२. परिचय

रिमोट एक्सेस सिस्टम नभएका कम्पनीहरूले केही महिनाअघि तत्कालै उनीहरूलाई तैनाथ गरेका थिए। सबै प्रशासकहरू यस्तो "तातो" को लागी तयार थिएनन्, जसले सुरक्षा त्रुटिहरू निम्त्यायो: सेवाहरूको गलत कन्फिगरेसन वा सफ्टवेयरको पुरानो संस्करणहरूको स्थापना पहिले नै पत्ता लगाइएको कमजोरीहरूको साथ। कसैको लागि, यी बहिष्कारहरू पहिले नै बढेको छ, अरू धेरै भाग्यशाली थिए, तर सबैले निश्चित रूपमा निष्कर्ष निकाल्नुपर्छ। टाढाको कामप्रति वफादारी बढेको छ, र अधिक र अधिक कम्पनीहरूले निरन्तर आधारमा रिमोट कार्यलाई स्वीकार्य ढाँचाको रूपमा स्वीकार गर्दै छन्।

त्यसोभए, त्यहाँ रिमोट पहुँच प्रदान गर्न धेरै विकल्पहरू छन्: विभिन्न VPNs, RDS र VNC, TeamViewer र अन्य। कर्पोरेट नेटवर्क र यसमा यन्त्रहरू निर्माण गर्ने विशिष्टताहरूमा आधारित छनोट गर्न प्रशासकहरूसँग प्रशस्त छ। VPN समाधानहरू सबैभन्दा लोकप्रिय रहन्छन्, तथापि, धेरै साना कम्पनीहरूले RDS (रिमोट डेस्कटप सेवाहरू) छनौट गर्छन्, तिनीहरू प्रयोग गर्न सरल र छिटो छन्।

यस लेखमा हामी RDS सुरक्षा बारे थप कुरा गर्नेछौं। आउनुहोस् ज्ञात कमजोरीहरूको संक्षिप्त सिंहावलोकन गरौं, र सक्रिय निर्देशिकामा आधारित नेटवर्क पूर्वाधारमा आक्रमण सुरु गर्नका लागि धेरै परिदृश्यहरू पनि विचार गरौं। हामी आशा गर्छौं कि हाम्रो लेखले कसैलाई बगहरूमा काम गर्न र सुरक्षा सुधार गर्न मद्दत गर्नेछ।

2. हालको RDS/RDP कमजोरीहरू

कुनै पनि सफ्टवेयरले त्रुटिहरू र कमजोरीहरू समावेश गर्दछ जुन आक्रमणकारीहरूद्वारा शोषण गर्न सकिन्छ, र RDS कुनै अपवाद छैन। माइक्रोसफ्टले हालसालै नयाँ कमजोरीहरू बारम्बार रिपोर्ट गर्दै आएको छ, त्यसैले हामीले तिनीहरूलाई संक्षिप्त सिंहावलोकन दिने निर्णय गर्यौं:

• CVE-2019-0787

यो भेद्यताले प्रयोगकर्ताहरूलाई जोखिममा राख्छ जसले सम्झौता गरिएको सर्भरमा जडान गर्दछ। एक आक्रमणकारीले प्रयोगकर्ताको यन्त्रको नियन्त्रण प्राप्त गर्न सक्छ वा स्थायी रिमोट पहुँचको लागि प्रणालीमा खुट्टा राख्न सक्छ।

• CVE-2019-1181 / CVE-2019-1182 / CVE-2020-0609

कमजोरीहरूको यो समूहले एक अप्रमाणित आक्रमणकारीलाई विशेष रूपमा तयार गरिएको अनुरोध प्रयोग गरेर RDS चलिरहेको सर्भरमा टाढैबाट मनमानी कोड कार्यान्वयन गर्न अनुमति दिन्छ। तिनीहरू पनि वर्महरू सिर्जना गर्न प्रयोग गर्न सकिन्छ - मालवेयर जसले नेटवर्कमा छिमेकी उपकरणहरूलाई स्वतन्त्र रूपमा संक्रमित गर्दछ। यसैले, यी कमजोरीहरूले सम्पूर्ण कम्पनीको नेटवर्कलाई खतरामा पार्न सक्छ, र केवल समयमै अद्यावधिकहरूले तिनीहरूलाई बचाउन सक्छ।

रिमोट पहुँच सफ्टवेयरले दुवै अनुसन्धानकर्ता र आक्रमणकारीहरूबाट बढ्दो ध्यान प्राप्त गरेको छ, त्यसैले हामी चाँडै थप समान कमजोरीहरूको बारेमा सुन्न सक्छौं।

सुसमाचार यो हो कि सबै कमजोरीहरूमा सार्वजनिक शोषणहरू उपलब्ध छैनन्। नराम्रो खबर यो हो कि विशेषज्ञता भएको आक्रमणकारीलाई वर्णनको आधारमा कमजोरीको लागि शोषण लेख्न, वा प्याच डिफिङ जस्ता प्रविधिहरू प्रयोग गर्न गाह्रो हुनेछैन (हाम्रा सहकर्मीहरूले यसको बारेमा लेखेका थिए। लेख)। त्यसकारण, हामी तपाईंलाई नियमित रूपमा सफ्टवेयर अपडेट गर्न र पत्ता लगाइएका कमजोरीहरूको बारेमा नयाँ सन्देशहरूको उपस्थितिलाई निगरानी गर्न सिफारिस गर्छौं।

७. आक्रमणहरू

हामी लेखको दोस्रो भागमा जान्छौं, जहाँ हामी सक्रिय निर्देशिकामा आधारित नेटवर्क पूर्वाधारमा कसरी आक्रमणहरू सुरु हुन्छ भनेर देखाउनेछौं।

वर्णन गरिएका विधिहरू निम्न आक्रमणकर्ता मोडेलमा लागू हुन्छन्: एक आक्रमणकर्ता जसको प्रयोगकर्ता खाता छ र रिमोट डेस्कटप गेटवेमा पहुँच छ - एक टर्मिनल सर्भर (प्रायः यो पहुँचयोग्य हुन्छ, उदाहरणका लागि, बाह्य नेटवर्कबाट)। यी विधिहरू प्रयोग गरेर, आक्रमणकारीले पूर्वाधारमा आक्रमण जारी राख्न र नेटवर्कमा आफ्नो उपस्थितिलाई सुदृढ गर्न सक्षम हुनेछ।

प्रत्येक विशिष्ट मामला मा नेटवर्क कन्फिगरेसन फरक हुन सक्छ, तर वर्णन प्रविधि एकदम सार्वभौमिक छन्।

प्रतिबन्धित वातावरण छोड्ने र विशेषाधिकारहरू बढाउने उदाहरणहरू

रिमोट डेस्कटप गेटवे पहुँच गर्दा, आक्रमणकारीले केही प्रकारको प्रतिबन्धित वातावरणको सामना गर्नेछ। जब तपाइँ टर्मिनल सर्भरमा जडान गर्नुहुन्छ, यसमा एउटा अनुप्रयोग सुरु हुन्छ: आन्तरिक स्रोतहरू, एक्सप्लोरर, अफिस प्याकेजहरू वा अन्य कुनै सफ्टवेयरको लागि रिमोट डेस्कटप प्रोटोकल मार्फत जडान गर्नको लागि एउटा विन्डो।

आक्रमणकारीको लक्ष्य आदेशहरू कार्यान्वयन गर्न पहुँच प्राप्त गर्नु हो, त्यो हो, cmd वा powershell सुरु गर्न। धेरै क्लासिक विन्डोज स्यान्डबक्स एस्केप प्रविधिहरूले यसमा मद्दत गर्न सक्छ। तिनीहरूलाई थप विचार गरौं।

विकल्प 1। आक्रमणकर्तासँग रिमोट डेस्कटप गेटवे भित्र रिमोट डेस्कटप जडान विन्डोमा पहुँच छ:

"विकल्पहरू देखाउनुहोस्" मेनु खुल्छ। जडान कन्फिगरेसन फाइलहरू हेरफेर गर्न विकल्पहरू देखा पर्छन्:

यस विन्डोबाट तपाईले सजिलैसँग "खोल्नुहोस्" वा "बचत गर्नुहोस्" बटनहरूमा क्लिक गरेर एक्सप्लोरर पहुँच गर्न सक्नुहुन्छ:

अन्वेषक खुल्छ। यसको "ठेगाना पट्टी" ले अनुमति दिईएको कार्यान्वयनयोग्य फाइलहरू, साथै फाइल प्रणाली सूचीबद्ध गर्न सम्भव बनाउँछ। यो आक्रमणकारीको लागि उपयोगी हुन सक्छ जहाँ प्रणाली ड्राइभहरू लुकेका छन् र प्रत्यक्ष पहुँच गर्न सकिँदैन:

→ डेमो भिडियो

एक समान परिदृश्य पुन: उत्पादन गर्न सकिन्छ, उदाहरणका लागि, Microsoft Office सुइटबाट टाढाको सफ्टवेयरको रूपमा एक्सेल प्रयोग गर्दा।

→ डेमो भिडियो

थप रूपमा, यस अफिस सुइटमा प्रयोग गरिएका म्याक्रोहरूको बारेमा नबिर्सनुहोस्। हाम्रा सहकर्मीहरूले यसमा म्याक्रो सुरक्षाको समस्या हेरे लेख.

विकल्प 2। अघिल्लो संस्करणमा जस्तै समान इनपुटहरू प्रयोग गरेर, आक्रमणकर्ताले एउटै खाता अन्तर्गत टाढाको डेस्कटपमा धेरै जडानहरू सुरु गर्दछ। जब तपाइँ पुन: जडान गर्नुहुन्छ, पहिलो बन्द हुनेछ, र त्रुटि सूचनाको साथ एउटा विन्डो स्क्रिनमा देखा पर्नेछ। यस विन्डोको मद्दत बटनले सर्भरमा इन्टरनेट एक्सप्लोररलाई कल गर्नेछ, त्यसपछि आक्रमणकर्ताले एक्सप्लोररमा जान सक्छ।

→ डेमो भिडियो

विकल्प 3। यदि कार्यान्वयनयोग्य फाइलहरू सुरु गर्नमा प्रतिबन्धहरू कन्फिगर गरिएको छ भने, एक आक्रमणकर्ताले एउटा परिस्थितिको सामना गर्न सक्छ जहाँ समूह नीतिहरूले प्रशासकलाई cmd.exe चलाउनबाट निषेध गर्दछ।

cmd.exe /K <command> जस्ता सामग्रीको साथ रिमोट डेस्कटपमा ब्याट फाइल चलाएर यसको वरिपरि प्राप्त गर्ने तरिका छ। cmd सुरु गर्दा त्रुटि र ब्याट फाइल कार्यान्वयन गर्ने सफल उदाहरण तलको चित्रमा देखाइएको छ।

विकल्प 4। कार्यान्वयनयोग्य फाइलहरूको नाममा आधारित कालोसूचीहरू प्रयोग गरेर अनुप्रयोगहरू सुरु गर्न निषेध गर्नु एक रामबाण होइन; तिनीहरूलाई रोक्न सकिन्छ।

निम्न परिदृश्यलाई विचार गर्नुहोस्: हामीले कमाण्ड लाइनमा पहुँच असक्षम पारेका छौं, समूह नीतिहरू प्रयोग गरेर इन्टरनेट एक्सप्लोरर र पावरशेलको सुरुवातलाई रोकेका छौं। आक्रमणकारीले मद्दतको लागि कल गर्न खोज्छ - कुनै प्रतिक्रिया छैन। मोडल सञ्झ्यालको सन्दर्भ मेनु मार्फत पावरशेल सुरु गर्ने प्रयास गर्दै, शिफ्ट कुञ्जी थिचेर बोलाइन्छ - प्रबन्धकद्वारा प्रक्षेपण निषेधित छ भनी सङ्केत गर्ने सन्देश। ठेगाना पट्टी मार्फत पावरशेल सुरु गर्ने प्रयास गर्दछ - फेरि कुनै प्रतिक्रिया छैन। प्रतिबन्ध कसरी बाइपास गर्ने?

यो C:WindowsSystem32WindowsPowerShellv1.0 फोल्डरबाट प्रयोगकर्ता फोल्डरमा powershell.exe प्रतिलिपि गर्न पर्याप्त छ, नाम powershell.exe बाहेक अरू केहिमा परिवर्तन गर्नुहोस्, र सुरुवात विकल्प देखा पर्नेछ।

पूर्वनिर्धारित रूपमा, रिमोट डेस्कटपमा जडान गर्दा, क्लाइन्टको स्थानीय डिस्कहरूमा पहुँच प्रदान गरिन्छ, जहाँबाट आक्रमणकर्ताले powershell.exe प्रतिलिपि गर्न सक्छ र यसलाई पुन: नामकरण गरेपछि चलाउन सक्छ।

→ डेमो भिडियो

हामीले प्रतिबन्धहरू बाइपास गर्नका लागि केही तरिकाहरू मात्र दिएका छौं; तपाईं धेरै अधिक परिदृश्यहरू ल्याउन सक्नुहुन्छ, तर तिनीहरू सबैमा एउटा कुरा समान छ: Windows Explorer मा पहुँच। त्यहाँ धेरै अनुप्रयोगहरू छन् जुन मानक विन्डोज फाइल हेरफेर उपकरणहरू प्रयोग गर्दछ, र जब सीमित वातावरणमा राखिन्छ, समान प्रविधिहरू प्रयोग गर्न सकिन्छ।

4. सिफारिस र निष्कर्ष

हामी देख्न सक्छौं, एक सीमित वातावरणमा पनि आक्रमण विकासको लागि ठाउँ छ। यद्यपि, तपाईंले आक्रमणकारीको लागि जीवन अझ कठिन बनाउन सक्नुहुन्छ। हामी सामान्य सिफारिसहरू प्रदान गर्दछौं जुन हामीले विचार गरेका विकल्पहरू र अन्य अवस्थामा दुवैमा उपयोगी हुनेछ।

• समूह नीतिहरू प्रयोग गरेर कालो/सेतो सूचीमा सीमित कार्यक्रम सुरु हुन्छ।
  धेरै जसो अवस्थामा, तथापि, यो कोड चलाउन सम्भव रहन्छ। हामी तपाईंलाई परियोजनासँग परिचित हुन सिफारिस गर्छौं LOLBAS, फाइलहरू हेरफेर गर्ने र प्रणालीमा कोड कार्यान्वयन गर्ने अप्रमाणित तरिकाहरूको एक विचार छ।
  हामी दुवै प्रकारका प्रतिबन्धहरू संयोजन गर्न सिफारिस गर्छौं: उदाहरणका लागि, तपाईं Microsoft द्वारा हस्ताक्षर गरिएको कार्यान्वयनयोग्य फाइलहरू सुरू गर्न अनुमति दिन सक्नुहुन्छ, तर cmd.exe को सुरुवातलाई प्रतिबन्धित गर्नुहोस्।
• इन्टरनेट एक्सप्लोरर सेटिङ ट्याबहरू असक्षम गर्नुहोस् (रजिस्ट्रीमा स्थानीय रूपमा गर्न सकिन्छ)।
• regedit मार्फत निर्मित Windows मद्दत असक्षम गर्नुहोस्।
• रिमोट जडानहरूको लागि स्थानीय डिस्कहरू माउन्ट गर्ने क्षमता असक्षम गर्नुहोस् यदि प्रयोगकर्ताहरूको लागि यस्तो सीमा महत्त्वपूर्ण छैन।
• रिमोट मेसिनको स्थानीय ड्राइभहरूमा पहुँच सीमित गर्नुहोस्, प्रयोगकर्ता फोल्डरहरूमा मात्र पहुँच छोड्नुहोस्।

हामी आशा गर्दछौं कि तपाईंले यसलाई कम्तिमा चाखलाग्दो पाउनुभयो, र अधिकतममा, यो लेखले तपाईंको कम्पनीको टाढाको कामलाई सुरक्षित बनाउन मद्दत गर्नेछ।

स्रोत: www.habr.com