Potato-Angriffe

Dienstkonten wie IIS und SQL Server laufen mit dem Recht, die Tokens anderer Nutzer anzunehmen, weil sie im Namen der Clients handeln müssen, die sie bedienen. Dieses Recht ist praktisch gleichwertig mit SYSTEM, sobald man einen SYSTEM-Prozess dazu bringt, sich gegenüber einem lokalen Endpunkt zu authentifizieren, den man selbst kontrolliert. Die Varianten unterscheiden sich nur darin, wie dieser Trick abläuft — frühe Versionen nutzten NTLM-Reflection über lokale COM-Aktivierung, PrintSpoofer die benannte Pipe des Druckspoolers, spätere Varianten DCOM-Aufrufe an andere Dienste. Microsoft betrachtet das Ganze als beabsichtigtes Verhalten statt als Schwachstelle, was erklärt, warum in regelmäßigen Abständen neue Varianten auftauchen.