استحقاق میں اضافہ ایک اکاؤنٹ کے موجودہ حقوق کے حملہ آور کے ذریعے اضافی حاصل کرنے کے لیے استعمال کرنا ہے، عام طور پر سسٹم تک اعلیٰ سطح کی رسائی۔ اگرچہ استحقاق میں اضافہ صفر دن کی کمزوریوں سے فائدہ اٹھانے، یا ٹارگٹڈ حملہ کرنے والے فرسٹ کلاس ہیکرز کے کام، یا اچھی طرح سے بھیس میں مال ویئر کا نتیجہ ہو سکتا ہے، یہ اکثر کمپیوٹر یا اکاؤنٹ کی غلط کنفیگریشن کی وجہ سے ہوتا ہے۔ حملے کو مزید ترقی دیتے ہوئے، حملہ آور متعدد انفرادی کمزوریوں کا استعمال کرتے ہیں، جو ایک ساتھ مل کر تباہ کن ڈیٹا لیک کا باعث بن سکتے ہیں۔
صارفین کو مقامی منتظم کے حقوق کیوں نہیں ہونے چاہئیں؟
اگر آپ سیکورٹی پروفیشنل ہیں، تو یہ واضح معلوم ہو سکتا ہے کہ صارفین کے پاس مقامی منتظم کے حقوق نہیں ہونے چاہئیں، جیسا کہ:
- ان کے اکاؤنٹس کو مختلف حملوں کا زیادہ خطرہ بناتا ہے۔
- انہی حملوں کو زیادہ شدید بنا دیتا ہے۔
بدقسمتی سے، بہت سی تنظیموں کے لیے یہ اب بھی ایک بہت ہی متنازعہ مسئلہ ہے اور بعض اوقات اس کے ساتھ گرما گرم بحث بھی ہوتی ہے (مثال کے طور پر دیکھیں، )۔ اس بحث کی تفصیلات میں جانے کے بغیر، ہم سمجھتے ہیں کہ حملہ آور نے زیر تفتیش نظام پر مقامی منتظم کے حقوق حاصل کیے، یا تو کسی استحصال کے ذریعے یا مشینوں کو صحیح طریقے سے محفوظ نہ ہونے کی وجہ سے۔
مرحلہ 1 پاور شیل کے ساتھ ڈی این ایس ریزولوشن کو ریورس کریں۔
پہلے سے طے شدہ طور پر، PowerShell بہت سے مقامی ورک سٹیشنوں اور زیادہ تر ونڈوز سرورز پر انسٹال ہوتا ہے۔ اور اگرچہ یہ مبالغہ آرائی کے بغیر نہیں ہے کہ اسے ایک ناقابل یقین حد تک مفید آٹومیشن اور کنٹرول ٹول سمجھا جاتا ہے، لیکن یہ خود کو قریب سے نظر نہ آنے والے میں تبدیل کرنے کی بھی اتنی ہی صلاحیت رکھتا ہے۔ (ایک ہیکنگ پروگرام جو حملے کے نشانات نہیں چھوڑتا ہے)۔
ہمارے معاملے میں، حملہ آور پاور شیل اسکرپٹ کا استعمال کرتے ہوئے نیٹ ورک کی جاسوسی کرنا شروع کرتا ہے، نیٹ ورک کے IP ایڈریس کی جگہ پر ترتیب وار تکرار کرتا ہے، یہ تعین کرنے کی کوشش کرتا ہے کہ آیا کوئی IP کسی میزبان کو حل کرتا ہے، اور اگر ایسا ہے تو، اس میزبان کا نیٹ ورک نام کیا ہے۔
اس کام کو پورا کرنے کے بہت سے طریقے ہیں، لیکن cmdlet کا استعمال ADComputer ایک ٹھوس آپشن ہے کیونکہ یہ ہر نوڈ کے بارے میں ڈیٹا کا واقعی بھرپور سیٹ واپس کرتا ہے۔
import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}اگر بڑے نیٹ ورکس پر رفتار ایک مسئلہ ہے، تو DNS کال بیک استعمال کیا جا سکتا ہے:
[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName
نیٹ ورک پر میزبانوں کی فہرست بنانے کا یہ طریقہ بہت مقبول ہے، کیونکہ زیادہ تر نیٹ ورک صفر ٹرسٹ سیکیورٹی ماڈل استعمال نہیں کرتے ہیں اور مشتبہ سرگرمی کے لیے اندرونی DNS سوالات کی نگرانی نہیں کرتے ہیں۔
مرحلہ 2: ایک ہدف منتخب کریں۔
اس قدم کا حتمی نتیجہ سرور اور ورک سٹیشن کے میزبان ناموں کی فہرست حاصل کرنا ہے جو حملے کو جاری رکھنے کے لیے استعمال کیے جا سکتے ہیں۔
نام سے، 'HUB-FILER' سرور ایک قابل ہدف کی طرح لگتا ہے، چونکہ وقت گزرنے کے ساتھ، فائل سرورز، ایک اصول کے طور پر، نیٹ ورک فولڈرز کی ایک بڑی تعداد جمع کرتے ہیں اور بہت زیادہ لوگوں کی طرف سے ان تک ضرورت سے زیادہ رسائی ہوتی ہے۔
ونڈوز ایکسپلورر کے ساتھ براؤز کرنا ہمیں ایک کھلے مشترکہ فولڈر کی موجودگی کا پتہ لگانے کی اجازت دیتا ہے، لیکن ہمارا موجودہ اکاؤنٹ اس تک رسائی حاصل نہیں کرسکتا (شاید ہمارے پاس صرف فہرست سازی کے حقوق ہیں)۔
مرحلہ 3: ACLs سیکھیں۔
اب، ہمارے HUB-FILER ہوسٹ اور ٹارگٹ شیئر پر، ہم ACL حاصل کرنے کے لیے PowerShell اسکرپٹ چلا سکتے ہیں۔ ہم یہ مقامی مشین سے کر سکتے ہیں، کیونکہ ہمارے پاس پہلے سے ہی مقامی منتظم کے حقوق ہیں:
(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –autoعملدرآمد کا نتیجہ:
اس سے ہم دیکھتے ہیں کہ ڈومین یوزر گروپ کو صرف لسٹنگ تک رسائی حاصل ہے، لیکن ہیلپ ڈیسک گروپ کو بھی تبدیلی کے حقوق حاصل ہیں۔
مرحلہ 4: اکاؤنٹ کی شناخت
چل رہا ہے۔ ، ہم اس گروپ کے تمام ممبران کو حاصل کر سکتے ہیں:
Get-ADGroupMember -identity Helpdesk
اس فہرست میں ہمیں ایک کمپیوٹر اکاؤنٹ نظر آتا ہے جس کی ہم پہلے ہی شناخت کر چکے ہیں اور اس تک رسائی حاصل کر چکے ہیں:
مرحلہ 5: کمپیوٹر اکاؤنٹ کے طور پر چلانے کے لیے PSExec استعمال کریں۔
Microsoft Sysinternals سے آپ کو SYSTEM@HUB-SHAREPOINT سسٹم اکاؤنٹ کے سیاق و سباق میں کمانڈز پر عمل درآمد کرنے کی اجازت دیتا ہے، جسے ہم جانتے ہیں کہ ہیلپ ڈیسک ٹارگٹ گروپ کا رکن ہے۔ یعنی، ہمیں صرف یہ کرنے کی ضرورت ہے:
PsExec.exe -s -i cmd.exeٹھیک ہے، پھر آپ کو ٹارگٹ فولڈر HUB-FILERshareHR تک مکمل رسائی حاصل ہے، کیونکہ آپ HUB-SHAREPOINT کمپیوٹر اکاؤنٹ کے تناظر میں کام کر رہے ہیں۔ اور اس رسائی کے ساتھ، ڈیٹا کو پورٹیبل اسٹوریج ڈیوائس میں کاپی کیا جاسکتا ہے یا بصورت دیگر بازیافت اور نیٹ ورک پر منتقل کیا جاسکتا ہے۔
مرحلہ 6: اس حملے کا پتہ لگانا
یہ خاص اکاؤنٹ استحقاق ٹیوننگ کمزوری (صارف اکاؤنٹس یا سروس اکاؤنٹس کے بجائے نیٹ ورک شیئرز تک رسائی حاصل کرنے والے کمپیوٹر اکاؤنٹس) کو دریافت کیا جا سکتا ہے۔ تاہم، صحیح ٹولز کے بغیر، یہ کرنا بہت مشکل ہے۔
اس قسم کے حملوں کا پتہ لگانے اور روکنے کے لیے، ہم استعمال کر سکتے ہیں۔ ان میں کمپیوٹر اکاؤنٹس والے گروپس کی شناخت کرنا، اور پھر ان تک رسائی سے انکار کرنا۔ مزید آگے جاتا ہے اور آپ کو خاص طور پر اس قسم کے منظر نامے کے لیے ایک اطلاع بنانے کی اجازت دیتا ہے۔
ذیل کا اسکرین شاٹ ایک حسب ضرورت اطلاع دکھاتا ہے جو ہر بار جب کمپیوٹر اکاؤنٹ مانیٹر شدہ سرور پر ڈیٹا تک رسائی حاصل کرتا ہے تو فائر ہو جائے گا۔
پاور شیل کے ساتھ اگلے اقدامات
مزید جاننا چاہتے ہیں؟ مکمل تک مفت رسائی کے لیے "بلاگ" انلاک کوڈ استعمال کریں۔ .
ماخذ: www.habr.com