Úsáid PowerShell chun Pribhléid na gCuntas Áitiúil a Ardú

Is éard is géarú pribhléid ann go n-úsáideann ionsaitheoir na cearta reatha cuntais chun rochtain bhreise, de ghnáth, ar leibhéal níos airde ar an gcóras a fháil. Cé gur féidir formhéadú pribhléide a bheith mar thoradh ar leochaileachtaí náid lae a shaothrú, nó ar obair hackers den chéad scoth a dhéanann ionsaí spriocdhírithe, nó ar bhogearraí mailíseacha dea-fholaithe, is minic a tharlaíonn sé de bharr míchumrú an ríomhaire nó an chuntais. Chun an t-ionsaí a fhorbairt tuilleadh, úsáideann ionsaitheoirí roinnt leochaileachtaí aonair, rud a d'fhéadfadh sceitheadh ​​sonraí tubaisteach a bheith mar thoradh orthu le chéile.

Cén fáth nár cheart go mbeadh cearta riarthóra áitiúla ag úsáideoirí?

Más gairmí slándála thú, d’fhéadfadh sé a bheith soiléir nár cheart go mbeadh cearta riarthóra áitiúla ag úsáideoirí, mar seo:

• Déanann siad a gcuntais níos leochailí i leith ionsaithe éagsúla
• Déanann sé na hionsaithe céanna sin i bhfad níos déine

Ar an drochuair, i gcás go leor eagraíochtaí is ceist an-chonspóideach é seo agus uaireanta bíonn plé téite ag gabháil leis (féach, mar shampla, deir mo mhaoirseoir go gcaithfidh gach úsáideoir a bheith ina riarthóirí áitiúla). Gan dul isteach i sonraí an phlé seo, creidimid go bhfuair an t-ionsaitheoir cearta riarthóirí áitiúla ar an gcóras atá á imscrúdú, trí shaothrú nó toisc nach raibh na meaisíní cosanta i gceart.

Céim 1 Droim ar ais Rún DNS le PowerShell

De réir réamhshocraithe, tá PowerShell suiteáilte ar go leor stáisiúin oibre áitiúla agus ar an chuid is mó de na freastalaithe Windows. Agus cé nach gan áibhéil é go meastar gur uirlis uathoibrithe agus rialaithe thar a bheith úsáideach é, tá sé chomh cumasach céanna é féin a chlaochlú ina uirlis atá beagnach dofheicthe. malware gan comhaid (clár hacking nach bhfágann rianta den ionsaí).

Is é ár gcás, tosaíonn an t-ionsaitheoir ag déanamh taiscéalaíochta líonra ag baint úsáide as script PowerShell, ag atriall go seicheamhach thar spás seoladh IP an líonra, ag iarraidh a chinneadh an réitíonn IP tugtha d'óstach, agus má tá, cad é ainm líonra an óstaigh seo.
Tá go leor bealaí chun an tasc seo a chur i gcrích, ach an cmdlet a úsáid Faigh-Is rogha dhaingean é ADComputer toisc go dtugann sé ar ais tacar fíor-saibhir sonraí faoi gach nód:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

Más fadhb é luas ar líonraí móra, is féidir aisghlao DNS a úsáid:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

Tá an-tóir ar an modh seo chun ina hóstach ar líonra a liostú, toisc nach n-úsáideann formhór na líonraí samhail slándála náid-iontaobhas agus ní dhéanann siad monatóireacht ar fhiosrúcháin DNS inmheánacha le haghaidh pléascanna gníomhaíochta amhrasacha.

Céim 2: Roghnaigh sprioc

Is é toradh deiridh na céime seo ná liosta óstainmneacha freastalaí agus stáisiúin oibre a fháil is féidir a úsáid chun leanúint leis an ionsaí.

Ón ainm, is cosúil gur sprioc fiúntach é an freastalaí 'HUB-FILER', ós rud é le himeacht ama, mar riail, carnann freastalaithe comhad líon mór fillteán líonra agus rochtain iomarcach orthu ag an iomarca daoine.

Ligeann brabhsáil le Windows Explorer dúinn láithreacht fillteán oscailte roinnte a bhrath, ach ní féidir lenár gcuntas reatha rochtain a fháil air (is dócha nach bhfuil againn ach cearta liostála).

Céim 3: Foghlaim ACLanna

Anois, ar ár n-óstach HUB-FILER agus sciar sprice, is féidir linn script PowerShell a reáchtáil chun an ACL a fháil. Is féidir linn é seo a dhéanamh ón meaisín áitiúil, ós rud é go bhfuil cearta riarthóra áitiúla againn cheana féin:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

Toradh feidhmithe:

Feicimid uaidh sin nach bhfuil rochtain ach ag an ngrúpa Úsáideoirí Fearainn ar an liostú, ach tá na cearta chun athrú ag an ngrúpa Deasc Chabhrach freisin.

Céim 4: Aitheantas Cuntais

Rith Faigh-ADGroupMember, is féidir linn gach ball den ghrúpa seo a fháil:

Get-ADGroupMember -identity Helpdesk

Sa liosta seo feicimid cuntas ríomhaire atá aitheanta againn cheana féin agus a bhfuil rochtain againn air cheana:

Céim 5: Bain úsáid as PSExec a rith mar chuntas ríomhaire

PsExec ó Microsoft Sysinternals ligeann duit orduithe a fhorghníomhú i gcomhthéacs an chuntais chórais SYSTEM@HUB-SHAREPOINT, a bhfuil a fhios againn gur ball é de spriocghrúpa na Deasc Cabhrach. Is é sin, níl le déanamh againn ach:

PsExec.exe -s -i cmd.exe

Bhuel, ansin tá rochtain iomlán agat ar an spriocfhillteán HUB-FILERshareHR, ós rud é go bhfuil tú ag obair i gcomhthéacs an chuntais ríomhaire HUB-SHAREPOINT. Agus leis an rochtain seo, is féidir na sonraí a chóipeáil chuig gléas stórála iniompartha nó a aisghabháil agus a tharchur ar shlí eile thar an líonra.

Céim 6: An ionsaí seo a bhrath

Is féidir an leochaileacht maidir le tiúnadh pribhléide cuntais áirithe seo (cuntais ríomhaire a fhaigheann rochtain ar scaireanna líonra in ionad cuntais úsáideora nó cuntais seirbhíse) a fháil amach. Mar sin féin, gan na huirlisí cearta, tá sé seo an-deacair a dhéanamh.

Chun an chatagóir seo ionsaithe a bhrath agus a chosc, is féidir linn a úsáid Buntáiste Sonraí grúpaí a bhfuil cuntais ríomhaireachta iontu a aithint, agus rochtain orthu a dhiúltú ansin. Foláirimh Sonraí níos faide agus ligeann duit fógra a chruthú go sonrach don chineál seo cás.

Taispeánann an screenshot thíos fógra saincheaptha a scaoilfear gach uair a fhaigheann cuntas ríomhaire rochtain ar shonraí ar fhreastalaí monatóireachta.

Na chéad chéimeanna eile le PowerShell

Ar mhaith leat tuilleadh eolais a fháil? Bain úsáid as an "blog" cód dhíghlasáil le haghaidh rochtain saor in aisce ar an iomlán Cúrsa físe PowerShell agus Active Directory Basics.

Foinse: will.com