स्थानिक खात्यांचा विशेषाधिकार वाढवण्यासाठी PowerShell वापरणे

प्रिव्हिलेज एस्केलेशन म्हणजे खात्याच्या वर्तमान अधिकारांचा आक्रमणकर्त्याद्वारे अतिरिक्त, सामान्यत: उच्च स्तरावरील प्रवेश मिळविण्यासाठी वापरणे. विशेषाधिकार वाढवणे हे शून्य-दिवसातील असुरक्षा किंवा लक्ष्यित हल्ला करणार्‍या प्रथम श्रेणीच्या हॅकर्सचे कार्य किंवा चांगल्या प्रच्छन्न मालवेअरचे शोषण करण्याचा परिणाम असू शकतो, हे बहुतेक वेळा संगणक किंवा खात्याच्या चुकीच्या कॉन्फिगरेशनमुळे होते. हल्ला आणखी विकसित करताना, हल्लेखोर अनेक वैयक्तिक असुरक्षा वापरतात, ज्यामुळे एकत्रितपणे आपत्तीजनक डेटा लीक होऊ शकतो.

वापरकर्त्यांना स्थानिक प्रशासक अधिकार का नसावेत?

तुम्ही सुरक्षा व्यावसायिक असल्यास, वापरकर्त्यांकडे स्थानिक प्रशासक अधिकार नसावेत, असे स्पष्ट दिसते, जसे की:

• त्यांची खाती विविध हल्ल्यांसाठी अधिक असुरक्षित बनवते
• तेच हल्ले अधिक तीव्र करते

दुर्दैवाने, बर्‍याच संस्थांसाठी हा अजूनही एक अतिशय वादग्रस्त मुद्दा आहे आणि काहीवेळा गरम चर्चा देखील केली जाते (पहा, उदाहरणार्थ, माझे पर्यवेक्षक म्हणतात की सर्व वापरकर्ते स्थानिक प्रशासक असले पाहिजेत). या चर्चेच्या तपशिलांमध्ये न जाता, आमचा विश्वास आहे की आक्रमणकर्त्याने तपासाधीन प्रणालीवर स्थानिक प्रशासक अधिकार मिळवले, एकतर शोषणाद्वारे किंवा मशीन योग्यरित्या संरक्षित नसल्यामुळे.

पायरी 1 PowerShell सह DNS रिझोल्यूशन रिव्हर्स करा

डीफॉल्टनुसार, पॉवरशेल अनेक स्थानिक वर्कस्टेशन्सवर आणि बर्‍याच Windows सर्व्हरवर स्थापित केले जाते. आणि हे अतिशयोक्तीशिवाय नाही की हे एक अविश्वसनीयपणे उपयुक्त ऑटोमेशन आणि नियंत्रण साधन मानले जाते, ते स्वतःला जवळ-अदृश्य बनवण्यास तितकेच सक्षम आहे. फाइललेस मालवेअर (एक हॅकिंग प्रोग्राम जो हल्ल्याच्या खुणा सोडत नाही).

आमच्या बाबतीत, हल्लेखोर पॉवरशेल स्क्रिप्टचा वापर करून नेटवर्क रीकॉनिसन्स करण्यास सुरुवात करतो, नेटवर्क आयपी अॅड्रेस स्पेसवर क्रमाक्रमाने पुनरावृत्ती करतो, दिलेला IP होस्टला निराकरण करतो की नाही हे निर्धारित करण्याचा प्रयत्न करतो आणि तसे असल्यास, या होस्टचे नेटवर्क नाव काय आहे.
हे कार्य पूर्ण करण्याचे अनेक मार्ग आहेत, परंतु cmdlet वापरून मिळवा-एडीकॉम्प्युटर हा एक ठोस पर्याय आहे कारण तो प्रत्येक नोडबद्दल डेटाचा खरोखर समृद्ध संच देतो:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

मोठ्या नेटवर्कवरील गती ही समस्या असल्यास, DNS कॉलबॅक वापरला जाऊ शकतो:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

नेटवर्कवर होस्ट सूचीबद्ध करण्याची ही पद्धत खूप लोकप्रिय आहे, कारण बहुतेक नेटवर्क शून्य-विश्वास सुरक्षा मॉडेल वापरत नाहीत आणि क्रियाकलापांच्या संशयास्पद स्फोटांसाठी अंतर्गत DNS क्वेरीचे निरीक्षण करत नाहीत.

पायरी 2: लक्ष्य निवडा

या चरणाचा अंतिम परिणाम म्हणजे सर्व्हर आणि वर्कस्टेशन होस्टनावांची यादी मिळवणे ज्याचा वापर हल्ला सुरू ठेवण्यासाठी केला जाऊ शकतो.

नावावरून, 'HUB-FILER' सर्व्हर योग्य लक्ष्यासारखे दिसते, पासून कालांतराने, फाइल सर्व्हर, एक नियम म्हणून, मोठ्या संख्येने नेटवर्क फोल्डर्स जमा करतात आणि बर्याच लोकांद्वारे त्यांच्याकडे जास्त प्रवेश होतो.

Windows Explorer सह ब्राउझिंग आम्हाला उघडलेल्या सामायिक फोल्डरची उपस्थिती शोधण्याची परवानगी देते, परंतु आमचे वर्तमान खाते त्यात प्रवेश करू शकत नाही (कदाचित आमच्याकडे फक्त सूचीचे अधिकार आहेत).

पायरी 3: ACL जाणून घ्या

आता, आमच्या HUB-FILER होस्ट आणि लक्ष्य शेअरवर, आम्ही ACL मिळवण्यासाठी PowerShell स्क्रिप्ट चालवू शकतो. आम्ही हे स्थानिक मशीनवरून करू शकतो, कारण आमच्याकडे आधीपासूनच स्थानिक प्रशासक अधिकार आहेत:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

अंमलबजावणी परिणाम:

त्यावरून आपण पाहतो की डोमेन वापरकर्ते गटाला केवळ सूचीमध्ये प्रवेश आहे, परंतु हेल्पडेस्क गटाला देखील बदल करण्याचे अधिकार आहेत.

पायरी 4: खाते ओळख

धावून ADGroupMember मिळवा, आम्ही या गटातील सर्व सदस्यांना मिळवू शकतो:

Get-ADGroupMember -identity Helpdesk

या सूचीमध्ये आम्ही एक संगणक खाते पाहतो जे आम्ही आधीच ओळखले आहे आणि आधीच प्रवेश केला आहे:

पायरी 5: संगणक खाते म्हणून चालविण्यासाठी PSExec वापरा

PSExec Microsoft Sysinternals वरून तुम्हाला SYSTEM@HUB-SHAREPOINT सिस्टम खात्याच्या संदर्भात कमांड कार्यान्वित करण्याची परवानगी देते, जे आम्हाला माहित आहे की हेल्पडेस्क लक्ष्य गटाचे सदस्य आहेत. म्हणजेच, आम्हाला फक्त हे करण्याची आवश्यकता आहे:

PsExec.exe -s -i cmd.exe

बरं, मग तुम्हाला HUB-FILERshareHR या लक्ष्य फोल्डरमध्ये पूर्ण प्रवेश आहे, कारण तुम्ही HUB-SHAREPOINT संगणक खात्याच्या संदर्भात काम करत आहात. आणि या प्रवेशासह, डेटा पोर्टेबल स्टोरेज डिव्हाइसवर कॉपी केला जाऊ शकतो किंवा अन्यथा पुनर्प्राप्त आणि नेटवर्कवर प्रसारित केला जाऊ शकतो.

पायरी 6: हा हल्ला शोधत आहे

ही विशिष्ट खाते विशेषाधिकार ट्यूनिंग भेद्यता (वापरकर्ता खाती किंवा सेवा खात्यांऐवजी नेटवर्क शेअर्समध्ये प्रवेश करणारी संगणक खाती) शोधली जाऊ शकते. तथापि, योग्य साधनांशिवाय, हे करणे फार कठीण आहे.

या श्रेणीतील हल्ल्यांचा शोध आणि प्रतिबंध करण्यासाठी, आम्ही वापरू शकतो डेटा अॅडव्हांटेज त्यांच्यामध्ये संगणक खाती असलेले गट ओळखण्यासाठी आणि नंतर त्यांना प्रवेश नाकारण्यासाठी. डेटा अलर्ट पुढे जाऊन तुम्हाला विशेषत: या प्रकारच्या परिस्थितीसाठी सूचना तयार करण्याची अनुमती देते.

खालील स्क्रीनशॉट एक सानुकूल सूचना दर्शविते जी प्रत्येक वेळी संगणक खाते मॉनिटर केलेल्या सर्व्हरवरील डेटामध्ये प्रवेश करते तेव्हा फायर होईल.

PowerShell सह पुढील पायऱ्या

अधिक जाणून घेऊ इच्छिता? पूर्ण विनामूल्य प्रवेशासाठी "ब्लॉग" अनलॉक कोड वापरा पॉवरशेल आणि सक्रिय निर्देशिका मूलभूत व्हिडिओ कोर्स.

स्त्रोत: www.habr.com