שימוש ב- PowerShell כדי להעלות את ההרשאות של חשבונות מקומיים

הסלמה של הרשאות היא השימוש של תוקף בזכויות הנוכחיות של חשבון כדי לקבל גישה נוספת, בדרך כלל, רמה גבוהה יותר של גישה למערכת. בעוד שהסלמה של הרשאות יכולה להיות תוצאה של ניצול פגיעויות של יום אפס, או עבודה של האקרים מהשורה הראשונה המבצעים התקפה ממוקדת, או תוכנות זדוניות מוסוות היטב, לרוב זה נובע מהגדרה שגויה של המחשב או החשבון. בפיתוח המתקפה הלאה, התוקפים משתמשים במספר נקודות תורפה בודדות, אשר יחד עלולות להוביל לדליפת נתונים קטסטרופלית.

מדוע לא יהיו למשתמשים זכויות מנהל מקומיות?

אם אתה מקצוען אבטחה, זה עשוי להיראות ברור שלמשתמשים אין זכויות מנהל מקומיות, שכן זה:

• הופך את החשבונות שלהם לפגיעים יותר להתקפות שונות
• הופך את אותן התקפות להרבה יותר חמורות

למרבה הצער, עבור ארגונים רבים זה עדיין נושא מאוד שנוי במחלוקת ולעיתים מלווה בדיונים סוערים (ראו, למשל, הממונה שלי אומר שכל המשתמשים חייבים להיות מנהלים מקומיים). מבלי להיכנס לפרטי הדיון הזה, אנו מאמינים שהתוקף השיג זכויות מנהל מקומיות במערכת הנחקרת, בין אם באמצעות ניצול או בגלל שהמכונות לא היו מוגנות כראוי.

שלב 1 הפוך את רזולוציית DNS עם PowerShell

כברירת מחדל, PowerShell מותקן בתחנות עבודה מקומיות רבות וברוב שרתי Windows. ולמרות שזה לא בלי הגזמה שהוא נחשב לכלי אוטומציה ובקרה שימושי להפליא, הוא מסוגל באותה מידה להפוך את עצמו לכלי כמעט בלתי נראה תוכנה זדונית ללא קבצים (תוכנת פריצה שאינה משאירה עקבות של המתקפה).

במקרה שלנו, התוקף מתחיל לבצע סיור רשת באמצעות סקריפט PowerShell, חוזר ברצף על מרחב כתובות ה-IP של הרשת, מנסה לקבוע אם IP נתון הופך למארח, ואם כן, מהו שם הרשת של המארח הזה.
ישנן דרכים רבות לבצע משימה זו, אך באמצעות ה-cmdlet לקבל-ADComputer הוא אופציה מוצקה מכיוון שהוא מחזיר קבוצה עשירה באמת של נתונים לגבי כל צומת:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

אם מהירות ברשתות גדולות היא בעיה, אז ניתן להשתמש ב-DNS callback:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

שיטה זו של רישום מארחים ברשת פופולרית מאוד, שכן רוב הרשתות אינן משתמשות במודל אבטחה אפס-אמון ואינן עוקבות אחר שאילתות DNS פנימיות לאיתור פרצי פעילות חשודה.

שלב 2: בחר יעד

התוצאה הסופית של שלב זה היא השגת רשימה של שמות שרתים ותחנות עבודה שניתן להשתמש בהם כדי להמשיך את המתקפה.

לפי השם, שרת 'HUB-FILER' נראה כמטרה ראויה, שכן עם הזמן, שרתי קבצים, ככלל, צוברים מספר רב של תיקיות רשת וגישה מוגזמת אליהם על ידי יותר מדי אנשים.

גלישה עם סייר Windows מאפשרת לנו לזהות נוכחות של תיקיה משותפת פתוחה, אך לחשבון הנוכחי שלנו אין גישה אליה (כנראה יש לנו רק זכויות רישום).

שלב 3: למד ACLs

כעת, ב-HUB-FILER המארח ובשיתוף היעד שלנו, אנו יכולים להריץ סקריפט PowerShell כדי לקבל את ה-ACL. אנו יכולים לעשות זאת מהמחשב המקומי, מכיוון שכבר יש לנו זכויות מנהל מקומיות:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

תוצאת ביצוע:

ממנו אנו רואים שלקבוצת משתמשי הדומיין יש גישה רק לרישום, אך גם לקבוצת ה-Helpdesk יש את הזכויות לשנות.

שלב 4: זיהוי חשבון

על ידי ריצה Get-ADGroupMember, נוכל לקבל את כל חברי הקבוצה הזו:

Get-ADGroupMember -identity Helpdesk

ברשימה זו אנו רואים חשבון מחשב שכבר זיהינו וכבר ניגשנו אליו:

שלב 5: השתמש ב-PSExec כדי לפעול כחשבון מחשב

PsExec מבית Microsoft Sysinternals מאפשר לך לבצע פקודות בהקשר של חשבון המערכת SYSTEM@HUB-SHAREPOINT, שאנו יודעים שהוא חבר בקבוצת היעד של Helpdesk. כלומר, אנחנו רק צריכים לעשות:

PsExec.exe -s -i cmd.exe

ובכן, אז יש לך גישה מלאה לתיקיית היעד HUB-FILERshareHR, מכיוון שאתה עובד בהקשר של חשבון המחשב HUB-SHAREPOINT. ועם גישה זו, ניתן להעתיק את הנתונים להתקן אחסון נייד או לאחזר ולהעביר בדרך אחרת דרך הרשת.

שלב 6: זיהוי התקפה זו

ניתן לגלות את הפגיעות הספציפית הזו של כוונון הרשאות חשבון (חשבונות מחשב שניגשים לשיתופי רשת במקום חשבונות משתמש או חשבונות שירות). עם זאת, ללא הכלים הנכונים, זה מאוד קשה לעשות.

כדי לזהות ולמנוע קטגוריה זו של התקפות, אנו יכולים להשתמש DataAdvantage לזהות קבוצות עם חשבונות מחשב, ולאחר מכן למנוע גישה אליהן. DataAlert הולך רחוק יותר ומאפשר לך ליצור הודעה במיוחד עבור תרחיש מסוג זה.

צילום המסך שלהלן מציג הודעה מותאמת אישית שתידלק בכל פעם שחשבון מחשב ניגש לנתונים בשרת מנוטר.

השלבים הבאים עם PowerShell

רוצים לדעת עוד? השתמש בקוד ביטול הנעילה של "בלוג" לגישה חופשית במלואה קורס וידאו בסיסי PowerShell ו-Active Directory.

מקור: www.habr.com