这是[信安成长计划]的第 21 篇文章
0x00 目录
0x01 介绍
0x02 结构分析
0x03 进程注入测试
0x04 参考文章
0x01 介绍
在 Token 当中还存在一个特别重要的内容——Privileges，它也是权限检查中的一个，当用户去执行一些特权操作的时候，会检查这个位置，看是否有执行的权限。
通过滥用一些特权指令，可以达到权限提升等目的，最常见的一个特权就是 SeDebugPrivilege，除此之外，还有很多的特权
这些权限都可以通过 AdjustTokenPrivileges 来提升权限，代码可以参考微软给的例子
https://docs.microsoft.com/en-us/windows/win32/secauthz/enabling-and-disabling-privileges-in-c--
可以在命令行中查看当前所拥有的特权
其中 SeChangeNotifyPrivilege 是默认会启用的一个特权，即使是 Low 完整性等级的也会有这个特权
0x02 结构分析
可以在 Windbg 当中查看到一下，就用刚刚启动的 cmd-low.exe 来进行
查看它的 TOKEN 结构
可以看到在 0x40 的位置就是 Privileges，继续看它的结构
这三个值的每一位都代表着一个权限，我们重点要看的是 Present 和 Enabled，Present 决定了哪些位是当前可以用，Enabled 则决定了是否启用
可以看到当前是有五个权限位的，在根据上面的 Enabled 可以知道，只有一个权限位是打开的
那这每一位到底代表着什么特权，我没有在微软的文档中找到描述，但是在 Windbg 中找到了另外的方案
我们使用 !token 命令让 Windbg 自己解析一下，可以看到有五个权限位，并且只有一个是启用的，数位数也刚好与上面所解析到的一致
既然通过这样的方法可以知道位置和对应的权限，那么就可以通过全部启用，然后再让 Windbg 来进行解析，就可以得到所有的权限位了
然后就可以看到所有的权限位和对应的权限了
在查资料的时候，还发现了一个情况，在 AdjustTokenPrivileges 的时候，会进行额外的检查，所能启用的权限与进程的完整性挂钩了
文章我贴到最后的参考链接当中
0x03 进程注入测试
在正常情况下，我们当前作为低完整性等级是不能够注入高完整性等级的进程的，在之前的文章中也已经测试过了
在 OpenProcess 的时候就直接出问题了，这是符合我们的预期的
但是在 OpenProcess 当中还有这样的一句话，如果给了 SeDebugPrivilege 权限，那么就会直接授予
这里为了方便起见，直接使用 Windbg 来进行修改
可以看到确实启用了
然后再进行注入，可以发现成功了
如果将其注入到 winlogon 进程当中，再创建一个 cmd，因为继承关系，我们也就拥有了 system 权限
0x04 参考文章
1.https://docs.microsoft.com/en-us/windows/win32/secbp/changing-privileges-in-a-token
2.https://docs.microsoft.com/en-us/windows/win32/secauthz/privilege-constants
3.https://docs.microsoft.com/en-us/windows/win32/secauthz/enabling-and-disabling-privileges-in-c--
4.https://docs.microsoft.com/en-us/windows/win32/secauthz/privileges
6.https://github.com/gtworek/Priv2Admin
7.http://showlinkroom.me/2020/05/02/Windows-Via-C-C-note-4-2/