स्थानीय खाता विशेषाधिकारों को बढ़ाने के लिए पावरशेल का उपयोग करना

विशेषाधिकार वृद्धि एक हमलावर के चालू खाता अधिकारों का उपयोग करके सिस्टम तक अतिरिक्त, आमतौर पर उच्च स्तर की पहुंच प्राप्त करना है। जबकि विशेषाधिकार वृद्धि शून्य-दिन के कारनामों, मास्टर हैकर्स द्वारा लक्षित हमले शुरू करने, या चतुराई से प्रच्छन्न मैलवेयर का परिणाम हो सकती है, यह अक्सर कंप्यूटर या खाते की गलत कॉन्फ़िगरेशन के कारण होता है। हमले को और विकसित करते हुए, हमलावर कई व्यक्तिगत कमजोरियों का फायदा उठाते हैं, जो एक साथ विनाशकारी डेटा रिसाव का कारण बन सकते हैं।

उपयोगकर्ताओं के पास स्थानीय व्यवस्थापक अधिकार क्यों नहीं होने चाहिए?

यदि आप एक सुरक्षा पेशेवर हैं, तो यह स्पष्ट प्रतीत हो सकता है कि उपयोगकर्ताओं के पास स्थानीय व्यवस्थापक अधिकार नहीं होने चाहिए, क्योंकि यह:

• उनके खातों को विभिन्न हमलों के प्रति अधिक संवेदनशील बनाता है
• इन्हीं हमलों को और अधिक गंभीर बनाता है

दुर्भाग्य से, कई संगठनों के लिए यह अभी भी एक बहुत ही विवादास्पद मुद्दा है और कभी-कभी इसके साथ गरमागरम चर्चा भी होती है (उदाहरण के लिए देखें, मेरे प्रबंधक का कहना है कि सभी उपयोगकर्ता स्थानीय प्रशासक होने चाहिए). इस चर्चा के विवरण में गए बिना, हमारा मानना ​​है कि हमलावर ने जांच के तहत सिस्टम पर स्थानीय प्रशासक अधिकार प्राप्त किए, या तो किसी शोषण के माध्यम से या क्योंकि मशीनें ठीक से सुरक्षित नहीं थीं।

चरण 1: PowerShell का उपयोग करके DNS नाम रिज़ॉल्यूशन को उलटें

डिफ़ॉल्ट रूप से, PowerShell कई स्थानीय वर्कस्टेशनों और अधिकांश विंडोज़ सर्वरों पर स्थापित होता है। और जबकि यह अतिशयोक्ति के बिना नहीं है कि इसे एक अविश्वसनीय रूप से उपयोगी स्वचालन और नियंत्रण उपकरण माना जाता है, यह लगभग अदृश्य में बदलने में भी उतना ही सक्षम है फ़ाइल रहित मैलवेयर (एक हैकिंग प्रोग्राम जो किसी हमले का कोई निशान नहीं छोड़ता)।

हमारे मामले में, हमलावर पावरशेल स्क्रिप्ट का उपयोग करके नेटवर्क टोही करना शुरू कर देता है, क्रमिक रूप से नेटवर्क के आईपी एड्रेस स्पेस के माध्यम से पुनरावृत्ति करता है, यह निर्धारित करने की कोशिश करता है कि क्या दिया गया आईपी एक होस्ट को हल करता है, और यदि हां, तो उस होस्ट का नेटवर्क नाम क्या है।
इस कार्य को पूरा करने के कई तरीके हैं, लेकिन cmdlet का उपयोग करना प्राप्त-ADComputer एक विश्वसनीय विकल्प है क्योंकि यह प्रत्येक नोड के बारे में डेटा का एक बहुत समृद्ध सेट लौटाता है:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

यदि बड़े नेटवर्क पर गति एक समस्या है, तो रिवर्स डीएनएस सिस्टम कॉल का उपयोग किया जा सकता है:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

किसी नेटवर्क पर होस्टों की गणना करने की यह विधि बहुत लोकप्रिय है क्योंकि अधिकांश नेटवर्क शून्य विश्वास सुरक्षा मॉडल का उपयोग नहीं करते हैं और गतिविधि के संदिग्ध विस्फोटों के लिए आंतरिक DNS प्रश्नों की निगरानी नहीं करते हैं।

चरण 2: एक लक्ष्य चुनें

इस चरण का अंतिम परिणाम सर्वर और वर्कस्टेशन होस्टनाम की एक सूची प्राप्त करना है जिसका उपयोग हमले को जारी रखने के लिए किया जा सकता है।

अपने नाम के आधार पर, 'हब-फ़ाइलर' सर्वर एक योग्य लक्ष्य प्रतीत होता है क्योंकि... समय के साथ, फ़ाइल सर्वर में बड़ी संख्या में नेटवर्क फ़ोल्डर जमा हो जाते हैं और बहुत से लोगों की उन तक अत्यधिक पहुंच हो जाती है।

विंडोज एक्सप्लोरर के साथ ब्राउज़ करने से हमें यह निर्धारित करने की अनुमति मिलती है कि एक खुला साझा फ़ोल्डर है, लेकिन हमारा चालू खाता उस तक नहीं पहुंच सकता है (हमारे पास शायद केवल लिस्टिंग अधिकार हैं)।

चरण 3: एसीएल सीखना

अब हमारे HUB-FILER होस्ट और लक्ष्य शेयर पर, हम ACL प्राप्त करने के लिए PowerShell स्क्रिप्ट चला सकते हैं। हम इसे स्थानीय मशीन से कर सकते हैं, क्योंकि हमारे पास पहले से ही स्थानीय प्रशासक अधिकार हैं:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

निष्पादन परिणाम:

इससे हम देखते हैं कि डोमेन उपयोगकर्ता समूह के पास केवल लिस्टिंग तक पहुंच है, लेकिन हेल्पडेस्क समूह के पास संपादन अधिकार भी हैं।

चरण 4: खाता पहचान

चलाकर प्राप्त करें-ADGroupMember, हम इस समूह के सभी सदस्यों को प्राप्त कर सकते हैं:

Get-ADGroupMember -identity Helpdesk

इस सूची में हम वह कंप्यूटर खाता देखते हैं जिसे हमने पहले ही पहचान लिया है और पहले ही एक्सेस कर लिया है:

चरण 5: कंप्यूटर खाते के अंतर्गत काम करने के लिए PSExec का उपयोग करें

Psexec माइक्रोसॉफ्ट से Sysinternals आपको SYSTEM@HUB-SHAREPOINT सिस्टम खाते के संदर्भ में कमांड निष्पादित करने की अनुमति देता है, जिसे हम जानते हैं कि हेल्पडेस्क लक्ष्य समूह का सदस्य है। यानी, हमें बस इतना करना है:

PsExec.exe -s -i cmd.exe

ठीक है, तो आपके पास लक्ष्य फ़ोल्डर HUB-FILERshareHR तक पूरी पहुंच है, क्योंकि आप HUB-SHAREPOINT कंप्यूटर खाते के संदर्भ में काम कर रहे हैं। और इस पहुंच के साथ, डेटा को पोर्टेबल स्टोरेज डिवाइस में कॉपी किया जा सकता है या अन्यथा पुनर्प्राप्त किया जा सकता है और नेटवर्क पर स्थानांतरित किया जा सकता है।

चरण 6: इस हमले का पता लगाना

इस विशेष खाता अनुमति कॉन्फ़िगरेशन भेद्यता (उपयोगकर्ता खातों या सेवा खातों के बजाय नेटवर्क शेयरों तक पहुंचने वाले कंप्यूटर खाते) की खोज की जा सकती है। हालाँकि, सही उपकरणों के बिना, ऐसा करना बहुत मुश्किल है।

इस श्रेणी के हमलों का पता लगाने और उन्हें रोकने के लिए, हम इसका उपयोग कर सकते हैं डेटाएडवांटेज कंप्यूटर खातों वाले समूहों की पहचान करना और फिर उन तक पहुंच से इनकार करना। डेटाअलर्ट आगे बढ़ता है और आपको इस प्रकार के परिदृश्य के लिए विशेष रूप से एक अधिसूचना बनाने की अनुमति देता है।

नीचे दिया गया स्क्रीनशॉट एक कस्टम अधिसूचना दिखाता है जो तब चालू हो जाएगी जब कोई कंप्यूटर खाता मॉनिटर किए गए सर्वर पर डेटा एक्सेस करेगा।

PowerShell का उपयोग करके अगले चरण

और अधिक जानने की इच्छा है? संपूर्ण तक निःशुल्क पहुंच के लिए अनलॉक कोड "ब्लॉग" का उपयोग करें पॉवरशेल और एक्टिव डायरेक्ट्री बेसिक्स वीडियो कोर्स.

स्रोत: www.habr.com