استحقاق ۾ واڌارو آهي هڪ حملي ڪندڙ طرفان اڪائونٽ جي موجوده حقن جي اضافي حاصل ڪرڻ لاءِ، عام طور تي سسٽم تائين اعليٰ سطح تائين رسائي. جڏهن ته استحقاق جي واڌ صفر-ڏينهن جي ڪمزورين جي استحصال جو نتيجو ٿي سگهي ٿو، يا پهرين درجي جي هيڪرز جو ڪم ٽارگيٽيڊ حملو ڪرڻ، يا چڱيءَ طرح لڪايل مالويئر، اهو اڪثر ڪري ڪمپيوٽر يا اڪائونٽ جي غلط ترتيب جي ڪري آهي. حملي کي وڌيڪ ترقي ڪندي، حملي آور ڪيترن ئي انفرادي خطرات کي استعمال ڪن ٿا، جيڪي گڏجي هڪ تباهي واري ڊيٽا ليڪ جي ڪري سگهن ٿيون.
صارفين کي مقامي منتظم جا حق ڇو نه هئڻ گهرجن؟
جيڪڏهن توهان هڪ سيڪيورٽي پروفيشنل آهيو، اهو ظاهر ٿي سگهي ٿو ته صارفين کي مقامي منتظم جا حق نه هجڻ گهرجن، جيئن ته:
- انهن جي اڪائونٽن کي مختلف حملن کان وڌيڪ خطرناڪ بڻائي ٿو
- انهن ساڳين حملن کي وڌيڪ سنجيده بڻائي ٿو
بدقسمتي سان، ڪيترن ئي تنظيمن لاء اهو اڃا تائين هڪ تمام تڪراري مسئلو آهي ۽ ڪڏهن ڪڏهن گرم بحثن سان گڏ هوندو آهي (ڏسو، مثال طور، ). هن بحث جي تفصيل ۾ وڃڻ کان سواءِ، اسان سمجهون ٿا ته حملي آور مقامي منتظم جا حق حاصل ڪيا آهن تحقيق هيٺ سسٽم تي، يا ته ڪنهن استحصال ذريعي يا ڇاڪاڻ ته مشينون صحيح طرح محفوظ نه هيون.
قدم 1: پاور شيل استعمال ڪندي ڊي اين ايس جو نالو ريورس ڪريو
ڊفالٽ طور، PowerShell ڪيترن ئي مقامي ورڪ اسٽيشنن ۽ اڪثر ونڊوز سرورز تي نصب ٿيل آهي. ۽ جڏهن ته اهو مبالغہ کان سواء ناهي ته اهو هڪ ناقابل اعتماد حد تائين مفيد آٽوميشن ۽ ڪنٽرول اوزار سمجهيو ويندو آهي، اهو ساڳيو ئي قابل آهي ته تقريبا پوشيده ۾ تبديل ڪرڻ جي قابل آهي. (هڪ هيڪنگ پروگرام جيڪو ڪنهن حملي جا نشان نه ٿو ڇڏي).
اسان جي صورت ۾، حملو ڪندڙ هڪ PowerShell اسڪرپٽ استعمال ڪندي نيٽ ورڪ ڳولها ڪرڻ شروع ڪري ٿو، نيٽ ورڪ جي IP پتي جي جڳهه ذريعي ترتيب سان، اهو طئي ڪرڻ جي ڪوشش ڪري ٿو ته ڇا ڏنل IP ميزبان کي حل ڪري ٿو، ۽ جيڪڏهن ائين آهي، ته ان ميزبان جو نيٽ ورڪ نالو ڇا آهي.
ھن ڪم کي پورو ڪرڻ جا ڪيترائي طريقا آھن، پر cmdlet استعمال ڪندي ADCcomputer هڪ مضبوط آپشن آهي ڇاڪاڻ ته اهو هر نوڊ بابت ڊيٽا جو هڪ حقيقي امير سيٽ واپس ڏئي ٿو:
import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}جيڪڏهن وڏي نيٽ ورڪ تي رفتار هڪ مسئلو آهي، هڪ ريورس DNS سسٽم ڪال استعمال ڪري سگهجي ٿو:
[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName
نيٽ ورڪ تي ميزبانن کي لسٽ ڪرڻ جو هي طريقو تمام گهڻو مشهور آهي، ڇاڪاڻ ته اڪثر نيٽ ورڪ صفر اعتماد واري سيڪيورٽي ماڊل استعمال نٿا ڪن ۽ سرگرمي جي مشڪوڪ دفن لاء اندروني DNS سوالن جي نگراني نٿا ڪن.
قدم 2: ھدف چونڊيو
هن قدم جو آخري نتيجو سرور ۽ ورڪ اسٽيشن جي ميزبانن جي فهرست حاصل ڪرڻ آهي جيڪو حملي کي جاري رکڻ لاءِ استعمال ڪري سگهجي ٿو.
ان جي نالي جي بنياد تي، 'HUB-FILER' سرور هڪ لائق ٽارگيٽ وانگر لڳي ٿو ڇاڪاڻ ته ... وقت سان گڏ، فائل سرورز کي گڏ ڪرڻ جي ڪوشش ڪندا آهن نيٽ ورڪ فولڊر جو هڪ وڏو تعداد ۽ انهن تائين تمام گهڻن ماڻهن تائين رسائي.
ونڊوز ايڪسپلورر سان برائوزنگ اسان کي هڪ کليل شيئر فولڊر جي موجودگي کي ڳولڻ جي اجازت ڏئي ٿي، پر اسان جو موجوده اڪائونٽ ان تائين رسائي نٿو ڪري سگهي (شايد اسان وٽ صرف لسٽنگ جا حق آهن).
قدم 3: ACL سکڻ
ھاڻي، اسان جي HUB-FILER ھوسٽ ۽ ٽارگيٽ شيئر تي، اسان ACL حاصل ڪرڻ لاءِ PowerShell اسڪرپٽ هلائي سگھون ٿا. اسان اهو ڪري سگهون ٿا مقامي مشين مان، ڇو ته اسان وٽ اڳ ۾ ئي مقامي منتظم جا حق آهن:
(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –autoعمل جو نتيجو:
ان مان اسان ڏسون ٿا ته ڊومين يوزر گروپ کي صرف لسٽنگ تائين رسائي آهي، پر هيلپ ڊيسڪ گروپ کي ايڊيٽنگ جا حق پڻ آهن.
قدم 4: اڪائونٽ جي سڃاڻپ
هلڻ سان اسان هن گروپ جي سڀني ميمبرن کي حاصل ڪري سگهون ٿا:
Get-ADGroupMember -identity Helpdesk
هن لسٽ ۾ اسان هڪ ڪمپيوٽر اڪائونٽ ڏسون ٿا جنهن جي اسان اڳ ۾ ئي سڃاڻپ ڪئي آهي ۽ اڳ ۾ ئي رسائي ڪئي آهي:
قدم 5: ڪمپيوٽر اڪائونٽ تحت ڪم ڪرڻ لاءِ PSExec استعمال ڪريو
Microsoft Sysinternals مان توهان کي اجازت ڏئي ٿو حڪمن تي عمل ڪرڻ جي سلسلي ۾ SYSTEM@HUB-SHAREPOINT سسٽم اڪائونٽ، جنهن کي اسان ڄاڻون ٿا ته هيلپ ڊيسڪ ٽارگيٽ گروپ جو ميمبر آهي. اهو آهي، اسان کي صرف ڪرڻ جي ضرورت آهي:
PsExec.exe -s -i cmd.exeخير، ته پوءِ توهان وٽ مڪمل رسائي آهي ٽارگيٽ فولڊر HUB-FILERshareHR، ڇو ته توهان HUB-SHAREPOINT ڪمپيوٽر اڪائونٽ جي حوالي سان ڪم ڪري رهيا آهيو. ۽ هن رسائي سان، ڊيٽا کي نقل ڪري سگھجي ٿو پورٽبل اسٽوريج ڊوائيس تي يا ٻي صورت ۾ نيٽ ورڪ تي ٻيهر حاصل ۽ منتقل ڪيو وڃي.
قدم 6: هن حملي کي ڳولڻ
هي خاص اڪائونٽ اجازتن جي ترتيب جي ڪمزوري (ڪمپيوٽر اڪائونٽس نيٽ ورڪ شيئرز تائين رسائي ڪندڙ صارف اڪائونٽس يا سروس اڪائونٽس جي بدران) ڳولي سگهجن ٿا. بهرحال، صحيح اوزار کان سواء، اهو ڪرڻ تمام ڏکيو آهي.
حملن جي هن درجي کي ڳولڻ ۽ روڪڻ لاء، اسان استعمال ڪري سگهون ٿا انهن گروپن جي سڃاڻپ ڪرڻ لاءِ جن ۾ ڪمپيوٽر اڪائونٽس آهن، ۽ پوءِ انهن تائين رسائي کان انڪار ڪرڻ. اڳتي هلي ٿو ۽ توهان کي اجازت ڏئي ٿو ته هڪ نوٽيفڪيشن خاص طور تي هن قسم جي منظرنامي لاءِ.
هيٺ ڏنل اسڪرين شاٽ هڪ ڪسٽم نوٽيفڪيشن ڏيکاري ٿو جيڪو هر وقت فائر ڪندو جڏهن ڪمپيوٽر اڪائونٽ مانيٽر ٿيل سرور تي ڊيٽا تائين رسائي ڪندو.
PowerShell استعمال ڪندي ايندڙ قدم
وڌيڪ ڄاڻڻ چاهيو ٿا؟ ان لاڪ ڪوڊ استعمال ڪريو "بلاگ" مڪمل تائين مفت رسائي لاءِ .
جو ذريعو: www.habr.com