विंडोज विशेषाधिकार वृद्धि

सूचना सुरक्षा प्रबंधन अभ्यास: पंचक

विंडोज डोमेन व्यवस्थापक स्तर पर उपयोगकर्ता विशेषाधिकार उठाते हुए

परिचय

एक अच्छी सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) को इसकी प्रभावशीलता के नियमित मूल्यांकन की आवश्यकता होती है। इस तरह के आकलन के विभिन्न तरीके हैं, जिनमें से एक किस्म तथाकथित है। "पेनिट्रेशन टेस्ट" या पेंटेस्ट - एक सूचना प्रणाली पर एक हैकर हमले का एक अधिकृत सिमुलेशन, जो एक वास्तविक हमलावर द्वारा पता लगाने से पहले इसकी सुरक्षा में कमजोरियों की पहचान करने के लिए। इस मामले में, वास्तविक जीवन में उपलब्ध किसी भी हैकर टूल, कारनामे, तरीके आदि का उपयोग किया जा सकता है।

इस लेख में इन एंटी-हैकिंग प्रथाओं में से एक का वर्णन किया गया है, जिसका उद्देश्य एक डोमेन व्यवस्थापक के स्तर पर एक साधारण Microsoft विंडोज डोमेन उपयोगकर्ता के विशेषाधिकारों को बढ़ाना है। लेख एक परीक्षण के परिणामों पर एक रिपोर्ट पर आधारित था जिसे अभ्यास में रखा गया था। गोपनीयता के कारणों के लिए, स्थल (डोमेन और होस्ट नाम, खाते, आदि) की पहचान करने की अनुमति देने वाली सभी जानकारी हटा दी जाती है या बदल दी जाती है। लेख बुनियादी तकनीकों को दिखाता है, एक बेहतर समझ के लिए मैंने ऑपरेटिंग सिस्टम के विशिष्ट संस्करणों के लिए इस्तेमाल की गई सैद्धांतिक नींव और कमजोरियां दीं, साथ ही सुरक्षा के लिए सामान्य सिफारिशें भी दीं। और यद्यपि प्रकाशन के समय विंडोज के इन संस्करणों में से अधिकांश को अप्रचलित माना जाएगा, यह आलेख नौसिखिया सिस्टम प्रशासकों के लिए उपयोगी हो सकता है ताकि वे विंडोज वातावरण में क्रेडेंशियल्स की सुरक्षा के तरीकों को बेहतर ढंग से समझ सकें।

परीक्षण वस्तु का विवरण

परीक्षण वस्तु काफी मानक है - सॉफ्टवेयर विकास में विशेषज्ञता वाली एक छोटी (200 से कम कर्मचारी) कंपनी की सूचना प्रणाली। कंपनी का आंतरिक नेटवर्क भी विशिष्ट है: डायल-अप गिगाबिट ईथरनेट, माइक्रोसॉफ्ट विंडोज डोमेन (हम इसे कॉर्पोरल कहेंगे)। आंतरिक होस्ट्स को उनके कार्यात्मक संबद्धता के आधार पर आईपी सबनेट में विभाजित किया जाता है (जैसे: डेवलपर्स, गुणवत्ता इंजीनियरों, मानव संसाधन विभाग, लेखा, विपणन, शीर्ष प्रबंधन, सुविधाएं, आदि का एक समूह), सभी विभाजन एल 3 स्विच पर किया जाता है। । आंतरिक सर्वर का एक पार्क भी है जो एक अलग आईपी सबनेट के लिए समर्पित है और इसमें शामिल हैं: एकीकृत DNS के साथ दो विंडोज सर्वर 2008 डोमेन नियंत्रक, एक्सचेंज चलाने वाला एक आंतरिक मेल सर्वर, एक फ़ाइल सर्वर, एक टर्मिनल सर्वर और विंडोज और लिनक्स चलाने वाले कुछ अन्य सहायक सर्वर। अलग-अलग, यह Microsoft प्रयोगशाला के विभिन्न संस्करणों (डेस्कटॉप और सर्वर दोनों) को चलाने वाली मशीनों के एक बेड़े के साथ एक परीक्षण प्रयोगशाला को ध्यान देने योग्य है और विकसित सॉफ्टवेयर का परीक्षण करने के लिए डिज़ाइन किया गया है। सभी कर्मचारियों के लिए टेस्ट लैब के मेजबानों तक पहुंच उपलब्ध है। डेस्कटॉप ओएस का मुख्य संस्करण विंडोज 7. अलग-अलग निर्माताओं से कॉन्फ़िगर किया गया एंटीवायरस सॉफ़्टवेयर डेस्कटॉप कंप्यूटर और सर्वर (Symantec, Kaspersky और ट्रेंड माइक्रो से, क्यों एक खराब कॉन्फ़िगर किया गया है) पर बाद में चर्चा की जाएगी।

घुसपैठिए मॉडल

घुसपैठिए - एक आंतरिक कर्मचारी जिनके पास डोमेन में एक अप्रभावित उपयोगकर्ता खाता है, एक डेस्कटॉप कंप्यूटर, परीक्षण कंप्यूटरों के लिए भौतिक पहुंच (संभवतः एक कॉर्पोरेट लैपटॉप है), लेकिन उनमें से किसी पर भी स्थानीय व्यवस्थापक विशेषाधिकार नहीं हैं। इसके अलावा, घुसपैठिए खाते में एंटीवायरस सॉफ़्टवेयर की सेटिंग्स को बदलने की क्षमता नहीं है। हमलावर का इरादा डोमेन नियंत्रक और / या फ़ाइल सर्वर तक व्यवस्थापक की पहुंच के बराबर पहुंच प्राप्त करना है।

जैसा कि हम देखते हैं, घुसपैठिए का मॉडल और कंपनी का वर्णन दोनों ही काफी विशिष्ट हैं।

आक्रमण लागू

चरण 0. आंतरिक नेटवर्क के बारे में जानकारी का संग्रह

इसलिए, हम अपराधी की ओर से कार्य करते हैं। इस कदम पर, हमें इसके बारे में जानकारी एकत्र करने की आवश्यकता है:

• आंतरिक पते और सबनेटिंग
• होस्ट नाम और आईपी पते, सबसे पहले हम सर्वर की एक सूची में रुचि रखते हैं
• NetBIOS प्रोटोकॉल का उपयोग करना।

सबसे पहले, ipconfig उपयोगिता का उपयोग करके, हमें DNS सर्वरों के आईपी पते मिलते हैं: 192.168.12.1 और 192.168.12.2। क्योंकि DNS सक्रिय निर्देशिका के साथ एकीकृत है, जो हमें यह विश्वास करने का कारण देता है कि हम डोमेन नियंत्रकों के आईपी पते जानते हैं। अगला, इंटरएक्टिव मोड में nslookup उपयोगिता का उपयोग करके, हम corp.local ज़ोन में सभी मेजबानों की सूची प्राप्त करने का प्रयास करते हैं:

> ls –d corp.local> फ़ाइल

वास्तव में, यह कमांड एक पूर्ण DNS ज़ोन स्थानांतरण शुरू करता है, इसे फ़ाइल करने के लिए सहेज रहा है। कई प्रशासक आंतरिक नेटवर्क के लिए ज़ोन हस्तांतरण पर प्रतिबंध लगाना भूल जाते हैं, जिससे संभावित हमलावर के लिए कंपनी के बुनियादी ढांचे के बारे में जानकारी एकत्र करना आसान हो जाता है, अधिक जानकारी के लिए देखें [12]।

परिणाम। सफलता। एक असुरक्षित ज़ोन स्थानांतरण ने हमें आंतरिक होस्ट नामों की पूरी सूची दी, जिनमें सर्वर और उनके आईपी पते शामिल थे। उपयोगिताओं nbtstat, टेलनेट, साथ ही साथ किसी भी सामान्य भेद्यता स्कैनर का उपयोग करते हुए, एक हमलावर उसके लिए ब्याज की मेजबानों पर मंच, चल रही सेवाओं और ओएस संस्करणों के बारे में जानकारी एकत्र कर सकता है।

चरण 1. स्थानीय व्यवस्थापक विशेषाधिकार प्राप्त करना

सिद्धांत। स्थानीय व्यवस्थापक पासवर्ड प्राप्त करने के लिए, सिस्टम रजिस्ट्री में संग्रहीत इस पासवर्ड के हैश मान पर एक हमला लागू होता है। इस तथ्य के बावजूद कि हैश फ़ंक्शन गणितीय रूप से अपरिवर्तनीय है, पासवर्ड गणना एक शब्दकोश हमले के साथ अपने मूल्यों की प्रत्यक्ष गणना द्वारा संभव है। विंडोज ने ऐतिहासिक रूप से एक पासवर्ड हैश फ़ंक्शन की गणना के लिए दो एल्गोरिदम का उपयोग किया है: विरासत एलएम एल्गोरिथ्म और नए एनटी एल्गोरिदम (कभी-कभी एनटीएलएम भी कहा जाता है)। LM हैश फ़ंक्शन इसकी कम कम्प्यूटेशनल जटिलता के कारण असुरक्षित है, जो कमजोर कंप्यूटर पर भी इसके मूल्यों की गणना करना संभव बनाता है। सिस्टम रजिस्ट्री में एलएम और एनटी पासवर्ड हैश दोनों की उपस्थिति सुनिश्चित करती है कि हमलावर स्वीकार्य समय में इसे क्रैक कर सकता है। डिफ़ॉल्ट सेटिंग्स पर LM हैश मान को Windows XP / 2003 की रजिस्ट्री में संग्रहीत किया जाता है, जो इन प्रणालियों को हैकर के लिए विशेष रूप से आकर्षक बनाता है। NT हैश फ़ंक्शन कम्प्यूटेशनल रूप से अधिक जटिल है, हालांकि, इसके मूल्यों की गणना करना इस तथ्य से बहुत सरल है कि इसके लिए उपलब्ध पूर्व-गणना मूल्य तालिकाएं (तथाकथित इंद्रधनुष तालिकाएं) हैं - वे वांछित हैश की खोज के लिए हैश मान की गणना को कम करते हैं पूर्व-परिकलित मान।

हमले की वस्तु। एसएएम डेटाबेस (रजिस्ट्री) में पासवर्ड हैश। हमारे मामले में, ये सभी मशीनें हैं जिनके लिए हमारे पास भौतिक पहुंच है। सबसे पहले, यह हमारा काम करने वाला डेस्कटॉप है, और दूसरी बात, परीक्षण करने के लिए मेजबान।

बोध। उन मशीनों के साथ, जिनमें भौतिक पहुंच होती है, हम निम्नलिखित ऑपरेशन करते हैं: एक बाहरी माध्यम से बूट करें (विंडोज़ प्री-इंस्टॉलेशन एनवायरनमेंट सीडी या लिनक्स लाइव सीडी का उपयोग करके), NTFS सिस्टम विभाजन को माउंट करें और रजिस्ट्री शाखाओं को HKLM \ SYSTEM और HKLM \ SAM (% WINDIR फ़ाइलों की प्रतिलिपि बनाएँ) % \ System32 \ Config \ System और% WINDIR% \ System32 \ config \ Sam क्रमशः)। हम Windows XP \ Windows 2003 पर चलने वाली मशीनों पर विशेष ध्यान देते हैं, जिस पर LM हैश पाया जा सकता है। कॉपी की गई रजिस्ट्री फ़ाइलों से पासवर्ड डंप करने के लिए, हम टूल [1], [2] (लेख के अंत में सभी लिंक) का उपयोग करते हैं। परिणाम:



अंतिम पंक्ति में स्थानीय व्यवस्थापक का आवश्यक NT हैश है। टेस्ट लैब से मेजबानों पर (इन मेजबों को LAB1 और LAB2 कहते हैं) हम एक गैर-शून्य एलएम हैश पाते हैं:





तो, हमें NT और LM हैश मिला। लेकिन उनसे पासवर्ड कैसे पुनर्प्राप्त करें? ऐसा करने के लिए, हम उसी उपकरण [1], [2] के साथ-साथ ऑनलाइन हैश रिवर्स सेवाओं [8] - [११] का उपयोग करेंगे:



नोट: वास्तविक पासवर्ड में एक छोटे से संशोधक के साथ कंपनी का नाम शामिल था और एक शब्दकोश हमले के तहत जल्दी टूट गया)।

परिणाम। सफलता। हमारे काम करने वाले डेस्कटॉप से ​​स्थानीय व्यवस्थापक खाते के पासवर्ड (उन्हें "पा $$ शब्द 1" और "पा $ $ शब्द 2" होने दें) प्राप्त हुए हैं। लेकिन क्या वे डोमेन व्यवस्थापक अधिकार प्राप्त करने में मदद करेंगे? इसके बारे में आगे।

चरण 2. डोमेन व्यवस्थापक क्रेडेंशियल्स प्राप्त करना

सिद्धांत। ज्यादातर मामलों में, यह डोमेन व्यवस्थापक के लिए पासवर्ड के NT हैश का मान प्राप्त करने के लिए पर्याप्त है। यह इस तथ्य के कारण है कि जब उपयोगकर्ता NTLM प्रोटोकॉल का उपयोग करके सत्यापित किया जाता है, तो प्रमाणित सिस्टम केवल NT हैश को प्रमाणक के लिए प्रस्तुत करता है, और पासवर्ड सत्यापन नहीं होता है। NT हैश तथाकथित से प्राप्त किया जा सकता है एलएसए भंडारण तथाकथित द्वारा संदर्भित व्यवस्थापक लॉगऑन सत्र (लॉगऑन सत्र Winlogon प्रक्रिया द्वारा बनाया गया एक विशेष डेटा क्षेत्र है जहां उपयोगकर्ता नाम, लॉगिन डोमेन और NT पासवर्ड हैश मान संग्रहीत किए जाते हैं, सामूहिक रूप से, इसे एलएसए-रहस्य कहा जाता है)। NTLM प्रमाणीकरण के लिए NTLMSSP प्रक्रिया द्वारा इस NT हैश का उपयोग किया जाता है। लॉगऑन सत्र को हर समय सहेजा जाता है जबकि खाता सिस्टम में लॉग इन होता है। आप NTLM व्यवस्थापक प्रमाणीकरण सत्र से एक NT हैश को भी रोक सकते हैं। इसके अलावा, डोमेन कैश्ड क्रेडेंशियल (DCC) कैश से एक व्यवस्थापक पासवर्ड प्राप्त करना संभव है। DCC एक स्थानीय कैश है जो किसी उपयोगकर्ता द्वारा डोमेन पर सफलतापूर्वक लॉग ऑन करने पर पॉप्युलेट होता है। डीसीसी कैश का उद्देश्य डोमेन नियंत्रक के अनुपलब्ध होने पर उपयोगकर्ता को प्रमाणित करने में सक्षम होना है।

हमला वस्तुओं:

• DCC हैश (HKLM \ Security रजिस्ट्री शाखा)।
• डोमेन प्रशासक लोगन सत्र (एलएसए-सीक्रेट)।
• NTLM सत्रों का अवरोधन (अधिक व्यावहारिक जटिलता के कारण नहीं माना जाता है)।

अभ्यास। कई विंडोज प्रशासक उपयोगकर्ताओं के कंप्यूटर पर विभिन्न प्रकार के संचालन करने के लिए एक डोमेन व्यवस्थापक खाते का उपयोग करते हैं। वहीं, इसका डेटा डीसीसी कैश में आता है। इसलिए, पहले डीसीसी कैश से पासवर्ड प्राप्त करने का प्रयास करें। हम अपने कार्य केंद्र में जाते हैं, HKLM \ Security रजिस्ट्री शाखा को बचाते हैं और इसे [1] में आयात करते हैं। क्योंकि हमारे पास एक स्थानीय व्यवस्थापक पासवर्ड है, रजिस्ट्री को बचाने के लिए अब हमें बाहरी मीडिया से मशीन को बूट करने की आवश्यकता नहीं है:



कैश में तीन खातों का पासवर्ड डेटा होता है। अंतिम खाता (*** उपयोगकर्ता) हमें ब्याज नहीं देता है, दूसरे खाते में आवश्यक विशेषाधिकार नहीं हैं, लेकिन उपयोगकर्ता shadmin आपके द्वारा ढूंढ रहे व्यवस्थापक की तरह दिखता है। दुर्भाग्य से, MS-CACHE2 एल्गोरिथ्म में महान कम्प्यूटेशनल जटिलता है और उस पर एक प्रत्यक्ष जानवर बल का हमला अक्षम है। MS-CACHEv2 फ़ंक्शन में एक "कम्प्यूटेशनल सीक्रेट" होता है - नमक (खाते का नाम "नमक" के रूप में उपयोग किया जाता है), जो इसे रेनबो टेबल पर हमलों से बचाता है। हालांकि, भविष्य में, हैश वैल्यू टेबल मानक खातों के लिए दिखाई दे सकते हैं - "प्रशासक", "प्रशासक", आदि। हित के लिए, हम क्लाउड सेवा [8] में पाया गया "कैश हैश" - [11] (लेख के अंत में ऐसी सेवाओं के परिणामों और प्रभावशीलता के बारे में)। जबकि बादल सोच रहा है, हम अन्य डीसीसी खोजने की कोशिश कर रहे हैं। हम चरण 0 में प्राप्त होस्ट सूची का विश्लेषण करते हैं, चरण 1 में प्राप्त पासवर्ड का उपयोग करके स्थानीय सर्वर के तहत हम कौन से सर्वर तक पहुंच सकते हैं, इसकी जांच करें। चूंकि स्थानीय व्यवस्थापक डोमेन नियंत्रक पर अवरुद्ध है और मेल सर्वर आमतौर पर बेहतर संरक्षित है, इसलिए आपको प्रयोग करने की आवश्यकता है द्वितीयक सर्वर। हमारे मामले में, सर्वर की सूची में अगोचर नाम अपडेट वाला सर्वर पाया गया था। चरण 1 में पाया गया पासवर्ड "पा $ $ वर्ड 2" के साथ लॉगिन सफल है। हम पाते हैं कि अद्यतन होस्ट पर:

1. कोई एंटीवायरस सॉफ़्टवेयर स्थापित नहीं है।
2. यह अपाचे चलाता है, जो कॉर्पोरेट एंटीवायरस के लिए प्रबंधन सर्वर है (इसका मतलब है कि एंटी-वायरस सॉफ़्टवेयर को दूरस्थ रूप से स्थापित करने के लिए उपयोग किए जाने वाले खाते के लिए एक पासवर्ड है और सैद्धांतिक रूप से, आप इसे वहां से निकाल सकते हैं)।
3. मेजबान लॉगिन प्रयासों को विफल नहीं करता है।
4. ओएस संस्करण - विंडोज 2008 आर 2।

HKLM \ Security रजिस्ट्री को डंप करने के बाद, हमें CORP.LOCAL \ एडमिनिस्ट्रेटर अकाउंट (और अन्य) का DCC हैश मिलता है:



सैद्धांतिक रूप से, आप क्लाउड सेवा के माध्यम से व्यवस्थापक के लिए पासवर्ड ढूंढने का प्रयास कर सकते हैं। हालांकि, जैसा कि मैंने ऊपर कहा, MS-CACHEv2 पर एक क्रूर बल हमला बेकार है (हालांकि यह संभव है कि कुछ वर्षों में स्थिति बदल जाएगी)। अकेले डीसीसी को छोड़ दें और लॉगऑन सत्रों की तलाश में आगे बढ़ें। अपडेट होस्ट पर कौन सा उपयोगकर्ता लॉग ऑन है, इसकी जाँच करें:



हम देखते हैं कि दो निष्क्रिय सत्र अपडेट मशीन पर लटकाए जाते हैं - व्यवस्थापक और उपयोगकर्ता Shadmin, जो पहले से ही हमसे परिचित हैं, जिसका अर्थ है कि हम LSA-secret चोरी करके उनके पासवर्ड का NT-hashes प्राप्त कर सकते हैं। यह पूरे हमले की सफलता को निर्धारित करने की कुंजी है। एक हैश चोरी करने के लिए, Lslsass शोषण [3] का उपयोग करें। इसे निष्पादित करने के लिए, आपको स्थानीय व्यवस्थापक अधिकारों (या बल्कि, डिबग प्रक्रियाओं के अधिकार) की आवश्यकता है, जो हमारे पास पहले से ही है। हमें एलएसए रहस्यों की सूची मिलती है (प्रारूप "डोमेन \ खाता: एलएम हैश: एनटी हैश :::") में:

lslsass v1.0 - Copyright (C) 2010 Bjorn Brolin, Truesec (www.truesec.com) Found Lsass pid: 520 Lsass process open Found possible primary token Found real token UPD\Administrator::00000000000000000000000000000000:<i>8833c58febc977799520e7536bb2011e</i>::: Found possible primary token Found possible primary token Found possible primary token Found real token UPD\Administrator::00000000000000000000000000000000:8833c58febc977799520e7536bb2011e::: Found possible primary token Found real token UPD\Administrator::00000000000000000000000000000000:8833c58febc977799520e7536bb2011e::: Found possible primary token Found real token CORP.LOCAL\UPD$::00000000000000000000000000000000:68987a0fb5529dbf99d5eac3bfce773b::: Found possible primary token Found real token CORP.LOCAL \UPD$::00000000000000000000000000000000:68987a0fb5529dbf99d5eac3bfce773b::: Found possible primary token Found real token CORP.LOCAL \UPD$::00000000000000000000000000000000:68987a0fb5529dbf99d5eac3bfce773b::: Found possible primary token Found real token CORP.LOCAL \Administrator::00000000000000000000000000000000: <b> c690e441dc78bc5da8b389e78daa6392 </b>::: Found possible primary token Found real token CORP.LOCAL \shadmin::00000000000000000000000000000000: <b> 5794cba8b464364eacf366063ff70e78 </b> ::: 

बोल्ड द्वारा हाइलाइट की गई लाइनों में आवश्यक पासवर्ड हैश शामिल हैं। छठी पंक्ति में इटैलिक में हैश पर भी ध्यान दें। हमने पहले से ही उसे कहीं देखा है, है ना?

परिणाम। सफलता। हमारे हाथ में डोमेन व्यवस्थापक खाते का NT पासवर्ड हैश है। लेकिन एक स्वीकार्य समय में मूल पासवर्ड को पुनर्स्थापित करने से क्या हैश का उपयोग संभव नहीं है? इसके बारे में अगले चरण में।

चरण 3. धोखा एनटीएलएम प्रमाणीकरण सत्र

सिद्धांत। Windows प्रमाणीकरण के लिए कभी भी शुद्ध पासवर्ड का उपयोग नहीं करता है, प्रमाणित सिस्टम हमेशा हैश प्रस्तुत करता है। यह विचार को जन्म देता है: उपयोगकर्ता नाम, लॉगिन डोमेन और NT हैश की जगह लॉग-इन उपयोगकर्ता के लॉगऑन सत्र में उपयुक्त डोमेन व्यवस्थापक मान के साथ, हम दूरस्थ सिस्टम से पहले NTLM प्रोटोकॉल का उपयोग करके डोमेन व्यवस्थापक के रूप में प्रमाणित कर सकते हैं। यह हमला [L] केवल NTLM प्रोटोकॉल का उपयोग करके प्रमाणीकरण के साथ संभव है। केर्बरोस प्रोटोकॉल के व्यापक उपयोग के बावजूद, एनटीएलएम एक ग्राहक को प्रमाणित करने का एकमात्र संभव तरीका है जब नेटवर्क शेयर तक पहुंच प्रतीकात्मक नाम से नहीं, बल्कि आईपी पते [13] द्वारा किया जाता है।

हमले की वस्तु। स्थानीय व्यवस्थापक का लॉगऑन सत्र।

अभ्यास। ऐसे कई कारनामे उपलब्ध हैं जो आपको विंडोज सर्वर 2008 x86 और x64 प्लेटफॉर्म पर हमले को लागू करने की अनुमति देते हैं। मुख्य शोषण विंडोज क्रेडेंशियल एडिटर [4] है। हमले को अंजाम देने के लिए, हम क्रेडेंशियल "एडमिनिस्ट्रेटर" \ "पा $ वॉक वर्ड 2" का उपयोग करके LAB2 होस्ट में जाते हैं। [४] का उपयोग करते हुए, हम लॉगऑन सत्र में खाता नाम, लॉगिन डोमेन और NT हैश डेटा को उसी शादमिन मूल्यों के साथ बदलते हैं जो हमने पिछले चरण में प्राप्त किया था:



डोमेन व्यवस्थापक खाता नाम और उसके NT हैश को कमांड लाइन से एक तर्क के रूप में wce कमांड में पास किया जाता है। परिणाम - हैश को सफलतापूर्वक बदल दिया गया था। मैं ध्यान देता हूं कि हमले के दौरान समूह में उपयोगकर्ता की सदस्यता और पहुँच टोकन नहीं बदलते हैं:



हम अभी भी स्थानीय प्रशासक हैं, ऊपर स्क्रीनशॉट में हरे रंग में होस्टनाम हरे - LAB2 के साथ लिप्त है। हालाँकि, NTLM प्रमाणीकरण के दौरान, दूरस्थ प्रणाली को CORP.LOCAL डोमेन नाम, Shadmin उपयोगकर्ता नाम और Shadmin पासवर्ड हैश के साथ प्रस्तुत किया जाएगा। यहाँ एक एकल नेटवर्क पैकेट है जिसमें NTLM सुरक्षा ब्लॉब सत्र है:



डोमेन नाम (CORP.LOCAL) और होस्ट नाम (LAB2) हरे रंग में तैयार किए गए हैं), एक खाता प्रस्तुत किया गया है - Shadmin। अब हम डोमेन नियंत्रक के आईपी पते का उपयोग करके नेट उपयोग कमांड के साथ डोमेन नियंत्रक पर सिस्टम वॉल्यूम के रूट विभाजन से कनेक्ट करने का प्रयास करते हैं:



सफलतापूर्वक। एक्सेस को सत्यापित करने के लिए, मैंने रूट में एक टेक्स्ट फ़ाइल बनाई (इसे स्क्रीनशॉट में ढूंढें)। डोमेन कंट्रोलर की डिस्क पर एक बैच फ़ाइल बनाई गई है जिसमें हमें आवश्यक कमांड्स के अनुक्रम के साथ, हम [5] का उपयोग करके, डोमेन नियंत्रक पर आवश्यक ऑपरेशन कर सकते हैं (उदाहरण के लिए, उपयोगकर्ता को डोमेन एडमिनिस्ट्रेटर समूह में जोड़ें)। ऑपरेशन Shadmin खाते के अधिकारों के साथ किया जाएगा। वर्णन करने के लिए, एक दूरस्थ होस्ट पर एक साधारण बैच फ़ाइल बनाएँ जो एक स्थानीय उपयोगकर्ता को जोड़ता है:

शुद्ध उपयोगकर्ता TstUsr पा $ $ शब्द / जोड़ें

इसे LAB2 होस्ट से दूरस्थ रूप से चलाएँ:



इसे दूरस्थ प्रणाली 192.168.13.125 को हमारे वर्तमान सत्र के उपयोगकर्ता के विशेषाधिकारों के साथ निष्पादित किया जाएगा - shadmin (अर्थात, डोमेन व्यवस्थापक)। हम जाँच करते हैं:



शुद्ध उपयोगकर्ता कमांड का दूसरा आउटपुट नया उपयोगकर्ता दिखाता है। इस तरह से इंटरैक्टिव उपयोगकर्ता इंटरैक्शन की आवश्यकता वाले एप्लिकेशन लॉन्च करने की असंभवता (उदाहरण के लिए, एमएमसी स्नैप-इन) के बावजूद, स्क्रिप्ट का उपयोग करके कई प्रकार की क्रियाएं की जा सकती हैं।

परिणाम। सफलता। डोमेन नियंत्रक के फाइल सिस्टम और शेल तक पहुँच प्राप्त की।

सारांश

संक्षेप में, हमले की श्रृंखला इस तरह दिखती है: नेटवर्क संरचना के बारे में जानकारी इकट्ठा करना -> स्थानीय व्यवस्थापक पासवर्ड प्राप्त करना -> इस पासवर्ड का उपयोग माध्यमिक सर्वरों में से एक में लॉग इन करने के लिए -> डोमेन व्यवस्थापक क्रेडेंशियल्स की चोरी "छोड़ दिया" - अपने लॉगऑन सत्र को संशोधित करना और विशेषाधिकार बढ़ जाना।

हमले की सफलता से सुविधा हुई:

1. डीएनएस ज़ोन के कमजोर संरक्षण को अविभाजित मेजबानों को हस्तांतरण से।
2. कमजोर पासवर्ड नीति। अधिकांश डोमेन कंप्यूटर स्थानीय व्यवस्थापक खाते के लिए एक ही पासवर्ड का उपयोग करते थे, जो एक शब्दकोश हमले के लिए असुरक्षित था।
3. महत्वपूर्ण होस्ट पर एंटीवायरस सॉफ़्टवेयर की अनुपस्थिति या कमजोर कॉन्फ़िगरेशन।
4. कमजोर पासवर्ड हैश संरक्षण - अद्यतन होस्ट पर दो निष्क्रिय व्यवस्थापक लॉगऑन सत्र, एसएएम डेटाबेस में एलएम हैश।
5. खराब ऑडिट नीति।

इसके आधार पर, सामान्य सुरक्षा सिफारिशें प्राप्त की जा सकती हैं:

0. संभावित हमलावरों से नेटवर्क की आंतरिक संरचना को पूरी तरह से छिपाएं। इसलिए, उपयोगकर्ताओं को DNS ज़ोन फ़ाइल की पूरी सामग्री प्राप्त करने में सक्षम नहीं होना चाहिए। अविश्वसनीय उपयोगकर्ता (उदाहरण के लिए, प्रशिक्षु, कर्मचारी जिन्होंने परीक्षण अवधि पूरी नहीं की है, आदि) यह पता लगाने के लिए एनएटी का उपयोग करके अलग-अलग सबनेट में स्थानांतरित करने के लिए समझ में आता है (पते के लिए, उदाहरण के लिए, डीएनएस उत्तरों को संशोधित करते हुए)।

1. स्थानीय व्यवस्थापक को पासवर्ड असाइन करने की सही नीति। स्थानीय प्रशासक का पासवर्ड मेजबानों पर अलग-अलग होना चाहिए, जिनके पास अनधिकृत पहुंच के खिलाफ अलग-अलग सुरक्षा है। किसी भी डोमेन होस्ट पर स्थानीय व्यवस्थापक पासवर्ड से समझौता करना इस पासवर्ड का उपयोग करके हमलावर की संभावना को कम करना चाहिए।

2. एसएएम में एलएम हैश का भंडारण सुरक्षा नीतियों द्वारा निषिद्ध होना चाहिए।

3. व्यवस्थापक के पासवर्ड के रूप में कंपनी या उसके डोमेन के नाम का उपयोग न करें) इससे हमलावर के लिए शब्दकोश पर हमला करना मुश्किल हो जाएगा। लेकिन यहां तक ​​कि एक जटिल पासवर्ड का उपयोग करते हुए, अपने आप को मत भूलना और नियमित रूप से ऑनलाइन सेवाओं का उपयोग करके स्थायित्व के लिए इसकी हैश की जांच करें।

4. डोमेन प्रशासक खाते के तहत डोमेन कंप्यूटर पर नियमित संचालन करने की अनुशंसा नहीं की जाती है। यह खाते को लॉगऑन सत्र डेटा को इंटरसेप्ट करने से और DCC कैश में पासवर्ड हैश प्राप्त करने से बचाएगा।

5. यह नियम बनाएं कि डोमेन व्यवस्थापक के लॉगऑन-सत्र को अप्राप्य न छोड़ें। सबसे अच्छा अभ्यास: समाप्त काम - लॉग आउट।

6. एलएसए स्पूफिंग उपयोगिताओं काफी छोटी हैं। यह उनके विकास को ट्रैक करने और कॉर्पोरेट एंटीवायरस सॉफ़्टवेयर द्वारा उनकी सफल पहचान को सत्यापित करने के लिए समझ में आता है।

7. एक उपयोगकर्ता, यहां तक ​​कि स्थानीय व्यवस्थापक अधिकारों के साथ, कॉर्पोरेट एंटीवायरस की सेटिंग्स को बदलने में सक्षम नहीं होना चाहिए। डोमेन वर्कस्टेशन पर एंटीवायरस सेवा को बंद करने से डोमेन एडमिनिस्ट्रेटर को एक सूचना मिलनी चाहिए (इस अर्थ में, सिमेंटेक एंडपॉइंट प्रोटेक्शन ने परीक्षण के दौरान अच्छा काम किया)।

परिशिष्ट 1. एंटीवायरस व्यवहार

कंपनी के कंप्यूटरों में तीन प्रकार के एंटीवायरस का उपयोग किया गया था: केएवी, सिमेंटेक एंडपॉइंट प्रोटेक्शन टेस्ट के समय, और ट्रेंड माइक्रो से एक पुराना उत्पाद। ज्यादातर मामलों में, हमले के दौरान इस्तेमाल किए जाने वाले उपकरणों को हैक टूल / रूटकिट / ट्रोजन के रूप में पहचाना गया था। केएवी ने उन्हें चेतावनी के बिना हटा दिया, और एसईपी (यहां तक ​​कि बंद कर दिया) ने एक चेतावनी जारी की और इसे शुरू करने से रोकने के लिए संगरोध में स्थानांतरित कर दिया। हालाँकि, स्थानीय व्यवस्थापक अधिकार होने से आप KAV को अक्षम कर सकते हैं, और SEP सुरक्षा को मैन्युअल रूप से सत्यापन के लिए अपवाद पथ सेट करके, फिर से स्थानीय व्यवस्थापक खाते का उपयोग करके बाईपास किया गया था। कुछ मेजबानों पर स्थापित ट्रेंड माइक्रो से एंटीवायरस किसी भी तरह से कारनामों के लॉन्च पर प्रतिक्रिया नहीं करते थे।

परिशिष्ट 2. ऑनलाइन हैश सत्यापन सेवाओं का उपयोग करने की क्षमता

पासवर्ड हैश की ताकत का परीक्षण करने के लिए कई ऑनलाइन सेवाएं उपलब्ध हैं। वे आपको सबसे आम हैश के साथ काम करने की अनुमति देते हैं - एलएम, एनटीएलएम, एमडी 4, एमडी 5, डब्ल्यूपीए, नमक के साथ हैश आदि। हैश की जांच करने के लिए, आधुनिक एनपीयू की प्रोसेसिंग पावर, डिक्शनरी एन्यूमरेशन, हाइब्रिड अटैक आदि का उपयोग कर डायरेक्ट एन्यूमरेशन का उपयोग किया जाता है। एक बार खोलने के बाद, हैश डेटाबेस को फिर से भर सकता है और भविष्य में उपयोग किया जा सकता है। सेवा एक छोटे (8 वर्णों से कम) पासवर्ड की जांच करने या एक छोटा शुल्क लेने के लिए स्वतंत्र हो सकती है। परीक्षण के दौरान मैंने ऐसी चार सेवाओं का उपयोग किया, लिंक लेख के अंत में दिए गए हैं। मैंने चरण 2 में पाए गए कई हैश भेजे और 15 महीनों के बाद उनमें से एक की सफल बहाली के बारे में ऑन-लाइन हैश क्रैक [9] सेवा से एक अधिसूचना प्राप्त की)

संदर्भ

प्रयुक्त उपकरण

[1] कैन एंड एबेल - माइक्रोसॉफ्ट ऑपरेटिंग सिस्टम के लिए एक पासवर्ड रिकवरी टूल। यह नेटवर्क को सूँघने, शब्दकोश, ब्रूट-फोर्स और क्रिप्टानालिसिस हमलों का उपयोग करके एन्क्रिप्ट किए गए पासवर्डों को क्रैक करने, वीओआईपी वार्तालापों की रिकॉर्डिंग, स्क्रैम्ड पासवर्डों को डिकोड करने, वायरलेस नेटवर्क कुंजियों को पुनर्प्राप्त करने, बॉक्सों को उजागर करने, कैश्ड पासवर्डों को उजागर करने और राउटिंग का विश्लेषण करने से कई प्रकार के पासवर्डों की आसानी से पुनर्प्राप्ति की अनुमति देता है। प्रोटोकॉल।
[२] L0pht क्रैक।
[३] लसलसस शोषण। सक्रिय लॉगऑन सत्र पासवर्ड lsass प्रक्रिया से हैश।
[४] विंडोज क्रेडेंशियल एडिटर पोस्ट-शोषण। लॉगऑन-क्रेडेंशियल्स को बदलने के लिए उपकरण।
[५] PS उपकरण से PsExec

विस्तृत भेद्यता विवरण

[६] www.securitylab.ru पर लेखों की श्रृंखला "प्रभावी रूप से विंडोज में पासवर्ड हैश प्राप्त करना"
[[] पास-ए-हश, एक समझौता किए गए हैश के साथ प्रदान करके रिमोट सिस्टम पर हमले का वर्णन ।

क्लाउड हैश हैकिंग सर्विसेज
[De] Question-defense.com (प्रकाशन के समय क्रम से बाहर लगता है)
[९] www.onlinehashcrack.com
[१०] www.cloudcracker.com
[११] ऑन-लाइन हैश हत्यारा

अतिरिक्त सामग्री

[१२] विंडोज सर्वर में सुरक्षा और डीएनएस ट्यूनिंग
[१३] जब आप आईपी पते का उपयोग करके एसएमबी शेयरों से जुड़ते हैं तो केर्बरोस का उपयोग नहीं किया जाता है