Ngagunakeun PowerShell pikeun Ningkatkeun Hak Istimewa Akun Lokal

Privilege escalation nyaéta pamakéan hak akun ayeuna panyerang pikeun meunangkeun tambahan, biasana leuwih luhur, tingkat aksés ka sistem. Sanajan escalation hak husus bisa jadi hasil tina eksploitasi nol poé, master hacker launching serangan sasaran, atawa cleverly disguised malware, éta paling sering lumangsung alatan komputer atawa akun misconfiguration. Ngembangkeun serangan salajengna, panyerang ngamangpaatkeun sababaraha kerentanan individu, anu babarengan tiasa nyababkeun bocor data bencana.

Naha pamaké teu kudu boga hak administrator lokal?

Upami anjeun profésional kaamanan, sigana écés yén pangguna henteu kedah gaduh hak administrator lokal, sabab ieu:

• Ngajadikeun rekening maranéhanana leuwih rentan ka sagala rupa serangan
• Ngajadikeun serangan anu sami ieu langkung serius

Hanjakalna, pikeun seueur organisasi ieu masih janten masalah anu kontroversial sareng kadang dibarengan ku diskusi anu panas (tingali, contona, manajer kuring nyebutkeun sakabeh pamaké kudu pangurus lokal). Tanpa ngalangkungan detil diskusi ieu, kami yakin yén panyerang ngagaduhan hak pangurus lokal dina sistem anu ditalungtik, boh ku cara eksploitasi atanapi kusabab mesinna henteu diamankeun leres.

Lengkah 1: Ngabalikeun Resolusi Ngaran DNS Nganggo PowerShell

Sacara standar, PowerShell dipasang dina seueur stasiun kerja lokal sareng seueur server Windows. Sareng sanaos henteu kaleuleuwihan yén éta dianggap salaku alat otomatisasi sareng kontrol anu luar biasa, éta sami-sami tiasa janten ampir teu katingali. malware fileless (program Hacking nu ninggalkeun euweuh ngambah serangan).

Dina kasus urang, panyerang mimiti ngalakukeun pangintipan jaringan nganggo skrip PowerShell, sacara berurutan ngaliwat rohangan alamat IP jaringan, nyobian pikeun nangtoskeun naha IP anu dipasihkeun ka host, sareng upami kitu, naon nami jaringan host éta.
Aya seueur cara pikeun ngalaksanakeun tugas ieu, tapi nganggo cmdlet Kéngingkeun-ADComputer mangrupikeun pilihan anu tiasa dipercaya sabab éta ngabalikeun set data anu saé pisan ngeunaan unggal titik:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

Upami kacepetan dina jaringan ageung mangrupikeun masalah, sauran sistem DNS sabalikna tiasa dianggo:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

Métode enumerasi host dina jaringan ieu populer pisan sabab kalolobaan jaringan henteu nganggo modél kaamanan amanah nol sareng henteu ngawaskeun pamundut DNS internal pikeun kagiatan anu curiga.

Lengkah 2: Pilih target

Hasil ahir tina hambalan ieu pikeun ménta daptar server na workstation hostname nu bisa dipaké pikeun neruskeun serangan.

Dumasar nami, server 'HUB-FILER' sigana janten target anu pantes sabab ... Kana waktu, server file condong ngumpulkeun sajumlah ageung polder jaringan sareng aksés kaleuleuwihan ka aranjeunna ku seueur teuing jalma.

Ngotektak nganggo Windows Explorer ngamungkinkeun urang pikeun nangtukeun yén aya polder anu dibagikeun kabuka, tapi akun urang ayeuna teu tiasa ngaksés éta (urang sigana ngan ukur gaduh hak daptar).

Lengkah 3: Diajar ACL

Ayeuna dina host HUB-FILER sareng pangsa target, urang tiasa ngajalankeun skrip PowerShell pikeun kéngingkeun ACL. Urang tiasa ngalakukeun ieu tina mesin lokal, sabab urang parantos ngagaduhan hak administrator lokal:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

Hasil palaksanaan:

Ti dinya urang ningali yén grup Pamaké Domain ngan boga aksés ka Listing, tapi grup Helpdesk ogé boga hak ngédit.

Lengkah 4: Idéntifikasi Akun

Ku lumpat Meunang-ADGroupMember, urang tiasa nampi sadaya anggota grup ieu:

Get-ADGroupMember -identity Helpdesk

Dina daptar ieu kami ningali akun komputer anu kami parantos ngaidentipikasi sareng parantos diaksés:

Lengkah 5: Anggo PSExec pikeun damel dina akun komputer

psexec ti Microsoft Sysinternals ngidinan Anjeun pikeun ngaéksekusi paréntah dina konteks akun sistem SYSTEM@HUB-SHAREPOINT, nu urang terang mangrupakeun anggota grup target Helpdesk. Maksudna, urang ngan ukur kedah ngalakukeun:

PsExec.exe -s -i cmd.exe

Nya, teras anjeun gaduh aksés pinuh kana folder target HUB-FILERshareHR, sabab anjeun damel dina konteks akun komputer HUB-SHAREPOINT. Sareng ku aksés ieu, data tiasa ditiron ka alat panyimpen portabel atanapi upami henteu dicandak sareng ditransfer ngaliwatan jaringan.

Lengkah 6: Ngadeteksi serangan ieu

Kerentanan konfigurasi idin akun khusus ieu (akun komputer anu ngaksés saham jaringan tibatan akun pangguna atanapi akun jasa) tiasa dipendakan. Nanging, tanpa alat anu leres, éta sesah pisan dilakukeun.

Pikeun ngadeteksi sareng nyegah kategori serangan ieu, urang tiasa nganggo Keunggulan Data pikeun ngaidentipikasi grup sareng akun komputer di jerona, teras nampik aksés ka aranjeunna. DataAlert mana salajengna jeung ngidinan Anjeun pikeun nyieun bewara husus pikeun jenis ieu skenario.

Potret layar di handap nunjukkeun béwara khusus anu bakal dipicu iraha waé akun komputer ngaksés data dina server anu diawaskeun.

Léngkah salajengna nganggo PowerShell

Hoyong terang langkung seueur? Paké kode muka konci "blog" pikeun aksés bébas pinuh Kursus video PowerShell sareng Active Directory Basics.

sumber: www.habr.com