Користење на PowerShell за подигнување на привилегијата на локалните сметки

Зголемување на привилегијата е користење од страна на напаѓачот на тековните права на сметката за да се добие дополнително, обично повисоко ниво на пристап до системот. Иако ескалацијата на привилегиите може да биде резултат на искористување на пропусти во нула ден, или работа на првокласни хакери кои спроведуваат насочен напад или паметно прикриен малициозен софтвер, тоа најчесто се должи на погрешна конфигурација на компјутерот или сметката. Развивајќи го нападот понатаму, напаѓачите користат голем број индивидуални пропусти, кои заедно може да доведат до катастрофално истекување на податоци.

Зошто корисниците не треба да имаат локални администраторски права?

Ако сте професионалец за безбедност, можеби изгледа очигледно дека корисниците не треба да имаат локални администраторски права, како што е ова:

• Ги прави нивните сметки поранливи на разни напади
• Ги прави истите напади многу потешки

За жал, за многу организации ова е сè уште многу контроверзно прашање и понекогаш е придружено со жестоки дискусии (види, на пример, мојот претпоставен вели дека сите корисници мора да бидат локални администратори). Без да навлегуваме во деталите на оваа дискусија, веруваме дека напаѓачот се здобил со локални администраторски права на системот под истрага, или преку експлоат или поради тоа што машините не биле соодветно заштитени.

Чекор 1 Обратна резолуција на DNS со PowerShell

Стандардно, PowerShell е инсталиран на многу локални работни станици и на повеќето сервери на Windows. И иако не е без претерување дека се смета за неверојатно корисна алатка за автоматизација и контрола, таа е подеднакво способна да се трансформира во речиси невидлива малициозен софтвер без датотеки (програма за хакирање која не остава траги од нападот).

Во нашиот случај, напаѓачот започнува да врши мрежно извидување со помош на скрипта PowerShell, секвенцијално повторувајќи се преку просторот за мрежната IP адреса, обидувајќи се да утврди дали дадената IP адреса се решава на домаќинот и ако е така, кое е името на мрежата на овој домаќин.
Постојат многу начини да се постигне оваа задача, но со помош на cmdlet Се-ADComputer е солидна опција бидејќи враќа навистина богат сет на податоци за секој јазол:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

Ако брзината на големи мрежи е проблем, тогаш може да се користи DNS повратен повик:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

Овој метод на наведување на хостови на мрежа е многу популарен, бидејќи повеќето мрежи не користат безбедносен модел со нулта доверба и не ги следат внатрешните барања за DNS за сомнителни изливи на активност.

Чекор 2: Изберете цел

Крајниот резултат од овој чекор е да се добие список со имиња на домаќини на серверот и работните станици што може да се користат за продолжување на нападот.

Од името, серверот 'HUB-FILER' изгледа како достојна цел, бидејќи со текот на времето, серверите за датотеки, како по правило, акумулираат голем број мрежни папки и прекумерен пристап до нив од премногу луѓе.

Прелистувањето со Windows Explorer ни овозможува да откриеме присуство на отворена споделена папка, но нашата тековна сметка не може да пристапи до неа (веројатно имаме само права на оглас).

Чекор 3: Научете ACL

Сега, на нашиот хост и целен дел од HUB-FILER, можеме да извршиме PowerShell скрипта за да го добиеме ACL. Ова може да го направиме од локалната машина, бидејќи веќе имаме локални администраторски права:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

Резултат од извршувањето:

Од него гледаме дека групата Domain Users има пристап само до огласот, но групата Helpdesk исто така има права да се менува.

Чекор 4: Идентификација на сметка

Со трчање Get-ADGroupMember, можеме да ги добиеме сите членови на оваа група:

Get-ADGroupMember -identity Helpdesk

Во оваа листа гледаме компјутерска сметка на која веќе сме идентификувале и веќе сме пристапиле:

Чекор 5: Користете PSExec за да работи како компјутерска сметка

psexec од Microsoft Sysinternals ви овозможува да извршувате команди во контекст на системската сметка SYSTEM@HUB-SHAREPOINT, за која знаеме дека е член на целната група на Helpdesk. Тоа е, ние само треба да направиме:

PsExec.exe -s -i cmd.exe

Па, тогаш имате целосен пристап до целната папка HUB-FILERshareHR, бидејќи работите во контекст на компјутерската сметка HUB-SHAREPOINT. И со овој пристап, податоците може да се копираат на пренослив уред за складирање или на друг начин да се преземат и да се пренесат преку мрежата.

Чекор 6: Откривање на овој напад

Оваа конкретна ранливост за подесување на привилегијата на сметката (компјутерски сметки што пристапуваат до мрежни споделувања наместо до кориснички сметки или сметки на услуги) може да се открие. Сепак, без соодветни алатки, ова е многу тешко да се направи.

За откривање и спречување на оваа категорија на напади, можеме да користиме DataAdvantage да идентификува групи со компјутерски сметки во нив, а потоа да одбие пристап до нив. DataAlert оди понатаму и ви овозможува да креирате известување специјално за овој вид на сценарио.

Сликата од екранот подолу покажува прилагодено известување што ќе се активира секој пат кога сметката на компјутерот ќе пристапи до податоците на надгледуваниот сервер.

Следни чекори со PowerShell

Сакате да дознаете повеќе? Користете го кодот за отклучување „блог“ за бесплатен пристап до целосен Видео курс за PowerShell и Active Directory Basics.

Извор: www.habr.com