PowerShell-ის გამოყენება ლოკალური ანგარიშის პრივილეგიების ასამაღლებლად

პრივილეგიების ესკალაცია არის თავდამსხმელის მიმდინარე ანგარიშის უფლებების გამოყენება სისტემაში წვდომის დამატებითი, ჩვეულებრივ, უფრო მაღალი დონის მოსაპოვებლად. მიუხედავად იმისა, რომ პრივილეგიების ესკალაცია შეიძლება იყოს ნულოვანი დღის ექსპლოიტების, ოსტატი ჰაკერების მიერ მიზანმიმართული შეტევის ან ჭკვიანურად შენიღბული მავნე პროგრამის შედეგი, ეს ყველაზე ხშირად ხდება კომპიუტერის ან ანგარიშის არასწორი კონფიგურაციის გამო. შეტევის შემდგომი განვითარებისას, თავდამსხმელები იყენებენ უამრავ ინდივიდუალურ დაუცველობას, რამაც ერთად შეიძლება გამოიწვიოს მონაცემთა კატასტროფული გაჟონვა.

რატომ არ უნდა ჰქონდეთ მომხმარებლებს ადგილობრივი ადმინისტრატორის უფლებები?

თუ უსაფრთხოების პროფესიონალი ხართ, აშკარად ჩანს, რომ მომხმარებლებს არ უნდა ჰქონდეთ ადგილობრივი ადმინისტრატორის უფლებები, რადგან ეს:

• ხდის მათ ანგარიშებს უფრო დაუცველს სხვადასხვა შეტევების მიმართ
• უფრო სერიოზულს ხდის იგივე შეტევებს

სამწუხაროდ, ბევრი ორგანიზაციისთვის ეს ჯერ კიდევ ძალიან საკამათო საკითხია და ზოგჯერ თან ახლავს მწვავე დისკუსიებს (იხ., მაგალითად, ჩემი მენეჯერი ამბობს, რომ ყველა მომხმარებელი უნდა იყოს ადგილობრივი ადმინისტრატორი). ამ დისკუსიის დეტალების შესწავლის გარეშე, ჩვენ გვჯერა, რომ თავდამსხმელმა მოიპოვა ადგილობრივი ადმინისტრატორის უფლებები გამოძიების სისტემაზე, ან ექსპლოიტის მეშვეობით, ან იმის გამო, რომ მანქანები არ იყო სათანადოდ დაცული.

ნაბიჯი 1: შეცვალეთ DNS სახელის რეზოლუცია PowerShell-ის გამოყენებით

ნაგულისხმევად, PowerShell დაინსტალირებულია ბევრ ადგილობრივ სამუშაო სადგურზე და Windows სერვერების უმეტესობაზე. და მიუხედავად იმისა, რომ არ არის გაზვიადების გარეშე, რომ იგი ითვლება წარმოუდგენლად სასარგებლო ავტომატიზაციისა და კონტროლის ინსტრუმენტად, მას თანაბრად შეუძლია გადაიქცეს თითქმის უხილავ საშუალებად. უფასო მავნე პროგრამა (ჰაკერული პროგრამა, რომელიც არ ტოვებს თავდასხმის კვალს).

ჩვენს შემთხვევაში, თავდამსხმელი იწყებს ქსელის დაზვერვის შესრულებას PowerShell სკრიპტის გამოყენებით, თანმიმდევრულად იმეორებს ქსელის IP მისამართების სივრცეში, ცდილობს დაადგინოს, გადადის თუ არა მოცემული IP ჰოსტზე და თუ ასეა, რა არის ამ ჰოსტის ქსელის სახელი.
ამ ამოცანის შესრულების მრავალი გზა არსებობს, მაგრამ cmdlet-ის გამოყენებით მიიღეთ-ADComputer არის საიმედო ვარიანტი, რადგან ის აბრუნებს მონაცემთა მართლაც მდიდარ კომპლექტს თითოეული კვანძის შესახებ:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

თუ დიდ ქსელებში სიჩქარე პრობლემას წარმოადგენს, შეიძლება გამოყენებულ იქნას საპირისპირო DNS სისტემის ზარი:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

ქსელში ჰოსტების ჩამოთვლის ეს მეთოდი ძალიან პოპულარულია, რადგან ქსელების უმეტესობა არ იყენებს ნულოვანი ნდობის უსაფრთხოების მოდელს და არ აკონტროლებს შიდა DNS შეკითხვებს საეჭვო აქტივობისთვის.

ნაბიჯი 2: აირჩიეთ სამიზნე

ამ ნაბიჯის საბოლოო შედეგია სერვერისა და სამუშაო სადგურის ჰოსტების სახელების სიის მიღება, რომლებიც შეიძლება გამოყენებულ იქნას შეტევის გასაგრძელებლად.

მისი სახელიდან გამომდინარე, 'HUB-FILER' სერვერი ღირსეულ სამიზნედ გამოიყურება, რადგან... დროთა განმავლობაში, ფაილური სერვერები აგროვებენ ქსელის საქაღალდეების დიდ რაოდენობას და მათზე გადაჭარბებულ წვდომას ძალიან ბევრი ადამიანის მიერ.

Windows Explorer-ით დათვალიერება საშუალებას გვაძლევს განვსაზღვროთ, რომ არის ღია გაზიარებული საქაღალდე, მაგრამ ჩვენს მიმდინარე ანგარიშს არ შეუძლია მასზე წვდომა (ჩვენ, ალბათ, გვაქვს მხოლოდ ჩამონათვალის უფლებები).

ნაბიჯი 3: ACL-ის სწავლა

ახლა ჩვენს HUB-FILER ჰოსტზე და სამიზნე გაზიარებაზე, ჩვენ შეგვიძლია გავუშვათ PowerShell სკრიპტი ACL-ის მისაღებად. ჩვენ შეგვიძლია ამის გაკეთება ადგილობრივი აპარატიდან, რადგან ჩვენ უკვე გვაქვს ადგილობრივი ადმინისტრატორის უფლებები:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

შესრულების შედეგი:

მისგან ვხედავთ, რომ Domain Users ჯგუფს აქვს წვდომა მხოლოდ ჩამონათვალზე, მაგრამ Helpdesk ჯგუფს ასევე აქვს რედაქტირების უფლებები.

ნაბიჯი 4: ანგარიშის იდენტიფიკაცია

Სირბილი Get-ADGroupMember, ჩვენ შეგვიძლია მივიღოთ ამ ჯგუფის ყველა წევრი:

Get-ADGroupMember -identity Helpdesk

ამ სიაში ჩვენ ვხედავთ კომპიუტერის ანგარიშს, რომელიც უკვე იდენტიფიცირებულია და უკვე გვაქვს წვდომა:

ნაბიჯი 5: გამოიყენეთ PSExec კომპიუტერის ანგარიშზე მუშაობისთვის

psexec Microsoft Sysinternals-ისგან გაძლევთ საშუალებას შეასრულოთ ბრძანებები SYSTEM@HUB-SHAREPOINT სისტემის ანგარიშის კონტექსტში, რომელიც ჩვენ ვიცით, რომ Helpdesk სამიზნე ჯგუფის წევრია. ანუ, ჩვენ უბრალოდ უნდა გავაკეთოთ:

PsExec.exe -s -i cmd.exe

კარგად, მაშინ თქვენ გაქვთ სრული წვდომა სამიზნე საქაღალდეზე HUB-FILERshareHR, რადგან თქვენ მუშაობთ HUB-SHAREPOINT კომპიუტერის ანგარიშის კონტექსტში. და ამ წვდომით, მონაცემები შეიძლება დაკოპირდეს პორტატულ შესანახ მოწყობილობაში ან სხვაგვარად მოძიება და გადატანა ქსელში.

ნაბიჯი 6: ამ თავდასხმის გამოვლენა

ამ კონკრეტული ანგარიშის ნებართვების კონფიგურაციის დაუცველობა (კომპიუტერის ანგარიშები, რომლებიც წვდებიან ქსელის წილებზე მომხმარებლის ანგარიშებზე ან სერვისის ანგარიშებზე) შეიძლება აღმოჩნდეს. თუმცა, შესაბამისი ხელსაწყოების გარეშე, ამის გაკეთება ძალიან რთულია.

ამ კატეგორიის თავდასხმების აღმოსაჩენად და თავიდან ასაცილებლად შეგვიძლია გამოვიყენოთ DataAdvantage იდენტიფიცირება ჯგუფების კომპიუტერული ანგარიშებით მათში და შემდეგ მათზე წვდომის უარყოფა. DataAlert უფრო შორს მიდის და საშუალებას გაძლევთ შექმნათ შეტყობინება სპეციალურად ამ ტიპის სცენარისთვის.

ქვემოთ მოყვანილი სკრინშოტი გვიჩვენებს მორგებულ შეტყობინებას, რომელიც გააქტიურდება, როდესაც კომპიუტერის ანგარიში წვდება მონაცემებს მონიტორინგის სერვერზე.

შემდეგი ნაბიჯები PowerShell-ის გამოყენებით

გსურთ მეტი იცოდეთ? გამოიყენეთ განბლოკვის კოდი "ბლოგი" სრული წვდომისთვის PowerShell და Active Directory Basics ვიდეო კურსი.

წყარო: www.habr.com