स्थानीय खाताहरूको विशेषाधिकार बढाउन PowerShell प्रयोग गर्दै

प्रिभिलेज एस्केलेसन भनेको खाताको हालको अधिकारको आक्रमणकारीले अतिरिक्त, सामान्यतया उच्च स्तरको प्रणालीमा पहुँच प्राप्त गर्न प्रयोग गर्नु हो। जबकि विशेषाधिकार वृद्धि शून्य-दिन जोखिमहरू शोषणको परिणाम हुन सक्छ, वा लक्षित आक्रमण सञ्चालन गर्ने पहिलो-कक्षा ह्याकरहरूको काम, वा चलाखीपूर्वक भेषमा मालवेयर, यो प्राय: कम्प्युटर वा खाताको गलत कन्फिगरेसनको कारणले हुन्छ। आक्रमणलाई थप विकास गर्दै, आक्रमणकारीहरूले धेरै व्यक्तिगत कमजोरीहरू प्रयोग गर्छन्, जसले सँगै विनाशकारी डेटा लीक हुन सक्छ।

किन प्रयोगकर्ताहरूलाई स्थानीय प्रशासक अधिकारहरू हुनु हुँदैन?

यदि तपाइँ एक सुरक्षा पेशेवर हुनुहुन्छ भने, यो स्पष्ट देखिन सक्छ कि प्रयोगकर्ताहरूसँग स्थानीय प्रशासक अधिकार हुनु हुँदैन, जस्तै:

• तिनीहरूको खाताहरू विभिन्न आक्रमणहरूको लागि अधिक कमजोर बनाउँछ
• ती उस्तै आक्रमणहरूलाई धेरै गम्भीर बनाउँछ

दुर्भाग्यवश, धेरै संस्थाहरूको लागि यो अझै पनि एक धेरै विवादास्पद मुद्दा हो र कहिलेकाहीँ तातो छलफलहरू (हेर्नुहोस्, उदाहरणका लागि, मेरो पर्यवेक्षक भन्छन् कि सबै प्रयोगकर्ताहरू स्थानीय प्रशासक हुनुपर्छ)। यस छलफलको विवरणमा नजाइकन, हामी विश्वास गर्छौं कि आक्रमणकारीले अनुसन्धान अन्तर्गत प्रणालीमा स्थानीय प्रशासक अधिकारहरू प्राप्त गर्यो, या त शोषण मार्फत वा मेसिनहरू ठीकसँग सुरक्षित नभएको कारणले।

चरण 1 PowerShell को साथ DNS रिजोलुसन उल्टो

पूर्वनिर्धारित रूपमा, PowerShell धेरै स्थानीय कार्यस्थानहरूमा र धेरै Windows सर्भरहरूमा स्थापना गरिएको छ। र जब यो अतिरञ्जन बिना छैन कि यो एक अविश्वसनीय उपयोगी स्वचालन र नियन्त्रण उपकरण मानिन्छ, यो समान रूपमा आफूलाई एक नजिकै अदृश्य मा रूपान्तरण गर्न सक्षम छ। फाइलरहित मालवेयर (ह्याकिंग प्रोग्राम जसले आक्रमणको निशान छोड्दैन)।

हाम्रो केसमा, आक्रमणकारीले PowerShell स्क्रिप्ट प्रयोग गरेर नेटवर्क टोपन प्रदर्शन गर्न थाल्छ, नेटवर्क IP ठेगाना स्पेसमा क्रमिक रूपमा दोहोर्याउँदै, दिइएको IP ले होस्टमा समाधान गर्छ कि गर्दैन भनेर निर्धारण गर्ने प्रयास गर्दै, र यदि त्यसो हो भने, यो होस्टको नेटवर्क नाम के हो।
यो कार्य पूरा गर्न धेरै तरिकाहरू छन्, तर cmdlet प्रयोग गरेर प्राप्त गर्नुहोस्-ADCcomputer एक ठोस विकल्प हो किनभने यसले प्रत्येक नोडको बारेमा डाटाको साँच्चै रिच सेट फर्काउँछ:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

यदि ठूला नेटवर्कहरूमा गति एक समस्या हो भने, त्यसपछि DNS कलब्याक प्रयोग गर्न सकिन्छ:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

नेटवर्कमा होस्टहरू सूचीबद्ध गर्ने यो विधि धेरै लोकप्रिय छ, किनकि धेरै नेटवर्कहरूले शून्य-विश्वास सुरक्षा मोडेल प्रयोग गर्दैनन् र गतिविधिको शंकास्पद विस्फोटहरूको लागि आन्तरिक DNS अनुरोधहरूको निगरानी गर्दैनन्।

चरण 2: लक्ष्य छान्नुहोस्

यस चरणको अन्तिम परिणाम सर्भर र वर्कस्टेशन होस्टनामहरूको सूची प्राप्त गर्नु हो जुन आक्रमण जारी राख्न प्रयोग गर्न सकिन्छ।

नामबाट, 'HUB-FILER' सर्भर एक योग्य लक्ष्य जस्तो देखिन्छ समयको साथ, फाइल सर्भरहरू, एक नियमको रूपमा, नेटवर्क फोल्डरहरूको एक ठूलो संख्या र धेरै मानिसहरू द्वारा तिनीहरूलाई अत्यधिक पहुँच जम्मा गर्दछ।

Windows Explorer को साथ ब्राउजिङले हामीलाई खुला साझा फोल्डरको उपस्थिति पत्ता लगाउन अनुमति दिन्छ, तर हाम्रो हालको खाताले यसलाई पहुँच गर्न सक्दैन (सम्भवतः हामीसँग मात्र सूची अधिकार छ)।

चरण 3: ACL सिक्नुहोस्

अब, हाम्रो HUB-FILER होस्ट र लक्ष्य साझेदारीमा, हामी ACL प्राप्त गर्न PowerShell स्क्रिप्ट चलाउन सक्छौं। हामी स्थानीय मेसिनबाट यो गर्न सक्छौं, किनकि हामीसँग पहिले नै स्थानीय प्रशासक अधिकारहरू छन्:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

कार्यान्वयन परिणाम:

यसबाट हामीले देख्छौं कि डोमेन प्रयोगकर्ता समूहको सूचीमा मात्र पहुँच छ, तर हेल्पडेस्क समूहसँग पनि परिवर्तन गर्ने अधिकार छ।

चरण 4: खाता पहिचान

दौडिएर ADGroupMember प्राप्त गर्नुहोस्, हामी यस समूहका सबै सदस्यहरू प्राप्त गर्न सक्छौं:

Get-ADGroupMember -identity Helpdesk

यस सूचीमा हामीले एउटा कम्प्युटर खाता देख्छौं जुन हामीले पहिले नै पहिचान गरिसकेका छौं र पहुँच गरिसकेका छौं:

चरण 5: कम्प्युटर खाताको रूपमा चलाउन PSExec प्रयोग गर्नुहोस्

psexec Microsoft Sysinternals बाट तपाईंलाई SYSTEM@HUB-SHAREPOINT प्रणाली खाताको सन्दर्भमा आदेशहरू कार्यान्वयन गर्न अनुमति दिन्छ, जुन हामीलाई थाहा छ हेल्पडेस्क लक्ष्य समूहको सदस्य हो। त्यो हो, हामीले मात्र गर्न आवश्यक छ:

PsExec.exe -s -i cmd.exe

ठिक छ, त्यसोभए तपाइँसँग लक्ष्य फोल्डर HUB-FILERshareHR मा पूर्ण पहुँच छ, किनकि तपाइँ HUB-SHAREPOINT कम्प्युटर खाताको सन्दर्भमा काम गर्दै हुनुहुन्छ। र यस पहुँचको साथ, डाटा पोर्टेबल भण्डारण उपकरणमा प्रतिलिपि गर्न सकिन्छ वा अन्यथा पुन: प्राप्त गरी नेटवर्कमा प्रसारित गर्न सकिन्छ।

चरण 6: यो आक्रमण पत्ता लगाउन

यो विशेष खाता विशेषाधिकार ट्युनिङ जोखिम (प्रयोगकर्ता खाता वा सेवा खाताहरूको सट्टा नेटवर्क साझेदारी पहुँच कम्प्युटर खाताहरू) पत्ता लगाउन सकिन्छ। यद्यपि, सही उपकरण बिना, यो गर्न धेरै गाह्रो छ।

यस श्रेणीको आक्रमणहरू पत्ता लगाउन र रोक्न, हामी प्रयोग गर्न सक्छौं डाटा एडभान्टेज तिनीहरूमा कम्प्युटर खाताहरू भएका समूहहरू पहिचान गर्न, र त्यसपछि तिनीहरूलाई पहुँच अस्वीकार गर्न। डाटा अलर्ट अगाडि जान्छ र तपाईंलाई यस प्रकारको परिदृश्यको लागि विशेष रूपमा सूचना सिर्जना गर्न अनुमति दिन्छ।

तलको स्क्रिनसटले अनुगमन गरिएको सर्भरमा कम्प्यूटर खाताले डेटा पहुँच गर्दा प्रत्येक पटक सक्रिय हुने अनुकूल सूचना देखाउँछ।

PowerShell सँग अर्को चरणहरू

थप जान्न चाहनुहुन्छ? पूर्ण पहुँचको लागि "ब्लग" अनलक कोड प्रयोग गर्नुहोस् PowerShell र सक्रिय निर्देशिका आधारभूत भिडियो पाठ्यक्रम.

स्रोत: www.habr.com