સ્થાનિક ખાતાઓના વિશેષાધિકારને વધારવા માટે પાવરશેલનો ઉપયોગ કરવો

વિશેષાધિકાર એસ્કેલેશન એ એકાઉન્ટના વર્તમાન અધિકારોનો હુમલાખોર દ્વારા વધારાના, સામાન્ય રીતે સિસ્ટમમાં ઉચ્ચ સ્તરની ઍક્સેસ મેળવવા માટે ઉપયોગ છે. જ્યારે વિશેષાધિકાર વૃદ્ધિ શૂન્ય-દિવસની નબળાઈઓનું શોષણ કરવાનું પરિણામ હોઈ શકે છે, અથવા લક્ષિત હુમલાનું સંચાલન કરતા પ્રથમ-વર્ગના હેકર્સનું કાર્ય, અથવા સારી રીતે છૂપી માલવેર, તે મોટાભાગે કમ્પ્યુટર અથવા એકાઉન્ટની ખોટી ગોઠવણીને કારણે છે. હુમલાને વધુ વિકસિત કરીને, હુમલાખોરો સંખ્યાબંધ વ્યક્તિગત નબળાઈઓનો ઉપયોગ કરે છે, જે એકસાથે આપત્તિજનક ડેટા લીક તરફ દોરી શકે છે.

શા માટે વપરાશકર્તાઓ પાસે સ્થાનિક વ્યવસ્થાપક અધિકારો ન હોવા જોઈએ?

જો તમે સુરક્ષા વ્યાવસાયિક છો, તો તે સ્પષ્ટ જણાય છે કે વપરાશકર્તાઓ પાસે સ્થાનિક વ્યવસ્થાપક અધિકારો ન હોવા જોઈએ, જેમ કે:

• તેમના એકાઉન્ટ્સને વિવિધ હુમલાઓ માટે વધુ સંવેદનશીલ બનાવે છે
• તે જ હુમલાઓને વધુ ગંભીર બનાવે છે

કમનસીબે, ઘણી સંસ્થાઓ માટે આ હજુ પણ ખૂબ જ વિવાદાસ્પદ મુદ્દો છે અને કેટલીકવાર તેની સાથે ગરમ ચર્ચાઓ પણ થાય છે (જુઓ, ઉદાહરણ તરીકે, મારા સુપરવાઈઝર કહે છે કે બધા વપરાશકર્તાઓ સ્થાનિક એડમિન હોવા જોઈએ). આ ચર્ચાની વિગતોમાં ગયા વિના, અમે માનીએ છીએ કે હુમલાખોરે તપાસ હેઠળની સિસ્ટમ પર સ્થાનિક વહીવટી અધિકારો મેળવ્યા છે, કાં તો શોષણ દ્વારા અથવા મશીનો યોગ્ય રીતે સુરક્ષિત ન હોવાને કારણે.

પગલું 1 PowerShell સાથે DNS રિઝોલ્યુશનને રિવર્સ કરો

ડિફૉલ્ટ રૂપે, પાવરશેલ ઘણા સ્થાનિક વર્કસ્ટેશનો અને મોટાભાગના Windows સર્વર્સ પર ઇન્સ્ટોલ કરેલું છે. અને જ્યારે તે અતિશયોક્તિ વિના નથી કે તે અતિ ઉપયોગી ઓટોમેશન અને કંટ્રોલ ટૂલ માનવામાં આવે છે, તે પોતાને નજીકના-અદ્રશ્યમાં રૂપાંતરિત કરવામાં સમાન રીતે સક્ષમ છે. ફાઇલલેસ માલવેર (એક હેકિંગ પ્રોગ્રામ જે હુમલાના નિશાન છોડતો નથી).

અમારા કિસ્સામાં, હુમલાખોર પાવરશેલ સ્ક્રિપ્ટનો ઉપયોગ કરીને નેટવર્ક રિકોનિસન્સ કરવાનું શરૂ કરે છે, નેટવર્ક IP એડ્રેસ સ્પેસ પર ક્રમિક રીતે પુનરાવર્તિત થાય છે, તે નક્કી કરવાનો પ્રયાસ કરે છે કે આપેલ IP હોસ્ટને ઉકેલે છે કે કેમ, અને જો એમ હોય તો, આ હોસ્ટનું નેટવર્ક નામ શું છે.
આ કાર્યને પૂર્ણ કરવાની ઘણી રીતો છે, પરંતુ cmdlet નો ઉપયોગ કરીને મેળવો-એડીકોમ્પ્યુટર એ એક નક્કર વિકલ્પ છે કારણ કે તે દરેક નોડ વિશેના ડેટાનો ખરેખર સમૃદ્ધ સેટ આપે છે:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

જો મોટા નેટવર્ક્સ પર ઝડપ એક સમસ્યા છે, તો પછી DNS કૉલબેકનો ઉપયોગ કરી શકાય છે:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

નેટવર્ક પર યજમાનોને સૂચિબદ્ધ કરવાની આ પદ્ધતિ ખૂબ જ લોકપ્રિય છે, કારણ કે મોટાભાગના નેટવર્ક્સ શૂન્ય-વિશ્વાસ સુરક્ષા મોડલનો ઉપયોગ કરતા નથી અને પ્રવૃત્તિના શંકાસ્પદ વિસ્ફોટો માટે આંતરિક DNS ક્વેરીઝનું નિરીક્ષણ કરતા નથી.

પગલું 2: લક્ષ્ય પસંદ કરો

આ પગલાનું અંતિમ પરિણામ એ સર્વર અને વર્કસ્ટેશન હોસ્ટનામોની સૂચિ મેળવવાનું છે જેનો ઉપયોગ હુમલો ચાલુ રાખવા માટે થઈ શકે છે.

નામ પરથી, 'HUB-FILER' સર્વર યોગ્ય લક્ષ્ય જેવું લાગે છે, ત્યારથી સમય જતાં, ફાઇલ સર્વર્સ, એક નિયમ તરીકે, મોટી સંખ્યામાં નેટવર્ક ફોલ્ડર્સ એકઠા કરે છે અને ઘણા બધા લોકો દ્વારા તેમને વધુ પડતી ઍક્સેસ મળે છે.

વિન્ડોઝ એક્સપ્લોરર સાથે બ્રાઉઝ કરવાથી અમને ખુલ્લા શેર કરેલ ફોલ્ડરની હાજરી શોધવાની મંજૂરી મળે છે, પરંતુ અમારું વર્તમાન એકાઉન્ટ તેને ઍક્સેસ કરી શકતું નથી (કદાચ અમારી પાસે ફક્ત સૂચિના અધિકારો છે).

પગલું 3: ACL શીખો

હવે, અમારા HUB-FILER હોસ્ટ અને લક્ષ્ય શેર પર, અમે ACL મેળવવા માટે PowerShell સ્ક્રિપ્ટ ચલાવી શકીએ છીએ. અમે સ્થાનિક મશીનથી આ કરી શકીએ છીએ, કારણ કે અમારી પાસે પહેલાથી જ સ્થાનિક સંચાલક અધિકારો છે:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

એક્ઝેક્યુશન પરિણામ:

તેમાંથી આપણે જોઈએ છીએ કે ડોમેન યુઝર્સ ગ્રૂપ પાસે ફક્ત લિસ્ટિંગની જ ઍક્સેસ છે, પરંતુ હેલ્પડેસ્ક જૂથને પણ બદલવાના અધિકારો છે.

પગલું 4: એકાઉન્ટ ઓળખ

ચાલી રહી છે મેળવો-ADGroupMember, અમે આ જૂથના તમામ સભ્યો મેળવી શકીએ છીએ:

Get-ADGroupMember -identity Helpdesk

આ સૂચિમાં આપણે એક કોમ્પ્યુટર એકાઉન્ટ જોઈએ છીએ જે આપણે પહેલેથી જ ઓળખી કાઢ્યું છે અને પહેલાથી જ એક્સેસ કર્યું છે:

પગલું 5: કમ્પ્યુટર એકાઉન્ટ તરીકે ચલાવવા માટે PSExec નો ઉપયોગ કરો

psexec от Microsoft Sysinternals позволяет выполнять команды в контексте системной учетной записи SYSTEM@HUB-SHAREPOINT, которая, как мы знаем, является членом целевой группы Helpdesk. То есть нам достаточно выполнить:

PsExec.exe -s -i cmd.exe

ઠીક છે, તો પછી તમારી પાસે HUB-FILERshareHR લક્ષ્ય ફોલ્ડરની સંપૂર્ણ ઍક્સેસ છે, કારણ કે તમે HUB-SHAREPOINT કમ્પ્યુટર એકાઉન્ટના સંદર્ભમાં કામ કરી રહ્યાં છો. અને આ ઍક્સેસ સાથે, ડેટાને પોર્ટેબલ સ્ટોરેજ ઉપકરણ પર કૉપિ કરી શકાય છે અથવા અન્યથા નેટવર્ક પર પુનઃપ્રાપ્ત અને પ્રસારિત કરી શકાય છે.

પગલું 6: આ હુમલાને શોધી કાઢવું

આ ચોક્કસ એકાઉન્ટ પ્રિવિલેજ ટ્યુનિંગ નબળાઈ (યુઝર એકાઉન્ટ્સ અથવા સર્વિસ એકાઉન્ટ્સને બદલે નેટવર્ક શેર્સને ઍક્સેસ કરતા કમ્પ્યુટર એકાઉન્ટ્સ) શોધી શકાય છે. જો કે, યોગ્ય સાધનો વિના, આ કરવું ખૂબ જ મુશ્કેલ છે.

હુમલાઓની આ શ્રેણીને શોધવા અને અટકાવવા માટે, અમે ઉપયોગ કરી શકીએ છીએ ડેટા એડવાન્ટેજ તેમાં કોમ્પ્યુટર એકાઉન્ટ્સ ધરાવતા જૂથોને ઓળખવા અને પછી તેમને ઍક્સેસ નકારવા માટે. ડેટા એલર્ટ આગળ વધે છે અને તમને આ પ્રકારના દૃશ્ય માટે ખાસ કરીને સૂચના બનાવવાની મંજૂરી આપે છે.

નીચેનો સ્ક્રીનશોટ એક કસ્ટમ સૂચના બતાવે છે જે દર વખતે જ્યારે કમ્પ્યુટર એકાઉન્ટ મોનિટર કરેલ સર્વર પર ડેટા ઍક્સેસ કરે છે ત્યારે ફાયર થશે.

PowerShell સાથે આગળનાં પગલાં

વધુ જાણવા માંગો છો? સંપૂર્ણ માટે મફત ઍક્સેસ માટે અનલૉક કોડ "બ્લોગ" નો ઉપયોગ કરો પાવરશેલ અને એક્ટિવ ડિરેક્ટરી બેઝિક્સ વિડિયો કોર્સ.

સોર્સ: www.habr.com