ਸਥਾਨਕ ਖਾਤੇ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਉੱਚਾ ਚੁੱਕਣ ਲਈ PowerShell ਦੀ ਵਰਤੋਂ ਕਰਨਾ

ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਧਾ ਇੱਕ ਹਮਲਾਵਰ ਦੇ ਮੌਜੂਦਾ ਖਾਤੇ ਦੇ ਅਧਿਕਾਰਾਂ ਦੀ ਵਰਤੋਂ ਸਿਸਟਮ ਤੱਕ ਪਹੁੰਚ ਦੇ ਵਾਧੂ, ਆਮ ਤੌਰ 'ਤੇ ਉੱਚੇ ਪੱਧਰ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਹੈ। ਹਾਲਾਂਕਿ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਵਿੱਚ ਵਾਧਾ ਜ਼ੀਰੋ-ਦਿਨ ਦੇ ਕਾਰਨਾਮੇ, ਮਾਸਟਰ ਹੈਕਰਾਂ ਦੁਆਰਾ ਇੱਕ ਨਿਸ਼ਾਨਾ ਹਮਲਾ ਸ਼ੁਰੂ ਕਰਨ, ਜਾਂ ਚਲਾਕੀ ਨਾਲ ਭੇਸ ਵਾਲੇ ਮਾਲਵੇਅਰ ਦਾ ਨਤੀਜਾ ਹੋ ਸਕਦਾ ਹੈ, ਇਹ ਅਕਸਰ ਕੰਪਿਊਟਰ ਜਾਂ ਖਾਤੇ ਦੀ ਗਲਤ ਸੰਰਚਨਾ ਦੇ ਕਾਰਨ ਹੁੰਦਾ ਹੈ। ਹਮਲੇ ਨੂੰ ਹੋਰ ਵਿਕਸਿਤ ਕਰਦੇ ਹੋਏ, ਹਮਲਾਵਰ ਕਈ ਵਿਅਕਤੀਗਤ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਹਨ, ਜੋ ਇਕੱਠੇ ਇੱਕ ਘਾਤਕ ਡੇਟਾ ਲੀਕ ਹੋ ਸਕਦੇ ਹਨ।

ਉਪਭੋਗਤਾਵਾਂ ਕੋਲ ਸਥਾਨਕ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਕਿਉਂ ਨਹੀਂ ਹੋਣੇ ਚਾਹੀਦੇ?

ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਸੁਰੱਖਿਆ ਪੇਸ਼ੇਵਰ ਹੋ, ਤਾਂ ਇਹ ਸਪੱਸ਼ਟ ਜਾਪਦਾ ਹੈ ਕਿ ਉਪਭੋਗਤਾਵਾਂ ਕੋਲ ਸਥਾਨਕ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਨਹੀਂ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਕਿਉਂਕਿ ਇਹ:

• ਉਨ੍ਹਾਂ ਦੇ ਖਾਤਿਆਂ ਨੂੰ ਵੱਖ-ਵੱਖ ਹਮਲਿਆਂ ਲਈ ਵਧੇਰੇ ਕਮਜ਼ੋਰ ਬਣਾਉਂਦਾ ਹੈ
• ਇਹੋ ਜਿਹੇ ਹਮਲਿਆਂ ਨੂੰ ਹੋਰ ਵੀ ਗੰਭੀਰ ਬਣਾ ਦਿੰਦਾ ਹੈ

ਬਦਕਿਸਮਤੀ ਨਾਲ, ਬਹੁਤ ਸਾਰੀਆਂ ਸੰਸਥਾਵਾਂ ਲਈ ਇਹ ਅਜੇ ਵੀ ਇੱਕ ਬਹੁਤ ਵਿਵਾਦਪੂਰਨ ਮੁੱਦਾ ਹੈ ਅਤੇ ਕਈ ਵਾਰ ਗਰਮ ਵਿਚਾਰ ਵਟਾਂਦਰੇ ਦੇ ਨਾਲ ਹੁੰਦਾ ਹੈ (ਦੇਖੋ, ਉਦਾਹਰਨ ਲਈ, ਮੇਰੇ ਮੈਨੇਜਰ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਸਾਰੇ ਉਪਭੋਗਤਾ ਸਥਾਨਕ ਪ੍ਰਸ਼ਾਸਕ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ). ਇਸ ਚਰਚਾ ਦੇ ਵੇਰਵਿਆਂ ਵਿੱਚ ਜਾਣ ਤੋਂ ਬਿਨਾਂ, ਅਸੀਂ ਮੰਨਦੇ ਹਾਂ ਕਿ ਹਮਲਾਵਰ ਨੇ ਜਾਂਚ ਅਧੀਨ ਸਿਸਟਮ ਉੱਤੇ ਸਥਾਨਕ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕੀਤੇ ਹਨ, ਜਾਂ ਤਾਂ ਇੱਕ ਸ਼ੋਸ਼ਣ ਦੁਆਰਾ ਜਾਂ ਮਸ਼ੀਨਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।

ਕਦਮ 1: PowerShell ਦੀ ਵਰਤੋਂ ਕਰਕੇ DNS ਨਾਮ ਰੈਜ਼ੋਲੂਸ਼ਨ ਨੂੰ ਉਲਟਾਓ

ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ, PowerShell ਬਹੁਤ ਸਾਰੇ ਸਥਾਨਕ ਵਰਕਸਟੇਸ਼ਨਾਂ ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਵਿੰਡੋਜ਼ ਸਰਵਰਾਂ 'ਤੇ ਸਥਾਪਤ ਹੁੰਦਾ ਹੈ। ਅਤੇ ਜਦੋਂ ਕਿ ਇਹ ਅਤਿਕਥਨੀ ਤੋਂ ਬਿਨਾਂ ਨਹੀਂ ਹੈ ਕਿ ਇਸਨੂੰ ਇੱਕ ਅਵਿਸ਼ਵਾਸ਼ਯੋਗ ਲਾਭਦਾਇਕ ਆਟੋਮੇਸ਼ਨ ਅਤੇ ਕੰਟਰੋਲ ਟੂਲ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਇਹ ਲਗਭਗ ਅਦਿੱਖ ਵਿੱਚ ਬਦਲਣ ਦੇ ਬਰਾਬਰ ਦੇ ਸਮਰੱਥ ਹੈ ਫਾਈਲ ਰਹਿਤ ਮਾਲਵੇਅਰ (ਇੱਕ ਹੈਕਿੰਗ ਪ੍ਰੋਗਰਾਮ ਜੋ ਕਿਸੇ ਹਮਲੇ ਦਾ ਕੋਈ ਨਿਸ਼ਾਨ ਨਹੀਂ ਛੱਡਦਾ)।

ਸਾਡੇ ਕੇਸ ਵਿੱਚ, ਹਮਲਾਵਰ ਇੱਕ PowerShell ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨੈੱਟਵਰਕ ਖੋਜ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਕ੍ਰਮਵਾਰ ਨੈੱਟਵਰਕ ਦੀ IP ਐਡਰੈੱਸ ਸਪੇਸ ਰਾਹੀਂ ਦੁਹਰਾਉਂਦਾ ਹੈ, ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਇੱਕ ਦਿੱਤਾ IP ਇੱਕ ਹੋਸਟ ਨੂੰ ਹੱਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਜੇਕਰ ਅਜਿਹਾ ਹੈ, ਤਾਂ ਉਸ ਹੋਸਟ ਦਾ ਨੈੱਟਵਰਕ ਨਾਮ ਕੀ ਹੈ।
ਇਸ ਕੰਮ ਨੂੰ ਪੂਰਾ ਕਰਨ ਦੇ ਬਹੁਤ ਸਾਰੇ ਤਰੀਕੇ ਹਨ, ਪਰ cmdlet ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਵੋ-ADCcomputer ਇੱਕ ਭਰੋਸੇਮੰਦ ਵਿਕਲਪ ਹੈ ਕਿਉਂਕਿ ਇਹ ਹਰੇਕ ਨੋਡ ਬਾਰੇ ਡੇਟਾ ਦਾ ਇੱਕ ਬਹੁਤ ਹੀ ਅਮੀਰ ਸੈੱਟ ਵਾਪਸ ਕਰਦਾ ਹੈ:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

ਜੇਕਰ ਵੱਡੇ ਨੈੱਟਵਰਕਾਂ 'ਤੇ ਗਤੀ ਇੱਕ ਮੁੱਦਾ ਹੈ, ਤਾਂ ਇੱਕ ਉਲਟ DNS ਸਿਸਟਮ ਕਾਲ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

ਇੱਕ ਨੈੱਟਵਰਕ 'ਤੇ ਮੇਜ਼ਬਾਨਾਂ ਦੀ ਗਿਣਤੀ ਕਰਨ ਦਾ ਇਹ ਤਰੀਕਾ ਬਹੁਤ ਮਸ਼ਹੂਰ ਹੈ ਕਿਉਂਕਿ ਜ਼ਿਆਦਾਤਰ ਨੈੱਟਵਰਕ ਜ਼ੀਰੋ ਟਰੱਸਟ ਸੁਰੱਖਿਆ ਮਾਡਲ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੇ ਹਨ ਅਤੇ ਗਤੀਵਿਧੀ ਦੇ ਸ਼ੱਕੀ ਬਰਸਟ ਲਈ ਅੰਦਰੂਨੀ DNS ਪੁੱਛਗਿੱਛਾਂ ਦੀ ਨਿਗਰਾਨੀ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਕਦਮ 2: ਇੱਕ ਟੀਚਾ ਚੁਣੋ

ਇਸ ਕਦਮ ਦਾ ਅੰਤਮ ਨਤੀਜਾ ਸਰਵਰ ਅਤੇ ਵਰਕਸਟੇਸ਼ਨ ਹੋਸਟਨਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਪ੍ਰਾਪਤ ਕਰਨਾ ਹੈ ਜੋ ਹਮਲੇ ਨੂੰ ਜਾਰੀ ਰੱਖਣ ਲਈ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਇਸਦੇ ਨਾਮ ਦੇ ਅਧਾਰ 'ਤੇ, 'ਹੱਬ-ਫਾਈਲਰ' ਸਰਵਰ ਇੱਕ ਯੋਗ ਨਿਸ਼ਾਨਾ ਜਾਪਦਾ ਹੈ ਕਿਉਂਕਿ... ਸਮੇਂ ਦੇ ਨਾਲ, ਫਾਈਲ ਸਰਵਰ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਨੈਟਵਰਕ ਫੋਲਡਰਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਦੇ ਹਨ ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਲੋਕਾਂ ਦੁਆਰਾ ਉਹਨਾਂ ਤੱਕ ਬਹੁਤ ਜ਼ਿਆਦਾ ਪਹੁੰਚ ਹੁੰਦੀ ਹੈ।

ਵਿੰਡੋਜ਼ ਐਕਸਪਲੋਰਰ ਨਾਲ ਬ੍ਰਾਊਜ਼ ਕਰਨਾ ਸਾਨੂੰ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਕਿ ਇੱਕ ਖੁੱਲ੍ਹਾ ਸਾਂਝਾ ਫੋਲਡਰ ਹੈ, ਪਰ ਸਾਡਾ ਮੌਜੂਦਾ ਖਾਤਾ ਇਸ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਕਰ ਸਕਦਾ (ਸਾਡੇ ਕੋਲ ਸ਼ਾਇਦ ਸਿਰਫ਼ ਸੂਚੀਕਰਨ ਅਧਿਕਾਰ ਹਨ)।

ਕਦਮ 3: ACL ਸਿੱਖਣਾ

ਹੁਣ ਸਾਡੇ HUB-FILER ਹੋਸਟ ਅਤੇ ਟਾਰਗੇਟ ਸ਼ੇਅਰ 'ਤੇ, ਅਸੀਂ ACL ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ PowerShell ਸਕ੍ਰਿਪਟ ਚਲਾ ਸਕਦੇ ਹਾਂ। ਅਸੀਂ ਇਹ ਸਥਾਨਕ ਮਸ਼ੀਨ ਤੋਂ ਕਰ ਸਕਦੇ ਹਾਂ, ਕਿਉਂਕਿ ਸਾਡੇ ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਸਥਾਨਕ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰ ਹਨ:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨਤੀਜਾ:

ਇਸ ਤੋਂ ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ ਡੋਮੇਨ ਉਪਭੋਗਤਾ ਸਮੂਹ ਕੋਲ ਸਿਰਫ ਸੂਚੀਕਰਨ ਤੱਕ ਪਹੁੰਚ ਹੈ, ਪਰ ਹੈਲਪਡੈਸਕ ਸਮੂਹ ਕੋਲ ਸੰਪਾਦਨ ਅਧਿਕਾਰ ਵੀ ਹਨ।

ਕਦਮ 4: ਖਾਤਾ ਪਛਾਣ

ਚਲਾ ਕੇ ਪ੍ਰਾਪਤ ਕਰੋ-ADGroupMember, ਅਸੀਂ ਇਸ ਸਮੂਹ ਦੇ ਸਾਰੇ ਮੈਂਬਰਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਾਂ:

Get-ADGroupMember -identity Helpdesk

ਇਸ ਸੂਚੀ ਵਿੱਚ ਅਸੀਂ ਕੰਪਿਊਟਰ ਖਾਤੇ ਨੂੰ ਦੇਖਦੇ ਹਾਂ ਜਿਸਦੀ ਅਸੀਂ ਪਹਿਲਾਂ ਹੀ ਪਛਾਣ ਕੀਤੀ ਹੈ ਅਤੇ ਪਹਿਲਾਂ ਹੀ ਪਹੁੰਚ ਕੀਤੀ ਹੈ:

ਕਦਮ 5: ਕੰਪਿਊਟਰ ਖਾਤੇ ਦੇ ਅਧੀਨ ਕੰਮ ਕਰਨ ਲਈ PSExec ਦੀ ਵਰਤੋਂ ਕਰੋ

psexec Microsoft Sysinternals ਤੋਂ ਤੁਹਾਨੂੰ SYSTEM@HUB-SHAREPOINT ਸਿਸਟਮ ਖਾਤੇ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਕਮਾਂਡਾਂ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਿਸਨੂੰ ਅਸੀਂ ਜਾਣਦੇ ਹਾਂ ਕਿ ਹੈਲਪਡੈਸਕ ਟਾਰਗੇਟ ਗਰੁੱਪ ਦਾ ਮੈਂਬਰ ਹੈ। ਭਾਵ, ਸਾਨੂੰ ਸਿਰਫ਼ ਇਹ ਕਰਨ ਦੀ ਲੋੜ ਹੈ:

PsExec.exe -s -i cmd.exe

ਖੈਰ, ਫਿਰ ਤੁਹਾਡੇ ਕੋਲ ਟੀਚਾ ਫੋਲਡਰ HUB-FILERshareHR ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਹੈ, ਕਿਉਂਕਿ ਤੁਸੀਂ HUB-SHAREPOINT ਕੰਪਿਊਟਰ ਖਾਤੇ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਕੰਮ ਕਰ ਰਹੇ ਹੋ। ਅਤੇ ਇਸ ਪਹੁੰਚ ਦੇ ਨਾਲ, ਡੇਟਾ ਨੂੰ ਪੋਰਟੇਬਲ ਸਟੋਰੇਜ ਡਿਵਾਈਸ ਤੇ ਕਾਪੀ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ ਤਾਂ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਨੈਟਵਰਕ ਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ.

ਕਦਮ 6: ਇਸ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣਾ

ਇਹ ਖਾਸ ਖਾਤਾ ਅਨੁਮਤੀਆਂ ਕੌਂਫਿਗਰੇਸ਼ਨ ਕਮਜ਼ੋਰੀ (ਉਪਭੋਗਤਾ ਖਾਤਿਆਂ ਜਾਂ ਸੇਵਾ ਖਾਤਿਆਂ ਦੀ ਬਜਾਏ ਨੈਟਵਰਕ ਸ਼ੇਅਰਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵਾਲੇ ਕੰਪਿਊਟਰ ਖਾਤੇ) ਨੂੰ ਖੋਜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਸਹੀ ਸਾਧਨਾਂ ਤੋਂ ਬਿਨਾਂ, ਇਹ ਕਰਨਾ ਬਹੁਤ ਮੁਸ਼ਕਲ ਹੈ.

ਇਸ ਸ਼੍ਰੇਣੀ ਦੇ ਹਮਲਿਆਂ ਨੂੰ ਖੋਜਣ ਅਤੇ ਰੋਕਣ ਲਈ, ਅਸੀਂ ਵਰਤ ਸਕਦੇ ਹਾਂ ਡਾਟਾ ਅਡਵਾਂਟੇਜ ਉਹਨਾਂ ਵਿੱਚ ਕੰਪਿਊਟਰ ਖਾਤਿਆਂ ਵਾਲੇ ਸਮੂਹਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ, ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਤੱਕ ਪਹੁੰਚ ਤੋਂ ਇਨਕਾਰ ਕਰਨ ਲਈ। ਡਾਟਾ ਅਲਰਟ ਹੋਰ ਅੱਗੇ ਜਾਂਦਾ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਖਾਸ ਤੌਰ 'ਤੇ ਇਸ ਕਿਸਮ ਦੇ ਦ੍ਰਿਸ਼ ਲਈ ਇੱਕ ਸੂਚਨਾ ਬਣਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਹੇਠਾਂ ਦਿੱਤਾ ਸਕ੍ਰੀਨਸ਼ੌਟ ਇੱਕ ਕਸਟਮ ਨੋਟੀਫਿਕੇਸ਼ਨ ਦਿਖਾਉਂਦਾ ਹੈ ਜੋ ਉਦੋਂ ਸ਼ੁਰੂ ਹੋ ਜਾਵੇਗਾ ਜਦੋਂ ਇੱਕ ਕੰਪਿਊਟਰ ਖਾਤਾ ਨਿਗਰਾਨੀ ਕੀਤੇ ਸਰਵਰ 'ਤੇ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਕਰਦਾ ਹੈ।

PowerShell ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਅਗਲੇ ਪੜਾਅ

ਹੋਰ ਜਾਣਨਾ ਚਾਹੁੰਦੇ ਹੋ? ਪੂਰੀ ਤੱਕ ਮੁਫਤ ਪਹੁੰਚ ਲਈ ਅਨਲੌਕ ਕੋਡ "ਬਲੌਗ" ਦੀ ਵਰਤੋਂ ਕਰੋ ਪਾਵਰਸ਼ੇਲ ਅਤੇ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਬੇਸਿਕਸ ਵੀਡੀਓ ਕੋਰਸ.

ਸਰੋਤ: www.habr.com