PowerShelli kasutamine kohalike kontode õiguste tõstmiseks

Õiguste tõstmine tähendab, et kurjategija kasutab olemasolevat kontoõigust, et saada süsteemis lisaks tavaliselt kõrgemat taset juurdepääsu. Kuigi õiguste tõstmine võib tuleneda null-päeva haavatavuste ärakasutamisest, kõrgelt kvalifitseeritud häkkerite sihipärastest rünnakutest või osavalt varjatud pahavara tegevusest, juhtub seda siiski kõige sagedamini vale seadistuse tõttu arvutis või kontol. Rünnaku edasisel arendamisel kasutavad kurjategijad mitmeid eraldi haavatavusi, mis kokkuvõttes võivad viia katastroofilise andmelekkeni.

Miks ei tohiks kasutajad omada kohaliku administraatori õigusi?

Kui olete turbespetsialist, võib tunduda ilmne, et kasutajatel ei tohiks olla kohaliku administraatori õigusi, kuna see:

• Teevad nende kontod haavatavamaks erinevate rünnakute suhtes
• Teevad need rünnakud palju tõsisemaks

Kahjuks on see paljude organisatsioonide jaoks endiselt äärmiselt vaieldav teema ja sageli kaasnevad sellega elavad arutelud (vt näiteks, minu ülemus ütleb, et kõik kasutajad peaksid olema kohalikke administraatoreid). Süvenemata selle arutelu detailidesse, usume me, et ründaja on saanud uuritaval süsteemil kohaliku administreerimise õigused: kas läbi ekspluateerimise või seetõttu, et masinad ei olnud piisavalt kaitstud.

Samm 1. DNS-nimede pöördlahendamine PowerShelli kaudu

Vaikimisi on PowerShell installitud paljudele kohalikele tööjaamadele ja enamikule Windowsi serveritest. Ja kuigi seda peetakse ülemäära kasulikuks automatiseerimise ja haldamise tööriistaks, on see võrdselt võimeline muutuma peaaegu nähtamatuks fileless-kahjuriteks (rünnakut jätmata jätva tarkvara).

Meie puhul alustab ründaja võrgu rekognitiivsete ülesannete täitmist PowerShelli skripti abil, järjestikku skaneerides IP-aadresside ruumi, püüdes välja selgitada, kas antud IP lahendatakse sõlmele ja kui jah, siis mis on selle sõlme võrgunimi.
On mitmeid viise selle ülesande täitmiseks, kuid kõige usaldusväärsem valik on cmdlet Get-ADComputer, kuna see tagastab iga sõlme kohta tõeliselt rikkaliku andmestiku:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

Kui suurtes võrkudes on töö kiirus probleem, võib kasutada pöörd DNS-kutsungit:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

See meetod lausete loendamiseks võrgus on väga populaarne, kuna enamik võrgustikke ei kasuta nulliga usaldusmudelit ega jälgi sisemisi DNS-päringuid kahtlaste tegevuste puhangute suhtes.

Samm 2: Sihtmärkide valimine

Selle sammu lõpptulemuseks on loetelu serverite ja tööjaamade hostinimedest, mida saab kasutada rünnaku jätkamiseks.

Nime põhjal tundub server ‘HUB-FILER’ olema vääriline sihtmärk, kuna failiserverid koguvad aja jooksul tavaliselt suures koguses võrgu kaustu ja liialdatud juurdepääsu liiga laiale ringile.

Windows Explorer'i kasutamine võimaldab meil määrata, kas jagatud kaust on avatud, kuid meie praegune konto ei saa sellele ligi (tõenäoliselt on meil õigus ainult loetleda).

Samm 3: Uurime ACL-i

Nüüd meie hostis HUB-FILER ja siht-jagatud kaustas share saame käivitada PowerShelli skripti ACL-i listi saamiseks. Saame seda teha kohalikult masinal, kuna meil on juba kohaliku administraatori õigused:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

Tegevuse tulemus:

Nähtust näeme, et rühmal Domeeni Kasutajad on ligipääs ainult loetlemiseks, kuid rühmal Helpdesk on ka muud õigused, sealhulgas muutmiseks.

Samm 4: Konto tuvastamine

Käivitades Get-ADGroupMember, saame kõik selle grupi liikmed:

Get-ADGroupMember -identity Helpdesk

Selles nimekirjas näeme arvuti kontot, mille oleme juba tuvastanud ja millele oleme juba juurde pääsenud:

Samm 5: Kasutame PSExeci arvutikonto alt töötamiseks

PsExec Microsoft Sysinternals võimaldab käivitada käske süsteemi kasutajakonto SYSTEM@HUB-SHAREPOINT kontekstis, mis, nagu me teame, kuulub sihtrühma Helpdesk. Seega peame lihtsalt täitma:

PsExec.exe -s -i cmd.exe

Nüüd on teil täielik juurdepääs sihikaustale HUB-FILERshareHR, kuna töötate HUB-SHAREPOINT arvuti kasutajakonto kontekstis. Selle juurdepääsuga saab andmeid kopeerida kaasaskantavasse salvestusseadmesse või muul viisil välja võtta ja edastada üle võrgu.

Samm 6: Selle rünnaku avastamine

Seda konkreetset haavatavust, mis tuleneb kasutajakontode õiguste määramise vale seadistamise tõttu (arvutikontod, mis pääsevad juurde ühistele võrgu kaustele, mitte kasutajakontodele või teenuskontodele), on võimalik tuvastada. Siiski on ilma õigeid tööriistu selle tegemine väga keeruline.

Selle kategooria rünnakute avastamiseks ja ennetamiseks saame kasutada DatAdvantage et tuvastada gruppe, kus on arvuti kasutajakonto, ja seejärel nende juurde pääs piirata. DatAlert minna kaugemale ja võimaldab luua teate spetsiaalselt sellise stsenaariumi jaoks.

Allpool oleval ekraanipildil on kasutaja teade, mis aktiveeritakse iga kord, kui arvutikonto pääseb jälgitava serveri andmetele.

Järgmised sammud PowerShelli abil

Soovid rohkem teada? Kasuta vabastuskoodi „blogi”, et saada tasuta juurdepääs kogu PowerShelli ja Active Directory aluste video kursusele.

Allikas: habr.com