Forréttindastigmögnun er notkun árásarmanns á núverandi réttindum reiknings til að fá viðbótar, venjulega hærra stig aðgangs að kerfinu. Þó að aukning forréttinda geti verið afleiðing af því að nýta núlldaga veikleika, eða vinnu fyrsta flokks tölvuþrjóta sem stunda markvissa árás, eða vel dulbúinn spilliforrit, er það oftast vegna rangstillingar á tölvunni eða reikningnum. Með því að þróa árásina frekar nota árásarmenn fjölda einstakra veikleika, sem saman geta leitt til skelfilegrar gagnaleka.
Af hverju ættu notendur ekki að hafa staðbundin stjórnandaréttindi?
Ef þú ert öryggissérfræðingur kann það að virðast augljóst að notendur ættu ekki að hafa staðbundin stjórnandaréttindi, þar sem þetta:
- Gerir reikninga þeirra viðkvæmari fyrir ýmsum árásum
- Gerir þessar sömu árásir mun alvarlegri
Því miður, fyrir margar stofnanir, er þetta enn mjög umdeilt mál og er stundum samfara heitum umræðum (sjá t.d. ). Án þess að fara nánar út í þessa umræðu teljum við að árásarmaðurinn hafi öðlast staðbundin stjórnunarréttindi á kerfinu sem verið er að rannsaka, annað hvort með hagnýtingu eða vegna þess að vélarnar voru ekki rétt varnar.
Skref 1 Snúa við DNS upplausn með PowerShell
Sjálfgefið er að PowerShell er sett upp á mörgum staðbundnum vinnustöðvum og á flestum Windows netþjónum. Og þó að það sé ekki ýkt að það sé talið ótrúlega gagnlegt sjálfvirkni- og stjórnunartæki, þá er það jafn fært um að breyta sjálfu sér í næstum ósýnilegt (hakkforrit sem skilur ekki eftir sig ummerki um árásina).
Í okkar tilviki byrjar árásarmaðurinn að framkvæma netkönnun með því að nota PowerShell skriftu, endurtaka í röð yfir IP-tölusvæði netsins, reyna að ákvarða hvort tiltekin IP leysist til hýsils, og ef svo er, hvað er netheiti þessa hýsils.
Það eru margar leiðir til að framkvæma þetta verkefni, en með því að nota cmdlet ADComputer er traustur valkostur vegna þess að hann skilar mjög ríku gagnasetti um hvern hnút:
import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}Ef hraði á stórum netum er vandamál, þá er hægt að nota DNS-tilbakahringingu:
[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName
Þessi aðferð við að skrá hýsingar á netkerfi er mjög vinsæl þar sem flest net nota ekki öryggislíkan með núlltrausti og fylgjast ekki með innri DNS-beiðnum um grunsamlega virkni.
Skref 2: Veldu markmið
Lokaniðurstaðan af þessu skrefi er að fá lista yfir netþjóna og vinnustöðvar hýsilnöfn sem hægt er að nota til að halda áfram árásinni.
Frá nafninu virðist 'HUB-FILER' þjónninn vera verðugt skotmark, síðan með tímanum safna skráaþjónum að jafnaði upp miklum fjölda netmöppum og of mörgum aðgangi að þeim.
Vafra með Windows Explorer gerir okkur kleift að greina tilvist opinnar sameiginlegrar möppu, en núverandi reikningur okkar hefur ekki aðgang að henni (líklega höfum við aðeins skráningarréttindi).
Skref 3: Lærðu ACLs
Núna, á HUB-FILER gestgjafanum okkar og miðahlutdeild, getum við keyrt PowerShell skriftu til að fá ACL. Við getum gert þetta frá staðbundinni vél, þar sem við höfum nú þegar staðbundin stjórnandaréttindi:
(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –autoNiðurstaða framkvæmd:
Af því sjáum við að lénsnotendahópurinn hefur aðeins aðgang að skráningunni, en þjónustuverið hefur einnig réttindi til að breyta.
Skref 4: Auðkenning reiknings
Hlaupandi , við getum fengið alla meðlimi þessa hóps:
Get-ADGroupMember -identity Helpdesk
Í þessum lista sjáum við tölvureikning sem við höfum þegar auðkennt og höfum þegar opnað:
Skref 5: Notaðu PSExec til að keyra sem tölvureikning
frá Microsoft Sysinternals gerir þér kleift að framkvæma skipanir í samhengi við SYSTEM@HUB-SHAREPOINT kerfisreikninginn, sem við vitum að tilheyrir markhópi þjónustuversins. Það er, við þurfum bara að gera:
PsExec.exe -s -i cmd.exeJæja, þá hefurðu fullan aðgang að markmöppunni HUB-FILERshareHR, þar sem þú ert að vinna í samhengi við HUB-SHAREPOINT tölvureikninginn. Og með þessum aðgangi er hægt að afrita gögnin yfir á flytjanlegt geymslutæki eða sækja þau á annan hátt og senda þau um netið.
Skref 6: Uppgötvaðu þessa árás
Hægt er að uppgötva þennan tiltekna veikleika í stillingu reikningsréttinda (tölvureikningar sem fá aðgang að nethlutum í stað notendareikninga eða þjónustureikninga). Hins vegar, án réttra verkfæra, er þetta mjög erfitt að gera.
Til að greina og koma í veg fyrir þennan flokk árása getum við notað að bera kennsl á hópa með tölvureikninga í þeim, og neita síðan aðgangi að þeim. gengur lengra og gerir þér kleift að búa til tilkynningu sérstaklega fyrir svona atburðarás.
Skjámyndin hér að neðan sýnir sérsniðna tilkynningu sem kviknar í hvert skipti sem tölvureikningur opnar gögn á vöktuðum netþjóni.
Næstu skref með PowerShell
Viltu vita meira? Notaðu "blogg" opnunarkóðann til að fá ókeypis aðgang að fullu .
Heimild: www.habr.com