Манипулирование токеном доступа

Злоумышленники могут изменять токены доступа для работы в контексте безопасности другого пользователя или системы для выполнения действий и обхода контроля доступа. Windows использует токены доступа для определения владельца запущенного процесса. Пользователь может манипулировать токенами доступа, чтобы запущенный процесс выглядел как потомок другого процесса или принадлежал кому-то другому, а не пользователю, запустившему процесс. Когда это происходит, процесс также принимает контекст безопасности, связанный с новым токеном. Злоумышленник может использовать встроенные функции Windows API для копирования токенов доступа из существующих процессов; это известно как кража токенов. Эти токены затем могут быть применены к существующему процессу (т.е. Подмена/кража токена) или использоваться для порождения нового процесса (т.е. Создание процесса с токеном). Злоумышленник уже должен находиться в привилегированном контексте пользователя (т.е. администратор) для кражи токена. Однако злоумышленники обычно используют кражу токенов для повышения своего контекста безопасности с уровня администратора до уровня SYSTEM. Злоумышленник затем может использовать токен для аутентификации в удаленной системе как учетную запись для этого токена, если учетная запись имеет соответствующие разрешения в удаленной системе. Любой стандартный пользователь может использовать команду runas и функции Windows API для создания токенов подмены; для этого не требуется доступ к учетной записи администратора. Существуют также другие механизмы, такие как поля Active Directory, которые могут использоваться для изменения токенов доступа.