1। परिचय

जिन कंपनियों के पास रिमोट एक्सेस सिस्टम नहीं थे, उन्होंने कुछ महीने पहले उन्हें तत्काल तैनात कर दिया। सभी प्रशासक ऐसी "गर्मी" के लिए तैयार नहीं थे, जिसके परिणामस्वरूप सुरक्षा चूक हुई: सेवाओं का गलत कॉन्फ़िगरेशन या यहां तक ​​कि पहले से खोजी गई कमजोरियों के साथ सॉफ़्टवेयर के पुराने संस्करणों की स्थापना। कुछ के लिए, ये चूक पहले ही उलटफेर कर चुकी हैं, अन्य अधिक भाग्यशाली थे, लेकिन हर किसी को निश्चित रूप से निष्कर्ष निकालना चाहिए। दूरस्थ कार्य के प्रति निष्ठा तेजी से बढ़ी है, और अधिक से अधिक कंपनियां निरंतर आधार पर दूरस्थ कार्य को स्वीकार्य प्रारूप के रूप में स्वीकार कर रही हैं।

इसलिए, रिमोट एक्सेस प्रदान करने के लिए कई विकल्प हैं: विभिन्न वीपीएन, आरडीएस और वीएनसी, टीमव्यूअर और अन्य। कॉर्पोरेट नेटवर्क और उसमें मौजूद उपकरणों के निर्माण की विशिष्टताओं के आधार पर प्रशासकों के पास चुनने के लिए बहुत कुछ है। वीपीएन समाधान सबसे लोकप्रिय बने हुए हैं, हालांकि, कई छोटी कंपनियां आरडीएस (रिमोट डेस्कटॉप सर्विसेज) चुनती हैं, वे तैनात करने में सरल और तेज़ हैं।

इस लेख में हम आरडीएस सुरक्षा के बारे में अधिक बात करेंगे। आइए ज्ञात कमजोरियों का एक संक्षिप्त अवलोकन करें, और सक्रिय निर्देशिका के आधार पर नेटवर्क बुनियादी ढांचे पर हमला शुरू करने के लिए कई परिदृश्यों पर भी विचार करें। हमें उम्मीद है कि हमारा लेख किसी को बग पर काम करने और सुरक्षा में सुधार करने में मदद करेगा।

2. हाल की आरडीएस/आरडीपी कमजोरियाँ

किसी भी सॉफ़्टवेयर में त्रुटियाँ और कमजोरियाँ होती हैं जिनका हमलावरों द्वारा फायदा उठाया जा सकता है, और आरडीएस कोई अपवाद नहीं है। Microsoft हाल ही में बार-बार नई कमजोरियों की रिपोर्ट कर रहा है, इसलिए हमने उन्हें एक संक्षिप्त अवलोकन देने का निर्णय लिया:

• CVE-2019-0787

यह भेद्यता उन उपयोगकर्ताओं को जोखिम में डालती है जो किसी समझौता किए गए सर्वर से जुड़ते हैं। एक हमलावर उपयोगकर्ता के डिवाइस पर नियंत्रण हासिल कर सकता है या स्थायी रिमोट एक्सेस प्राप्त करने के लिए सिस्टम में पैर जमा सकता है।

• CVE-2019-1181 / CVE-2019-1182 / CVE-2020-0609

कमजोरियों का यह समूह एक अप्रमाणित हमलावर को विशेष रूप से तैयार किए गए अनुरोध का उपयोग करके आरडीएस चलाने वाले सर्वर पर मनमाने कोड को दूरस्थ रूप से निष्पादित करने की अनुमति देता है। उनका उपयोग वर्म्स-मैलवेयर बनाने के लिए भी किया जा सकता है जो नेटवर्क पर पड़ोसी उपकरणों को स्वतंत्र रूप से संक्रमित करता है। इस प्रकार, ये कमजोरियाँ पूरे कंपनी के नेटवर्क को खतरे में डाल सकती हैं, और केवल समय पर अपडेट ही उन्हें बचा सकता है।

रिमोट एक्सेस सॉफ़्टवेयर पर शोधकर्ताओं और हमलावरों दोनों का ध्यान बढ़ गया है, इसलिए हम जल्द ही इसी तरह की और कमजोरियों के बारे में सुन सकते हैं।

अच्छी खबर यह है कि सभी कमजोरियों के लिए सार्वजनिक लाभ उपलब्ध नहीं हैं। बुरी खबर यह है कि विशेषज्ञता वाले किसी हमलावर के लिए विवरण के आधार पर भेद्यता के लिए शोषण लिखना या पैच डिफिंग जैसी तकनीकों का उपयोग करना मुश्किल नहीं होगा (हमारे सहयोगियों ने इसके बारे में लिखा है) लेख). इसलिए, हम अनुशंसा करते हैं कि आप नियमित रूप से सॉफ़्टवेयर को अपडेट करें और खोजी गई कमजोरियों के बारे में नए संदेशों की उपस्थिति की निगरानी करें।

3. आक्रमण

हम लेख के दूसरे भाग की ओर बढ़ते हैं, जहां हम दिखाएंगे कि सक्रिय निर्देशिका पर आधारित नेटवर्क बुनियादी ढांचे पर हमले कैसे शुरू होते हैं।

वर्णित विधियाँ एक हमलावर के निम्नलिखित मॉडल पर लागू होती हैं: एक हमलावर जिसके पास एक उपयोगकर्ता खाता है और उसके पास रिमोट डेस्कटॉप गेटवे तक पहुंच है - एक टर्मिनल सर्वर (अक्सर यह पहुंच योग्य होता है, उदाहरण के लिए, किसी बाहरी नेटवर्क से)। इन तरीकों का उपयोग करके, हमलावर बुनियादी ढांचे पर हमले जारी रखने और नेटवर्क पर अपनी उपस्थिति को मजबूत करने में सक्षम होगा।

प्रत्येक विशिष्ट मामले में नेटवर्क कॉन्फ़िगरेशन भिन्न हो सकता है, लेकिन वर्णित तकनीकें काफी सार्वभौमिक हैं।

प्रतिबंधित वातावरण छोड़ने और विशेषाधिकार बढ़ाने के उदाहरण

रिमोट डेस्कटॉप गेटवे तक पहुंचने पर, एक हमलावर को संभवतः किसी प्रकार के प्रतिबंधित वातावरण का सामना करना पड़ेगा। जब आप किसी टर्मिनल सर्वर से कनेक्ट होते हैं, तो उस पर एक एप्लिकेशन लॉन्च होता है: आंतरिक संसाधनों, एक्सप्लोरर, ऑफिस पैकेज या किसी अन्य सॉफ़्टवेयर के लिए रिमोट डेस्कटॉप प्रोटोकॉल के माध्यम से कनेक्ट करने के लिए एक विंडो।

हमलावर का लक्ष्य कमांड निष्पादित करने तक पहुंच प्राप्त करना होगा, यानी सीएमडी या पावरशेल लॉन्च करना होगा। कई क्लासिक विंडोज़ सैंडबॉक्स एस्केप तकनीकें इसमें मदद कर सकती हैं। आइए उन पर आगे विचार करें।

देखिये 1. हमलावर के पास रिमोट डेस्कटॉप गेटवे के भीतर रिमोट डेस्कटॉप कनेक्शन विंडो तक पहुंच है:

"विकल्प दिखाएँ" मेनू खुलता है। कनेक्शन कॉन्फ़िगरेशन फ़ाइलों में हेरफेर करने के लिए विकल्प दिखाई देते हैं:

इस विंडो से आप किसी भी "ओपन" या "सेव" बटन पर क्लिक करके एक्सप्लोरर तक आसानी से पहुंच सकते हैं:

एक्सप्लोरर खुलता है. इसका "एड्रेस बार" अनुमत निष्पादन योग्य फ़ाइलों को लॉन्च करना, साथ ही फ़ाइल सिस्टम को सूचीबद्ध करना संभव बनाता है। यह किसी हमलावर के लिए उन मामलों में उपयोगी हो सकता है जहां सिस्टम ड्राइव छिपी हुई हैं और सीधे उन तक नहीं पहुंचा जा सकता है:

→ डेमो वीडियो

एक समान परिदृश्य को पुन: प्रस्तुत किया जा सकता है, उदाहरण के लिए, जब दूरस्थ सॉफ़्टवेयर के रूप में Microsoft Office सुइट से Excel का उपयोग किया जाता है।

→ डेमो वीडियो

इसके अलावा, इस ऑफिस सुइट में उपयोग किए गए मैक्रोज़ के बारे में न भूलें। हमारे सहयोगियों ने इसमें वृहद सुरक्षा की समस्या को देखा लेख.

देखिये 2. पिछले संस्करण के समान इनपुट का उपयोग करके, हमलावर एक ही खाते के तहत दूरस्थ डेस्कटॉप पर कई कनेक्शन लॉन्च करता है। जब आप पुनः कनेक्ट करेंगे, तो पहला बंद हो जाएगा, और त्रुटि अधिसूचना वाली एक विंडो स्क्रीन पर दिखाई देगी। इस विंडो में सहायता बटन सर्वर पर इंटरनेट एक्सप्लोरर को कॉल करेगा, जिसके बाद हमलावर एक्सप्लोरर पर जा सकता है।

→ डेमो वीडियो

देखिये 3. यदि निष्पादन योग्य फ़ाइलों को लॉन्च करने पर प्रतिबंध कॉन्फ़िगर किया गया है, तो एक हमलावर को ऐसी स्थिति का सामना करना पड़ सकता है जहां समूह नीतियां व्यवस्थापक को cmd.exe चलाने से रोकती हैं।

दूरस्थ डेस्कटॉप पर cmd.exe /K <कमांड> जैसी सामग्री के साथ बैट फ़ाइल चलाकर इससे निजात पाने का एक तरीका है। Cmd प्रारंभ करते समय एक त्रुटि और बैट फ़ाइल निष्पादित करने का एक सफल उदाहरण नीचे दिए गए चित्र में दिखाया गया है।

देखिये 4. निष्पादन योग्य फ़ाइलों के नाम के आधार पर ब्लैकलिस्ट का उपयोग करके अनुप्रयोगों के लॉन्च पर रोक लगाना कोई रामबाण नहीं है; उन्हें दरकिनार किया जा सकता है।

निम्नलिखित परिदृश्य पर विचार करें: हमने कमांड लाइन तक पहुंच अक्षम कर दी है, समूह नीतियों का उपयोग करके इंटरनेट एक्सप्लोरर और पावरशेल के लॉन्च को रोक दिया है। हमलावर मदद के लिए पुकारने की कोशिश करता है - कोई प्रतिक्रिया नहीं। एक मोडल विंडो के संदर्भ मेनू के माध्यम से पावरशेल लॉन्च करने का प्रयास किया जा रहा है, जिसे Shift कुंजी दबाए जाने पर कॉल किया जाता है - एक संदेश जो दर्शाता है कि लॉन्च व्यवस्थापक द्वारा निषिद्ध है। एड्रेस बार के माध्यम से पावरशेल लॉन्च करने का प्रयास करता है - फिर से कोई प्रतिक्रिया नहीं। प्रतिबंध को कैसे दरकिनार करें?

यह Powershell.exe को C:WindowsSystem32WindowsPowerShellv1.0 फ़ोल्डर से उपयोगकर्ता फ़ोल्डर में कॉपी करने के लिए पर्याप्त है, नाम को Powershell.exe के अलावा किसी अन्य चीज़ में बदलें, और लॉन्च विकल्प दिखाई देगा।

डिफ़ॉल्ट रूप से, रिमोट डेस्कटॉप से ​​कनेक्ट होने पर, क्लाइंट की स्थानीय डिस्क तक पहुंच प्रदान की जाती है, जहां से एक हमलावर पॉवरशेल.exe की प्रतिलिपि बना सकता है और उसका नाम बदलने के बाद उसे चला सकता है।

→ डेमो वीडियो

हमने प्रतिबंधों को बायपास करने के केवल कुछ तरीके दिए हैं; आप कई और परिदृश्यों के साथ आ सकते हैं, लेकिन उन सभी में एक चीज समान है: विंडोज एक्सप्लोरर तक पहुंच। ऐसे कई एप्लिकेशन हैं जो मानक विंडोज फ़ाइल हेरफेर टूल का उपयोग करते हैं, और जब सीमित वातावरण में रखा जाता है, तो समान तकनीकों का उपयोग किया जा सकता है।

4. सिफ़ारिशें और निष्कर्ष

जैसा कि हम देख सकते हैं, सीमित वातावरण में भी हमले के विकास की गुंजाइश है। हालाँकि, आप हमलावर के लिए जीवन को और अधिक कठिन बना सकते हैं। हम सामान्य सिफ़ारिशें प्रदान करते हैं जो हमारे द्वारा विचार किए गए विकल्पों और अन्य मामलों दोनों में उपयोगी होंगी।

• समूह नीतियों का उपयोग करके ब्लैक/व्हाइट सूचियों में सीमा कार्यक्रम लॉन्च किया गया।
  हालाँकि, अधिकांश मामलों में, कोड चलाना संभव रहता है। हमारा सुझाव है कि आप इस परियोजना से परिचित हो जाएं लोलबास, फ़ाइलों में हेरफेर करने और सिस्टम पर कोड निष्पादित करने के अनिर्दिष्ट तरीकों का एक विचार रखने के लिए।
  हम दोनों प्रकार के प्रतिबंधों को संयोजित करने की अनुशंसा करते हैं: उदाहरण के लिए, आप Microsoft द्वारा हस्ताक्षरित निष्पादन योग्य फ़ाइलों के लॉन्च की अनुमति दे सकते हैं, लेकिन cmd.exe के लॉन्च को प्रतिबंधित कर सकते हैं।
• इंटरनेट एक्सप्लोरर सेटिंग टैब अक्षम करें (रजिस्ट्री में स्थानीय रूप से किया जा सकता है)।
• regedit के माध्यम से Windows अंतर्निहित सहायता अक्षम करें।
• यदि ऐसी कोई सीमा उपयोगकर्ताओं के लिए महत्वपूर्ण नहीं है, तो दूरस्थ कनेक्शन के लिए स्थानीय डिस्क माउंट करने की क्षमता अक्षम करें।
• रिमोट मशीन की स्थानीय ड्राइव तक पहुंच सीमित करें, केवल उपयोगकर्ता फ़ोल्डरों तक पहुंच छोड़ दें।

हमें उम्मीद है कि आपको यह कम से कम दिलचस्प लगा होगा, और अधिकतम यह लेख आपकी कंपनी के दूरस्थ कार्य को सुरक्षित बनाने में मदद करेगा।

स्रोत: www.habr.com