用来被线程模拟其他用户身份的，但是并不是所有的用户都想被线程模拟身份。

所以模拟令牌就设置了一个级别机制

只有当模拟令牌具有 Impersonation 和 Delegation 级别的时候才可以被用来模拟。

模拟令牌的所有级别：

SecurityAnonymous：current user/client cannot impersonate another user/client
- 其他用户（客户端）无法通过这个模拟令牌模拟该用户（模拟令牌的所有者）或者客户端。
SecurityIdentification：current user/client can get the identity and privileges of a client, but cannot impersonate the client
- 其他用户（客户端）可以通过这个模拟令牌获取到该用户的身份信息和权限，但是不能伪造该用户（客户端）
SecurityImpersonation：current user/client can impersonate the client’s security context on the local system
- 其他用户可以在本地系统上通过这个模拟令牌伪造该用户，伪造指的是获取到该用户的安全上下文
SecurityDelegation：current user/client can impersonate the client’s security context on a remote system
- 其他用户可以在远程系统上通过这个模拟令牌伪造该用户