ToDesk软件在权限提升中的应用

0x01 前言

0x02 信息搜集

操作系统：Windows Server 2008 R2 x64软件版本：ToDesk 3.0.1.0（精简版和全功能版）精简版默认安装路径：%userprofile%AppDataLocalToDesk全功能版默认安装路径：C:Program Files (x86)ToDeskToDesk进程名：ToDesk_Lite.exe、ToDesk_Service.exe、ToDesk.exeToDesk服务名：ToDesk_ServiceToDesk端口号：35600

0x03 场景1：安装版低权限下的利用

已经拿到目标主机Webshell，而且还是Administrator管理员权限，但由于存在杀软或WAF拦截了添加管理员用户、3389远程桌面连接、也查杀了我们传的木马和抓明文哈希等工具。

在前期的信息搜集中发现进程列表中有个ToDesk_Lite.exe进程，这是ToDesk绿色精简版，由于之前有测试过这个，所以知道配置文件路径。

%userprofile%AppDataLocalToDesk

我们在上图中可以看到有个config.ini配置文件，它存储着ToDesk远程控制软件中的各项设置，包括有显示语言、设备代码、临时密码、开机自启等，全功能版中的常见设置说明可见下表。

但这精简版的config.ini配置文件中只有显示语言、临时密码、密码更新时间和开机自启。

目前有两个问题：1. 没有设备代码，2. 密码不能解密，那么要怎么连接呢？

[ConfigInfo]language=936tempAuthPassEx=6ca3ab52e01cfd45cbb306f3765b5bfddf0f7a15b7877309443af14ab699b21e22680011ee2******updatePassTime=20210529autoStart=0

① 没有找到设备代码。

这个我在测试时发现在以下路径中还有一个config.ini配置文件，它存储着本地端口、设备代码和私有数据，一般存在于SysWOW64目录下，默认只有Administrators、SYSTEM具备完全控制权限，所以绿色精简版只有在高权限下才能利用。

C:WindowsSystem32configsystemprofileAppDataLocalToDeskconfig.iniC:WindowsSysWOW64configsystemprofileAppDataLocalToDeskconfig.ini

② 临时密码不能解密。

这里我们可以将目标主机tempAuthPassEx替换到本机tempAuthPassEx，重新运行ToDesk软件后即可得到他的明文密码；

或者直接将我们本机tempAuthPassEx替换到目标主机tempAuthPassEx，然后用本机临时密码去连接即可，这种方式需要结束ToDesk进程后重启才会生效，比较被动。

0x04 场景2：安装版低权限下的利用

已经拿到目标主机Webshell，但只是一个Users低权限用户，还需要进行权限提升。在前期信息搜集中通过翻找磁盘文件或查看进程发现安装的有ToDesk全功能版。

我们再用icacls命令来看下ToDesk全功能版的默认安装目录权限如何？这里可以看到ToDesk这款软件的缺陷就是在默认安装状态下就已经具备了Users的完全控制权限。

ToDesk安装路径下同样有config.ini配置文件，可以看到存储的有设备代码、临时密码、安全密码以及登录用户和密码等重要敏感信息，可参考场景1的常见设置说明表。

[ConfigInfo]localPort=35600clientId=636938855PrivateData=b0ceea6d978c590e2684627f2394731bced2cf45d6fc92a5208d7a5c9f688ebbb2f840e65e546c2a8968063937156a58fd5f4b4dbfde8ff61flanguage=936tempAuthPassEx=beba9584fe8d1ef3082cb4d86a5d0bd0586a3aa4d2ce9af3dca455cacf9e115421cdbfaf8fa8267bac392c4cd7507f2ecc7ab6b9361fupdatePassTime=20210626saveUserPass=1autoLogin=1user=493***344@qq.compassex=cafe2d34f80a85d94f45755df94c5705b55406e89451f1056712bb8b16ecf49bcf2813474158ce4526d2c75928b6516c0315cb339c83fc485d9b34adauthPassEx=e760f849eae5ea763d80068c2fda1632f9cabd26828d8bf1112561e62c0ae7e9bcef518eaa989de00716121ed94618c2360ee81bfc87

我们在上图中可以看到他的ToDesk远控软件已经设置了“临时密码和安全密码都可以使用”，也就是说只需拿tempAuthPassEx或authPassEx在我们本地ToDesk配置文件中替换到tempAuthPassEx，然后重新运行ToDesk软件后即可得到他的明文密码。

也可以使用ToDesk.exe命令行参数中的-getid获取设备代码，-setpasswd设置安全密码等，但是这种方式需要重启ToDesk，可以再给他设置个开机自启什么的。

我们还可以在ToDesk的配置文件给他设置个自动更新，然后替换掉安装目录下的ToDeskUpd.exe更新程序来进行被动提权和权限维持。

只要运行ToDesk就会以SYSTEM权限去执行ToDeskUpd.exe，这样就能得到目标主机SYSTEM权限，越深入好玩的姿势越多，还是自己去研究一下吧。

注：笔者只是为写这篇文章在本地模拟了两个场景，但大家在实战中如果遇到类似场景时当然也可以用免杀、绕过或其他方式进行测试，条条大路通“罗马”嘛，思路不要过于局限了，根据个人习惯，怎么方便怎么来，请不要做一个杠精！！！

0x05 注意事项

千万不要去尝试拷贝user、passex、autoLogin登录他的ToDesk，因为在新设备登录时会提示为第一次登录，并且官方会给注册邮箱或手机号发送一条验证信息

收到的ToDesk新设备登录授权邮件中详细记录了登录新设备的设备代码、名称、时间、IP地址以及地理位置等信息，必须点击允许以后才可以正常登录，一定注意！！！

一个小BUG：

ToDesk有个和向日葵一样的通病，就是在连接上另一台主机后可能会使用不了复制粘贴，或者是存在冲突导致粘贴到对方拷贝的内容等问题。

向日葵可以按两次Ctrl键后再进行复制粘贴，而ToDesk则需要使用右边的Ctrl键进行复制粘贴。

推 荐 阅 读

原文始发于微信公众号（潇湘信安）：ToDesk软件在权限提升中的应用