1. Inledning
Företag som inte hade organiserat system för distansÄtkomst installerade dem akut för nÄgra mÄnader sedan. Inte alla administratörer var beredda pÄ denna "hetta", vilket ledde till brister i sÀkerheten: felaktig konfiguration av tjÀnster eller till och med installation av förÄldrade versioner av programvara med tidigare kÀnda sÄrbarheter. Vissa av dessa brister har redan kommit tillbaka som en boomerang, andra hade mer tur, men slutsatser bör definitivt dras av alla. Lojaliteten till distansarbete har ökat kraftigt, och allt fler företag accepterar distansarbete som en permanent format.
Det finns mÄnga alternativ för att sÀkerstÀlla distansÄtkomst: olika VPN, RDS och VNC, TeamViewer och andra. Administratörer har mycket att vÀlja mellan, baserat pÄ den specifika strukturen av det företagsnÀtverket och enheterna i det. De mest populÀra förblir VPN-lösningar, men mÄnga smÄ företag vÀljer RDS (Remote Desktop Services) eftersom de Àr enklare och snabbare att implementera.
I denna artikel kommer vi att prata mer om sÀkerheten för RDS. Vi gör en kort översikt över kÀnda sÄrbarheter samt gÄr igenom flera scenarier för hur attacker pÄ nÀtverksinfrastrukturen, baserad pÄ Active Directory, kan börja. Vi hoppas att vÄr artikel hjÀlper nÄgon att lÀra sig av sina misstag och öka sÀkerheten.
2. Nya sÄrbarheter i RDS/RDP
All programvara innehÄller fel och sÄrbarheter som utnyttjas av angripare, och RDS Àr inget undantag. PÄ senare tid har Microsoft ofta rapporterat om nya sÄrbarheter, och vi har beslutat att göra en kort översikt över dem:
Denna sÄrbarhet Àventyrar anvÀndare som ansluter till en komprometterad server. En angripare kan fÄ kontroll över anvÀndarens enhet eller etablera sig i systemet för att fÄ permanent distansÄtkomst.
- / /
Denna grupp av sĂ„rbarheter möjliggör för en obehörig angripare att fjĂ€rrköra godtycklig kod pĂ„ en server med RDS genom ett sĂ€rskilt utformat anrop. De kan ocksĂ„ anvĂ€ndas för att skapa maskar â skadlig programvara som infekterar angrĂ€nsande enheter i nĂ€tverket pĂ„ egen hand. PĂ„ sĂ„ sĂ€tt kan dessa sĂ„rbarheter Ă€ventyra hela företagets nĂ€tverk, och endast tidsenliga uppdateringar kan skydda mot dem.
Program för fjÀrrÄtkomst har fÄtt ökad uppmÀrksamhet frÄn bÄde forskare och angripare, sÄ snart kan vi kanske höra om nya liknande sÄrbarheter.
Den goda nyheten Àr att offentliga exploits inte Àr tillgÀngliga för alla sÄrbarheter. Den dÄliga Àr att en angripare med kompetens lÀtt kan skriva en exploit för en sÄrbarhet baserat pÄ en beskrivning, eller anvÀnda tekniker som Patch Diffing (som vÄra kollegor skrev om i ). DÀrför rekommenderar vi att regelbundet uppdatera programvaran och hÄlla utkik efter nya meddelanden om upptÀckta sÄrbarheter.
3. Angrepp
Vi gÄr vidare till den andra delen av artikeln, dÀr vi visar hur angrepp pÄ nÀtverksinfrastruktur som byggs pÄ Active Directory inleds.
De beskrevna metoderna Ă€r tillĂ€mpliga för följande angriparmodell: en angripare som har ett anvĂ€ndarkonto och tillgĂ„ng till Remote Desktop Gateway â en terminalserver (den Ă€r ofta tillgĂ€nglig, till exempel frĂ„n externa nĂ€tverk). Genom att anvĂ€nda dessa metoder kan angriparen fortsĂ€tta attacken mot infrastrukturen och befĂ€sta sin nĂ€rvaro i nĂ€tverket.
NÀtverkskonfigurationen kan variera i varje enskilt fall, men de beskrevna teknikerna Àr ganska universella.
Exempel pÄ att ta sig ur en begrÀnsad miljö och öka privilegier
Vid tillgÄng till Remote Desktop Gateway kommer angriparen troligtvis att möta en viss begrÀnsad miljö. Vid anslutning till terminalservern startas en applikation: ett fönster för anslutning via Remote Desktop-protokollet för interna resurser, en filhanterare, kontorsprogram eller annan programvara.
MÄlet för angriparen Àr att fÄ tillgÄng till kommandokörning, det vill sÀga att kunna köra cmd eller powershell. Detta kan underlÀttas av nÄgra klassiska tekniker för att fly frÄn "sandboxen" i Windows. LÄt oss titta pÄ dem hÀrnÀst.
Alternativ 1. Angriparen har tillgÄng till Remote Desktop-anslutningsfönstret inom Remote Desktop Gateway:
Menyn "Visa alternativ" öppnas. Alternativ för manipulation av anslutningskonfigurationsfiler visas:
FrĂ„n detta fönster kan man enkelt komma Ă„t filhanteraren genom att trycka pĂ„ nĂ„gon av knapparna "Ăppna" eller "Spara":
Filutforskaren öppnas. Dess "adressfÀlt" möjliggör körning av tillÄtna exekverbara filer samt visning av filsystemet. Detta kan vara anvÀndbart för en angripare i en situation dÀr systemdiskar Àr dolda och direkt Ätkomst till dem Àr omöjlig:
â
Ett liknande scenario kan Äterges, exempelvis genom att anvÀnda Excel frÄn Microsoft Office-paketet som fjÀrrprogram.
â
Dessutom bör vi inte glömma makron som anvÀnds i detta kontorspaket. VÄra kollegor har granskat sÀkerhetsproblemen med makron i denna .
Alternativ 2. Genom att anvÀnda samma förutsÀttningar som i föregÄende alternativ, startar angriparen flera anslutningar till den fjÀrrskrivbordet under samma konto. Vid Äteranslutning kommer den första att stÀngas av, och en felmeddelandefönster kommer att visas pÄ skÀrmen. HjÀlpknappen i detta fönster kommer att utlösa Internet Explorer pÄ servern, efter vilket angriparen kan gÄ till Filutforskaren.
â
Alternativ 3. Vid instÀllda begrÀnsningar för körning av exekverbara filer kan angriparen stÀllas inför en situation dÀr grupprinciper förbjuder administratören att köra cmd.exe.
Det finns ett sÀtt att kringgÄ detta genom att köra en bat-fil pÄ den fjÀrrskrivbordet med innehÄllet cmd.exe /K . Fel vid körning av cmd och ett lyckat exempel pÄ att köra bat-filen Àr visat pÄ bilden nedan.
Alternativ 4. Att förbjuda körning av program genom svarta listor baserat pÄ namnet pÄ exekverbara filer Àr ingen universalmetod, de kan kringgÄs.
LĂ„t oss betrakta följande scenario: vi har förbjudit Ă„tkomst till kommandoraden, förbudit körning av Internet Explorer och PowerShell genom grupprinciper. Angriparen försöker kalla pĂ„ hjĂ€lp â inget svar. Försöker starta powershell via Kontextmenyn i det modala fönstret som aktiveras med Shift-tangenten â meddelande om förbud mot körning av administratören. Försöker starta powershell via adressfĂ€ltet â Ă„terigen inget svar. Hur kan man kringgĂ„ begrĂ€nsningen?
Det rÀcker att kopiera powershell.exe frÄn mappen C:\Windows\System32\WindowsPowerShell\v1.0 till anvÀndarmappen, Àndra namnet till nÄgot annat Àn powershell.exe, och möjligheten att köra det blir tillgÀnglig.
Som standard, nÀr man ansluter till fjÀrrskrivbordet, ges Ätkomst till klientens lokala diskar, varifrÄn angriparen kan kopiera powershell.exe och efter omnamnandet köra det.
â
Vi har listat nÄgra sÀtt att kringgÄ begrÀnsningar; det finns mÄnga fler scenarier som kan uppfinnas, men alla har gemensamt att de gÄr via Windows Utforskaren. Det finns mÄnga applikationer som anvÀnder standardverktyg i Windows för att arbeta med filer, och nÀr de placeras i en begrÀnsad miljö kan liknande tekniker tillÀmpas.
4. Rekommendationer och slutsats
Som vi ser finns det Àven i en begrÀnsad miljö utrymme för att utveckla attacker. Men man kan komplicera livet för angriparen. HÀr Àr allmÀnna rekommendationer som kan vara anvÀndbara bÄde i de fall vi har diskuterat och i andra situationer.
- BegrÀnsa programstart med svarta/vita listor genom att anvÀnda gruppolicyer.
I de flesta fall kvarstÄr dock möjligheten att köra kod. Vi rekommenderar att du bekantar dig med projektet , för att fÄ en uppfattning om outredda metoder för filmanipulation och kodexekvering i systemet.
Vi rekommenderar att kombinera bÄda typer av begrÀnsningar: till exempel kan man tillÄta körning av körbara filer som Àr signerade av Microsoft, men begrÀnsa körningen av cmd.exe. - StÀng av instÀllningsflikarna i Internet Explorer (detta kan göras lokalt i registret).
- Inaktivera access till den inbyggda hjÀlpen i Windows genom regedit.
- StÀng av möjligheten att montera lokala diskar för fjÀrranslutningar, om denna begrÀnsning inte Àr kritisk för anvÀndarna.
- BegrÀnsa Ätkomsten till de lokala diskarna pÄ den fjÀrranslutna enheten, och lÀmna endast tillgÄng till anvÀndarmappar.
Vi hoppas att du har funnit detta intressant och att denna artikel Ätminstone hjÀlper till att göra ditt företags fjÀrrarbete sÀkrare.
KĂ€lla: habr.com
