Continuando con meterpreter , existe una "utilidad" llamada incógnito originalmente independiente que se integro a metasploit y luego en meterpreter, esta herramienta permita robar los "tokens" en un sistema comprometido haciendo analogía a las Cookies de la web.
Es decir si un usuario ejecuta un proceso y nosotros lo listamos con ps de meterpreter , verificamos los procesos creados ( y que usuario los creo el mismo) incógnito permite robar las credenciales del proceso en memoria y obtener la "identidad", en otras palabras suplantar sus roles y permisos del sistema comprometido.
Siguiendo el post de Metasploit & Meterpreter , una vez comprometido el sistema podríamos robar las credenciales , ¿ para que corno robar las credenciales? , bueno depende de nuestra imaginacion.
Supongamos que necesitamos crear usuarios un Controlador de dominio y sabes a priori tenemos identificado el dominio , en nuestro caso se llama pps-labs
 | |
| Listando los procesos con el comando ps de meterpreter |
Antes de robar la nueva "identidad" verificamos la nuestra, en este caso el servidor comprometido es un windows 2003 server y estamos como administrador
 |
| Window server 2003 Comprometido |
 |
| Usuario antes de robar la credencial con incógnito |
En el listado encontramos a un usuario\dominio llamado Chuck\pps-labs para robar la credencial necesitamos conocer el PID (identificador de proceso) 1540, procedemos a robar la credencial.
 |
| Robando la credencial con incógnito "steal_token PID" |
Imaginemos el siguiente escenario , supongamos el usuario Chuck es el dueño y señor del controlador de dominio(Windows 2008), una vez suplantada su identidad podríamos crear usuarios , eliminar o modificar los grupos y permisos del usuario que necesitemos.
En mi caso creare un usuario y lo agregar al grupo de administradores del Servidor Windows 2008 R1 desde una shell remota de un Windows 2003 Server.
 |
| Agregando un usuario NET USER |
Una vez agregado el usuario con la identidad (Chuck el administrador de dominio del windows 2008 server ) , procedemos a agregar al grupo de administradores
 |
| Agregando nuestro usuario creado al grupo de "Administradores" |
Con eso acabamos de crear un usuario del el dominio pps-labs en el windows 2008 R1 sin acceder al mismo.
 |
| ipconfig windows 2008 server |
Considero que incógnito es una utilidad que todo pentester debería conocer y utilizar.
Saludos!
