原文链接：https://www.anquanke.com/post/id/187895
英文原链：https://posts.specterops.io/understanding-and-defending-against-access-token-theft-finding-alternatives-to-winlogon-exe-80696c8a73b
0x00 前言
在本文中，我们介绍了访问令牌窃取的相关概念，以及如何在winlogon.exe上利用该技术从管理员上下文中模拟SYSTEM访问令牌。MITRE ATT&CK将该技术归为Access Token Manipulation（访问令牌操控）类别。
如果本地管理员账户因为某些组策略（Group Policy）设置无法获取某些权限，此时模仿SYSTEM访问令牌是非常有用的一种技术。比如，本地管理员组可能不具备SeDebugPrivilege权限，这样就能加大攻击者转储凭据或者与其他进程内存交互的难度。然而，管理人员无法从SYSTEM账户中撤销相关权限，因为这是操作系统正常运行的基础。因此，在加固环境中，SYSTEM访问令牌对攻击者而言具有非常高的价值。
了解操控访问令牌的概念后，我将介绍如何使用系统访问控制列表（SACL）来审计进程对象，以便检测恶意操控访问令牌的攻击行为。这种检测技术有一个缺点：防御方必须清楚哪些进程是攻击者的目标。
最后，本文探索了还有哪些SYSTEM进程可以替代winlogon.exe，用来实施访问令牌模拟攻击，我也介绍了寻找这些进程的方法以及相关知识点。
0x01 窃取访问令牌
备注：如果大家对访问令牌控制技术比较了解，想深入了解如何寻找其他可用的SYSTEM进程，那么可以直接跳过这一节。
我们可以使用如下Windows API来窃取并滥用访问令牌：OpenProcess()、OpenProcessToken()、ImpersonateLoggedOnUser()、DuplicateTokenEx()以及CreateProcessWithTokenW()。
OpenProcess()以进程标识符（PID）为参数，返回一个进程句柄，打开句柄时必须使用PROCESS_QUERY_INFORMATION、PROCESS_QUERY_LIMITED_INFORMATION或者PROCESS_ALL_ACCESS访问权限，这样OpenProcessToken()才能使用返回的进程句柄。