प्रिविलेज एस्केलेशन

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन

विशेषाधिकार वृद्धि उन कार्यों का परिणाम है जो हमलावर प्रणाली या नेटवर्क में उच्च स्तर की अनुमति प्राप्त करने के लिए एक हमलावर या दुर्भावनापूर्ण प्रोग्राम की अनुमति देते हैं। प्रिविलेज एस्केलेशन तकनीक उन तरीकों का वर्णन करती है जिनके द्वारा एक प्रतिकूल प्रणाली पर हमला करने की प्रणाली से अनपेक्षित पहुंच प्राप्त करने के बाद, सिस्टम के विभिन्न "कमजोरियों" का उपयोग करके स्थानीय व्यवस्थापक, सिस्टम या रूट अधिकार प्राप्त कर सकते हैं। विशिष्ट प्रणालियों के एक्सेस अधिकारों के साथ उपयोगकर्ता खातों के हमलावरों द्वारा उपयोग करना और कुछ कार्यों को करने की अनुमति भी विशेषाधिकार का उल्लंघन माना जा सकता है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

यह रद्द करना महत्वपूर्ण है कि ATT @ CK मैट्रिक्स में वर्णित कुछ तकनीकों को एक साथ हमले की श्रृंखला के कई चरणों में शामिल किया गया है, उदाहरण के लिए, DLL खोज अवरोधन का उपयोग दुर्भावनापूर्ण DLL के अनधिकृत निष्पादन द्वारा सुरक्षित पहुंच के लिए और प्रक्रिया में DLL लॉन्च करके विशेषाधिकारों को बढ़ाने के लिए किया जा सकता है। अधिक विशेषाधिकार प्राप्त उपयोगकर्ता के संदर्भ में काम करना।

टोकन मैनीपुलेशन एक्सेस करें

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर विभिन्न उपयोगकर्ता या सिस्टम सुरक्षा संदर्भों में कार्रवाई करने के लिए एक्सेस टोकन का उपयोग कर सकते हैं, जिससे दुर्भावनापूर्ण गतिविधि का पता लगाने से बच सकते हैं। मौजूदा प्रक्रियाओं (टोकन चोरी) से एक्सेस टोकन की प्रतिलिपि बनाने के लिए एक विरोधी विंडोज एपीआई फ़ंक्शन का उपयोग कर सकता है, इसके लिए उसे विशेषाधिकार प्राप्त उपयोगकर्ता (उदाहरण के लिए, एक व्यवस्थापक) के संदर्भ में होना चाहिए। एक्सेस टोकन की चोरी का उपयोग आमतौर पर प्रशासक स्तर से सिस्टम स्तर तक विशेषाधिकार बढ़ाने के लिए किया जाता है। एक दूरस्थ प्रणाली पर प्रमाणीकरण के लिए एक विरोधी अकाउंट एक्सेस टोकन का भी उपयोग कर सकता है, यदि इस खाते में रिमोट सिस्टम पर आवश्यक अनुमतियाँ हैं।
पहुँच टोकन का दुरुपयोग करने के कई तरीकों पर विचार करें:

• टोकन की चोरी और प्रतिरूपण। टोकन का प्रतिरूपण ओएस की क्षमता है जो थ्रेड को उस प्रक्रिया के संदर्भ के अलावा सुरक्षा संदर्भ में थ्रेड्स को प्रारंभ करने की क्षमता है। दूसरे शब्दों में, टोकन का उपयोग आपको किसी अन्य उपयोगकर्ता की ओर से कोई भी कार्य करने की अनुमति देता है। एक विरोधी डुप्लिकेटटॉकेन फ़ंक्शन का उपयोग करके एक्सेस टोकन को डुप्लिकेट कर सकता है और लॉग-इन उपयोगकर्ता के संदर्भ में एक थ्रेड को कॉल करने के लिए ImpersonateLoggedOnUser का उपयोग कर सकता है, या किसी स्ट्रीम को एक्सेस टोकन असाइन करने के लिए SetThreadToken का उपयोग कर सकता है।
• एक एक्सेस टोकन का उपयोग करके एक प्रक्रिया बनाएं। एक हमलावर DuplicateTokenEX फ़ंक्शन का उपयोग करके एक पहुंच टोकन बना सकता है और फिर इसे एक नई प्रक्रिया बनाने के लिए CreateProcessWithTokenW के साथ उपयोग कर सकता है जो प्रतिरूपित उपयोगकर्ता के संदर्भ में चलता है।
• पहुँच टोकन प्राप्त करना और लगाना। एक विरोधी, जिसके पास एक उपयोगकर्ता नाम और पासवर्ड है, लॉगऑनसर एपीआई फ़ंक्शन का उपयोग करके एक लॉगिन सत्र बना सकता है, जो नए सत्र के सत्र एक्सेस टोकन की एक प्रति लौटाएगा, और फिर थ्रेड को असाइन करने के लिए SetThreadToken फ़ंक्शन का उपयोग करें। Metasploit Metpreter और कोबाल्टस्ट्राइक में विशेषाधिकारों को बढ़ाने के लिए पहुंच टोकन में हेरफेर करने के लिए उपकरण हैं।

सुरक्षा सिफारिशें: उपरोक्त रणनीति का पूर्ण उपयोग करने के लिए, एक हमलावर के पास सिस्टम प्रशासक के अधिकार होने चाहिए, ताकि आम उपयोगकर्ताओं के विशेषाधिकारों को सीमित करना न भूलें। यदि कोई वैध साख है तो कोई भी उपयोगकर्ता टोकन एक्सेस कर सकता है। पहुँच टोकन बनाने के लिए उपयोगकर्ताओं और समूहों की क्षमता को सीमित करें:
GPO: कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> विंडोज सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियां> उपयोगकर्ता अधिकार असाइनमेंट: एक टोकन ऑब्जेक्ट बनाएँ
यह भी निर्धारित करें कि स्थानीय या नेटवर्क सेवाओं की प्रक्रिया टोकन को कौन बदल सकता है:
GPO: कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> विंडोज सेटिंग्स> सुरक्षा सेटिंग्स> स्थानीय नीतियां> उपयोगकर्ता अधिकार असाइनमेंट: किसी प्रक्रिया को प्रतिस्थापित करें

अनुप्रयोगों की निष्पादन योग्य फ़ाइलों का संशोधन "विंडोज़ की पहुँच सुविधाएँ" (पहुँच सुविधाएँ)

सिस्टम: विंडोज
अधिकार: प्रशासक
विवरण: एक्सेसिबिलिटी एप्लिकेशन (स्क्रीन आवर्धक, ऑन-स्क्रीन कीबोर्ड, आदि) सिस्टम पर उपयोगकर्ता के लॉग से पहले मुख्य संयोजनों का उपयोग करके लॉन्च किया जा सकता है। एक हमलावर इन कार्यक्रमों की स्टार्टअप फ़ाइलों को बदल सकता है या वे लॉन्च होने के तरीके को बदल सकते हैं और कमांड कंसोल खोल सकते हैं या लॉग इन किए बिना एक बैकडोर प्राप्त कर सकते हैं।

• C: \ Windows \ System32 \ sethc.exe - Shift कुंजी दबाकर 5-गुना द्वारा लॉन्च किया गया;
• C: \ Windows \ System32 \ useman.exe - Win + U के संयोजन को दबाकर लॉन्च किया गया।

WinXP और बाद के संस्करणों में, sethc.exe और useman.exe को प्रतिस्थापित किया जा सकता है, उदाहरण के लिए, cmd.exe के साथ, फिर जब आप वांछित कुंजी संयोजन दबाते हैं, तो cmd.exe सिस्टम विशेषाधिकारों के साथ विंडोज में प्रवेश करने से पहले शुरू होता है।
विस्टा और बाद के संस्करणों में, आपको रजिस्ट्री कुंजी को बदलने की आवश्यकता है जो cmd.exe या किसी अन्य प्रोग्राम को डिबगर के रूप में कॉन्फ़िगर करती है, उदाहरण के लिए, ultiman.exe। रजिस्ट्री को संपादित करने और लॉगिन स्क्रीन पर वांछित कुंजी संयोजन को दबाने या आरडीपी के माध्यम से होस्ट से कनेक्ट करते समय, सिस्टम अधिकारों के साथ cmd.exe निष्पादित किया जाएगा।
विंडोज प्रोग्राम भी हैं जिनका उपयोग इस हमले की तकनीक को लागू करने के लिए किया जा सकता है:

• C: \ Windows \ System32 \ osk.exe;
• C: \ Windows \ System32 \ Magnify.exe;
• C: \ Windows \ System32 \ Narrator.exe;
• C: \ Windows \ System32 \ DisplaySwitch.exe;
• C: \ Windows \ System32 \ AtBroker.exe।

सुरक्षा सिफारिशें: आरडीपी सत्र बनाने और लॉगिन स्क्रीन ( विंडोज विस्टा में डिफ़ॉल्ट रूप से सक्षम और बाद में ) को प्रदर्शित करने से पहले दूरस्थ उपयोगकर्ताओं के लिए अनिवार्य नेटवर्क प्रमाणीकरण शुरू करें। कनेक्शन प्रबंधित करने और RDP सुरक्षा को कॉन्फ़िगर करने के लिए दूरस्थ डेस्कटॉप गेटवे का उपयोग करें।

AppCert DLL कुंजी को संशोधित करना

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: AppCertDLLs कुंजी मूल्य में निर्दिष्ट DLL को प्रत्येक प्रक्रिया में अक्सर उपयोग किए जाने वाले API फ़ंक्शन को कॉल किया जाता है: CreateProcess, CreateProcessAsUser, CreateProcessWithLoginW, CreateProcessWithWokenW, WinExec । AppCertDLLs कुंजी मान को दुर्भावनापूर्ण DLL को लोड करने और कुछ प्रक्रियाओं को चलाने के कारण दुर्व्यवहार किया जा सकता है। AppCertDLLs को निम्न रजिस्ट्री कुंजी में संग्रहीत किया जाता है:
HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Session प्रबंधक ।

सुरक्षा सिफारिशें: संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने और अज्ञात DLL को डाउनलोड करने के सभी संभावित साधनों का उपयोग करें, जैसे AppLocker और DeviceGuard।

AppInit DLLs कुंजी का संशोधन

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: AppInit_DLLs कुंजी मान में निर्दिष्ट DLL को प्रत्येक प्रक्रिया में लोड किया जाता है जो user32.dll लोड करता है। व्यवहार में, यह लगभग हर कार्यक्रम है।
AppInit_DLLs को निम्न रजिस्ट्री कुंजियों में संग्रहीत किया जाता है:

• HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Windows;
• HKEY_LOCAL_MACHINE \ Software \ Wow6432Node \ Microsoft \ Windows NT \ CurrentVersion \ Windows।

AppInit_DLLs कुंजी मूल्य दुर्भावनापूर्ण DLL लोड करके और कुछ प्रक्रियाओं को शुरू करके विशेषाधिकारों से अधिक का दुरुपयोग किया जा सकता है। AppInit_DLLs कार्यक्षमता विंडोज 8 में और बाद में जब सिक्योर बूट सक्रिय होता है, तो अक्षम होता है।

सुरक्षा सिफारिशें: विंडोज 8 की तुलना में पहले कोई ओएस संस्करण का उपयोग करने और सुरक्षित बूट को सक्षम करने पर विचार करें। संभावित खतरनाक सॉफ़्टवेयर को ब्लॉक करने और AppLocker और DeviceGuard जैसे अज्ञात DLL को डाउनलोड करने के लिए सभी प्रकार के साधनों का उपयोग करें।

अनुप्रयोग संगतता सबसिस्टम का दुरुपयोग (एप्लीकेशन शाइनिंग)

सिस्टम: विंडोज
अधिकार: प्रशासक
विवरण: Microsoft Windows अनुप्रयोग संगतता इन्फ्रास्ट्रक्चर / फ्रेमवर्क Windows अद्यतन और OS कोड परिवर्तनों के साथ कार्यक्रमों की संगतता सुनिश्चित करने के लिए बनाया गया था । संगतता प्रणाली तथाकथित शिम ("गैस्केट्स") का उपयोग करती है - पुस्तकालय जो प्रोग्राम और ओएस के बीच एक बफर के रूप में कार्य करते हैं। शिम कैश का उपयोग करते हुए, सिस्टम शिम गैसकेट्स (एक .sdb डेटाबेस के रूप में संग्रहीत) की आवश्यकता को निर्धारित करता है। विभिन्न .sdb फाइलें एप्लीकेशन कोड को इंटरसेप्ट करने, इसे प्रोसेस करने और इसे OS पर रीडायरेक्ट करने के लिए विभिन्न प्रक्रियाओं को स्टोर करती हैं। इंस्टॉलर द्वारा स्थापित सभी shim-gaskets की सूची (sdbinst.exe) डिफ़ॉल्ट रूप से संग्रहीत की जाती है:

• % WINDIR% \ AppPatch \ sysmain.sdb ;
• HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ AppCompatFlags \ InstalledSDB ।

कस्टम शिम डेटाबेस में संग्रहीत हैं:

• % WINDIR% \ AppPatch [64] \ Custom;
• HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ AppCompatFlags \ Custom ।

उपयोगकर्ता मोड में सुरक्षा सुनिश्चित करने के लिए, शिम-गस्कट का उपयोग करके ओएस कर्नेल को बदलने की क्षमता को बाहर रखा गया है, और उन्हें स्थापित करने के लिए व्यवस्थापक अधिकारों की आवश्यकता है। हालांकि, कुछ शिम पैड्स का इस्तेमाल यूजर अकाउंट कंट्रोल (यूएसी), डीएलएल इंजेक्शन, डेटा एक्जिक्यूटिव प्रिवेंशन एंड सिक्यूरिटी एक्सेप्शन हैंडलिंग को अक्षम करने के साथ-साथ इंटरसेप्ट मेमोरी एड्रेस को भी किया जा सकता है। शिम-गस्केट्स का उपयोग करने वाला हमलावर विशेषाधिकार बढ़ा सकता है, बैकडोर स्थापित कर सकता है, ओएस सुरक्षा को निष्क्रिय कर सकता है, जैसे कि विंडोज डिफेंडर।

सुरक्षा सिफारिशें: अनुप्रयोग को रोकने के लिए कई तरीके नहीं हैं। ओएस की स्थिरता के साथ समस्याओं से बचने के लिए एप्लिकेशन संगतता को अक्षम करने की अनुशंसा नहीं की जाती है। Microsoft ने KB3045645 जारी किया है, जो UAC को बायपास करने के लिए शिम सिस्टम के उपयोग को रोकने के लिए sdbinst.exe फ़ाइल में "ऑटो- एलिवेट " ध्वज को हटा देगा।

उपयोगकर्ता खाता नियंत्रण को बायपास करें

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: यूएसी को बायपास करने के कई तरीके हैं, जिनमें से सबसे आम यूएसीएमई परियोजना में कार्यान्वित किए जाते हैं। यूएसी को बायपास करने के नए तरीके नियमित रूप से खोजे जाते हैं, जैसे कि सिस्टम एप्लिकेशन Eventvwr.exe का दुरुपयोग करना, जो एक बाइनरी फ़ाइल या एक एलिवेटेड स्क्रिप्ट को निष्पादित कर सकता है। दुर्भावनापूर्ण कार्यक्रमों को विश्वसनीय प्रक्रियाओं में भी एम्बेड किया जा सकता है जिसके द्वारा यूएसी उपयोगकर्ता को संकेत दिए बिना विशेषाधिकार बढ़ाने की अनुमति देता है।
Eventvwr.exe का उपयोग करके UAC को बायपास करने के लिए, कुंजी को विंडोज रजिस्ट्री में संशोधित किया गया है:
[HKEY_CURRENT_USER] \ Software \ Classes \ mscfile \ shell \ open \ कमांड ।
Sdclt.exe का उपयोग करके UAC को बायपास करने के लिए, Windows रजिस्ट्री में कुंजियों को संशोधित किया गया है:
[HKEY_CURRENT_USER] \ Software \ Microsoft \ Windows \ CurrentVersion \ App पथ \ control.exe;
[HKEY_CURRENT_USER] \ Software \ Classes \ exefile \ shell \ runas \ command \ पृथकCommand।

सुरक्षा सिफारिशें: सुरक्षित सिस्टम पर स्थानीय व्यवस्थापक समूह के उपयोगकर्ताओं को निकालें। यदि संभव हो, तो UAC सेटिंग में उच्चतम स्तर की सुरक्षा सक्षम करें।

DLL खोज अवरोधन (DLL खोज आदेश अपहरण)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: तकनीक एल्गोरिथ्म में भेद्यता का दोहन करने में शामिल है, जो DLL फ़ाइलों को खोजने के लिए उन्हें काम करने की आवश्यकता होती है ( MSA2269637 )। अक्सर, DLL खोज निर्देशिका प्रोग्राम की कार्यशील निर्देशिका होती है, इसलिए हमलावर स्रोत DLL को उसी फ़ाइल नाम के साथ दुर्भावनापूर्ण के साथ बदल सकते हैं।
DLL खोजों पर दूरस्थ हमलों को तब किया जा सकता है जब प्रोग्राम दूरस्थ निर्देशिका में अपनी वर्तमान निर्देशिका को स्थापित करता है, उदाहरण के लिए, एक नेटवर्क साझा। इसके अलावा, हमलावर सीधे .manifest या .local फ़ाइलों को बदलकर DLL खोजने और लोड करने की विधि को बदल सकते हैं, जो DLL खोज मापदंडों का वर्णन करते हैं। यदि हमला किया गया कार्यक्रम उच्च स्तर के विशेषाधिकारों के साथ काम करता है, तो इसके द्वारा लोड किए गए दुर्भावनापूर्ण DLL को भी उच्च अधिकारों के साथ निष्पादित किया जाएगा। इस मामले में, तकनीक का उपयोग उपयोगकर्ता से प्रशासक या सिस्टम तक विशेषाधिकार बढ़ाने के लिए किया जा सकता है।

सुरक्षा सिफारिशें: दूरस्थ DLL लोडिंग को रोकें (Windows Server 2012 में डिफ़ॉल्ट रूप से सक्षम) और XP + और सर्वर 2003+ के अपडेट के साथ उपलब्ध)। DLL के लिए सुरक्षित खोज मोड को सक्षम करता है, जो वर्तमान एप्लिकेशन निर्देशिका में DLL खोज करने से पहले खोज निर्देशिका जैसे % SYSTEMROOT% को प्रतिबंधित करता है।
सुरक्षित DLL खोज मोड सक्षम करना:
कंप्यूटर कॉन्फ़िगरेशन> [नीतियाँ]> प्रशासनिक टेम्पलेट> MSS (लिगेसी): MSS: (SafeDllSearchMode) सुरक्षित DLL खोज मोड सक्षम करें।
पत्राचार रजिस्ट्री कुंजी:
HKLM \ SYSTEM \ CurrentControlSet \ Control \ Session Manager \ SafeDLLSearchMode।

PowerSploit में PowerUP जैसे उपकरणों का उपयोग करके DLL की कमियों को ठीक करने के लिए एक संरक्षित प्रणाली के ऑडिटिंग पर विचार करें। दुर्भावनापूर्ण और संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने के साथ-साथ Microsoft अनुशंसाओं का पालन ​​करना न भूलें।

Dylib खोज अवरोध (Dylib अपहरण)

प्रणाली: macOS
अधिकार: उपयोगकर्ता
विवरण: तकनीक macOS और OS X पर dylib डायनामिक लाइब्रेरी सर्च एल्गोरिदम में कमजोरियों पर आधारित है। लब्बोलुआब यह है कि डिलिब को निर्धारित करने के लिए कि आक्रमण किए गए एप्लिकेशन लोड होते हैं और फिर डिलिब के दुर्भावनापूर्ण संस्करण को एप्लिकेशन की कार्यशील निर्देशिका में उसी नाम के साथ रखते हैं। यह एप्लिकेशन को डिलिब को लोड करने का कारण होगा, जो कार्यक्रम की कार्यशील निर्देशिका में स्थित है। इस मामले में, दुर्भावनापूर्ण डायलिब को हमले के आवेदन के उपयोग के अधिकारों के साथ निष्पादित किया जाएगा।

सुरक्षा सुझाव : उपयोगकर्ताओं को फाइल लिखने से रोकें खोज निर्देशिकाओं के लिए। ऑब्जेक्टिव- व्यू से डायलिब हाइजैकिंग स्कैनर का उपयोग करके कमजोरियों का ऑडिट करें।

विशेषाधिकार वृद्धि के लिए शोषण

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: विरोधी सॉफ़्टवेयर में भेद्यता का उपयोग करके हमला प्रणाली में विशेषाधिकार बढ़ा सकते हैं।

सुरक्षा सिफारिशें: सभी संरक्षित कार्यस्थानों, सर्वरों, नेटवर्क उपकरणों और संरक्षित नेटवर्क से जुड़े अन्य उपकरणों पर नियमित सॉफ्टवेयर अपडेट। संरक्षित संगठन के खिलाफ इस्तेमाल किए जा सकने वाले खतरों, कमजोरियों और शोषण कार्यक्रमों का विश्लेषण करें। Windows 10 के लिए Windows डिफेंडर Exploit Guard (WDEG) या Windows के पिछले संस्करणों के लिए एन्हांस्ड मिटिगेशन एक्सपीरिएंस टूलकिट (EMET) जैसे शोषण सुरक्षा प्रणालियों की भी सिफारिश की गई है।

h3 EWM इंजेक्शन (अतिरिक्त विंडो मेमोरी इंजेक्शन)
सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: तकनीक अतिरिक्त विंडोज विंडो मेमोरी, तथाकथित अतिरिक्त विंडो मेमोरी (EWM) का दुरुपयोग है। EWM का आकार 40 बाइट्स है, जो 32-बिट पॉइंटर को स्टोर करने के लिए उपयुक्त है और अक्सर इसका उपयोग प्रक्रियाओं के संदर्भ को इंगित करने के लिए किया जाता है। हमले की श्रृंखला के दौरान दुर्भावनापूर्ण कार्यक्रम EWM में दुर्भावनापूर्ण कोड के लिए एक संकेतक रख सकते हैं, जिसे बाद में संक्रमित आवेदन प्रक्रिया द्वारा लॉन्च किया जाएगा।

सुरक्षा सिफारिशें: यह देखते हुए कि EWM इंजेक्शन तकनीक OS विकास कार्यों के दुरुपयोग पर आधारित हैं, दुर्भावनापूर्ण कार्यक्रमों और दुर्भावनापूर्ण टूल के प्रक्षेपण को रोकने के लिए सुरक्षा प्रयासों को निर्देशित किया जाना चाहिए। AppLocker, श्वेतसूची अनुप्रयोगों, या सॉफ़्टवेयर प्रतिबंध नीतियों को लागू करने वाले संभावित खतरनाक सॉफ़्टवेयर को पहचानने और ब्लॉक करने के लिए यह अच्छा अभ्यास है।

फ़ाइल सिस्टम स्तर पर अनुमतियों का नुकसान (फ़ाइल सिस्टम अनुमतियाँ कमज़ोरी)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: तकनीक का सार निष्पादन योग्य फ़ाइलों का प्रतिस्थापन है जो स्वचालित रूप से विभिन्न प्रक्रियाओं द्वारा लॉन्च किया जाता है (उदाहरण के लिए, जब ओएस बूट होता है या एक निश्चित समय पर, यदि निष्पादन योग्य फ़ाइलों के अधिकार गलत तरीके से कॉन्फ़िगर किए गए हैं)। स्पूफिंग के बाद, दुर्भावनापूर्ण फ़ाइल को प्रक्रिया अधिकारों के साथ लॉन्च किया जाएगा, इसलिए यदि प्रक्रिया में उच्च पहुंच स्तर है, तो हमलावर विशेषाधिकारों को बढ़ाने में सक्षम होगा। इस तकनीक में, हमलावर विंडोज सेवा बाइनरी फ़ाइलों में हेरफेर करने का प्रयास कर सकते हैं।
हमले का एक और संस्करण स्वयं-निकालने वाले इंस्टॉलरों के काम में एल्गोरिदम की कमी से जुड़ा हुआ है। स्थापना प्रक्रिया के दौरान, इंस्टॉलर अक्सर विभिन्न उपयोगी फ़ाइलों को अनपैक करते हैं, जिनमें .Dll और .exe शामिल हैं,% TEMP% निर्देशिका में, हालांकि, वे अनपैक किए गए फ़ाइलों तक पहुँच को प्रतिबंधित करने के लिए उपयुक्त अनुमतियाँ सेट नहीं कर सकते हैं, जो हमलावरों को स्पूफिंग और प्रदर्शन करने की अनुमति देता है, और परिणामस्वरूप, विशेषाधिकारों को बढ़ाएँ या खाते के नियंत्रण को नियंत्रित करें कुछ इंस्टॉलर विस्तारित विशेषाधिकारों के साथ चलते हैं।

सुरक्षा सिफारिशें: खाता विशेषाधिकार सीमित करें ताकि केवल व्यवस्थापक ही सेवाओं का प्रबंधन कर सकें और सेवाओं द्वारा उपयोग की जाने वाली बाइनरी फाइलों के साथ बातचीत कर सकें। मानक उपयोगकर्ताओं के लिए UAC विशेषाधिकार वृद्धि विकल्पों को अक्षम करें। UAC सेटिंग्स को निम्न रजिस्ट्री कुंजी में संग्रहीत किया जाता है:

• [HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ नीतियाँ \ प्रणाली] ।

विशेषाधिकार वृद्धि अनुरोधों को स्वचालित रूप से अस्वीकार करने के लिए, आपको एक कुंजी जोड़ना होगा:

• "कंसेंटप्रोमप्टबहेवियरोर" = डॉर्ड: 00000000।

इंस्टॉलरों के काम को नियंत्रित करने के लिए, आपको एक कुंजी जोड़ना होगा:

• "EnableInstallerDetection" = dword: 00000001 , जिसमें प्रोग्राम इंस्टॉल करने के लिए पासवर्ड की आवश्यकता होगी।

विंडोज एपीआई फ़ीचर कॉलिंग (हुकिंग) को इंटरसेप्ट करना

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: Windows API फ़ंक्शन आमतौर पर DLL में संग्रहीत होते हैं। हुकिंग की तकनीक एपीआई कार्यों के लिए कॉल को पुनर्निर्देशित करना है:

• हुक प्रक्रियाएं - ओएस में निर्मित प्रक्रियाएं जो विभिन्न घटनाओं को कॉल करने पर कोड निष्पादित करती हैं, उदाहरण के लिए, कीस्ट्रोक्स या माउस को स्थानांतरित करना;
• पता तालिका (IAT) में संशोधन, जो एपीआई कार्यों के लिए संकेत संग्रहीत करता है। यह आपको एक दुर्भावनापूर्ण फ़ंक्शन लॉन्च करने के लिए मजबूर करते हुए, आक्रमण किए गए एप्लिकेशन को "ट्रिक" करने की अनुमति देगा;
• फ़ंक्शन का प्रत्यक्ष परिवर्तन (स्प्लिसिंग), जिसके दौरान फ़ंक्शन के पहले 5 बाइट्स को बदल दिया जाता है, जिसके बजाय हमलावर द्वारा निर्धारित एक दुर्भावनापूर्ण या अन्य फ़ंक्शन में संक्रमण डाला जाता है।

इंजेक्शन की तरह, हमलावर दुर्भावनापूर्ण कोड को निष्पादित करने के लिए हुकिंग का उपयोग कर सकते हैं, इसके निष्पादन को मुखौटा कर सकते हैं, हमले की प्रक्रिया की स्मृति तक पहुंच सकते हैं और विशेषाधिकार बढ़ा सकते हैं। हमलावर एपीआई कॉल पर कब्जा कर सकते हैं जिसमें प्रमाणीकरण डेटा शामिल पैरामीटर शामिल हैं। हुकिंग का उपयोग आमतौर पर सिस्टम में दुर्भावनापूर्ण गतिविधि को छिपाने के लिए रूटकिट द्वारा किया जाता है।

सुरक्षा की सिफारिशें: ओएस में घटनाओं का अवरोधन प्रणाली के सामान्य संचालन का हिस्सा है, इसलिए इस कार्यक्षमता का कोई भी प्रतिबंध एंटी-वायरस सॉफ़्टवेयर जैसे वैध अनुप्रयोगों की स्थिरता पर प्रतिकूल प्रभाव डाल सकता है। अवरोधन तकनीकों के उपयोग को रोकने के प्रयासों को हमले श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। आप SetWindowsHookEx और SetWinEventHook फ़ंक्शन पर कॉल की निगरानी करके, रूटकिट डिटेक्टरों का उपयोग करके और प्रक्रियाओं के विषम व्यवहार का विश्लेषण करके दुर्भावनापूर्ण हुकिंग गतिविधि का पता लगा सकते हैं।

IFEO इंजेक्शन (छवि फ़ाइल निष्पादन विकल्प इंजेक्शन)

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: इमेज फाइल एक्जेकशन ऑप्शंस (IFEO) तंत्र आपको प्रोग्राम के बजाय प्रोग्राम डिबगर चलाने की अनुमति देता है, जो पहले रजिस्ट्री में डेवलपर द्वारा निर्दिष्ट किया गया है:

• HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Image फ़ाइल निष्पादन विकल्प / [निष्पादन योग्य]
• HKLM \ SOFTWARE \ Wow6432Node \ Microsoft \ Windows NT \ CurrentVersion \ Image फ़ाइल निष्पादन विकल्प \ [निष्पादन योग्य] , जहां [निष्पादन योग्य] डिबगर का निष्पादन योग्य बाइनरी है।

इंजेक्शन की तरह, विशेषण को बढ़ाने या सिस्टम में पैर जमाने के लिए मनमानी कोड चलाकर मूल्य [निष्पादन योग्य] का दुरुपयोग किया जा सकता है। दुर्भावनापूर्ण प्रोग्राम IFEO का उपयोग डिबगर्स को पंजीकृत करके सुरक्षा को बायपास करने के लिए कर सकते हैं जो विभिन्न सिस्टम और सुरक्षा अनुप्रयोगों को रीडायरेक्ट और अस्वीकार करते हैं।

सुरक्षा सिफारिशें: वर्णित तकनीक नियमित रूप से ओएस विकास उपकरण के दुरुपयोग पर आधारित है, इसलिए किसी भी प्रतिबंध से वैध सॉफ़्टवेयर की अस्थिरता हो सकती है, उदाहरण के लिए, सुरक्षा अनुप्रयोग। IFEO इंजेक्शन तकनीकों के उपयोग को रोकने के प्रयासों को हमले श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। आप Debug_process और के साथ प्रक्रियाओं की निगरानी करके इस तरह के हमले का पता लगा सकते हैंDebug_only_this_process ।

लॉन्च डेमॉन (लॉन्च डेमॉन) >

सिस्टम: macOS
अधिकार: प्रशासक
विवरण: तकनीक में सिस्टम लॉन्च-स्तरीय सेवाओं के मापदंडों को बदलना शामिल है - हमलावर द्वारा फाइल्स-फाइल्स में निर्दिष्ट डेमॉन लॉन्च करें। जब सिस्टम बूट करता है, तो Launchd प्रक्रिया निम्न निर्देशिकाओं में स्थित plist फाइलों से सेवाओं (डेमोंस) के मापदंडों को लोड करती है:

• / प्रणाली / पुस्तकालय / LaunchDeamons;
• / लाइब्रेरी / LaunchDeamons।

लॉन्च डेमॉन को व्यवस्थापक विशेषाधिकारों के साथ बनाया जा सकता है, लेकिन रूट खाते के तहत चलाया जा सकता है, इसलिए एक हमलावर विशेषाधिकारों को बढ़ा सकता है। प्लिस्ट फ़ाइलों की अनुमतियाँ मूल होनी चाहिए: जबकि, इसमें निर्दिष्ट स्क्रिप्ट या प्रोग्राम में कम सख्त अनुमतियाँ हो सकती हैं। इसलिए, एक हमलावर प्लिस्ट में निर्दिष्ट निष्पादन योग्य फ़ाइलों को संशोधित कर सकता है, और इस प्रकार सिस्टम को सुरक्षित करने या विशेषाधिकारों को बढ़ाने के लिए वर्तमान सिस्टम सेवाओं को संशोधित कर सकता है।

सुरक्षा युक्तियाँ : उपयोगकर्ता विशेषाधिकार सीमित करें ताकि केवल अधिकृत व्यवस्थापक लॉन्च डेमॉन बना सकें। मॉनिटरिंग पर विचार करें कि नॉककॉन्क जैसे अनुप्रयोगों का उपयोग करके आपके सिस्टम पर प्लिस्ट फाइलें कैसे बनाई जाती हैं।

नई सेवाएँ

सिस्टम: विंडोज
राइट: एडमिनिस्ट्रेटर, सिस्टम
विवरण: सिस्टम का नाम एक्सेस, हमलावर नई सेवाएं बना सकते हैं और उन्हें स्वचालित रूप से शुरू करने के लिए कॉन्फ़िगर कर सकते हैं। ऑपरेटिंग सिस्टम के लिए विशिष्ट नामों का उपयोग करके सेवा का नाम मास्क किया जा सकता है। सेवाएँ व्यवस्थापक विशेषाधिकारों के साथ बनाई जा सकती हैं, लेकिन सिस्टम की ओर से चलती हैं। सेवाओं को कमांड लाइन से बनाया जा सकता है, विंडोज एपीआई के साथ इंटरऑपरेबिलिटी के साथ रिमोट एक्सेस टूल का उपयोग करके या मानक विंडोज और पावरशेल प्रबंधन टूल का उपयोग करके।

सुरक्षा सिफारिशें: नई सेवाओं को बनाने के लिए उपयोगकर्ता अधिकारों को सीमित करें ताकि केवल अधिकृत व्यवस्थापक ही ऐसा कर सकें। AppLocker और Software प्रतिबंध नीति लागू करें ।

पथ अवरोध

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, व्यवस्थापक, सिस्टम
विवरण: एक पथ को इंटरसेप्ट करने की तकनीक निष्पादन योग्य फ़ाइल को एक निर्देशिका में रखना है जहां से एप्लिकेशन लक्ष्य फ़ाइल के बजाय इसे लॉन्च करेगा। एक हमलावर निम्नलिखित विधियों का उपयोग कर सकता है:

• कोई न कोई रास्ता। सेवा निष्पादन योग्य फ़ाइलों के पथ रजिस्ट्री कुंजियों में संग्रहीत किए जाते हैं और उनमें एक या एक से अधिक स्थान हो सकते हैं, उदाहरण के लिए, C: \ Program Files \ service.exe , यदि हमलावर सिस्टम में फ़ाइल C: \ Program.exe बनाता है , तो Windows पथ को संसाधित करने के बजाय इसे प्रारंभ करेगा। सेवा लक्ष्य फ़ाइल।
• . PATH C:\example c:\Windows\System32 C:\example\net.exe , net, C:\example\net.exe , c:\Windows\System32\net.exe .
• (Search order hijacking). , Windows, , , . , «example.exe» cmd.exe net use. example.exe net.exe c:\Windows\System32\net.exe . , net.com net.exe, Windows net.com , PATHEXT.

फ़ाइल खोज ऑर्डर अवरोधन का उपयोग खोज अपहरण अपहरण DLL तकनीक का उपयोग करके DLL को निष्पादित करने के लिए भी किया जाता है ।

सुरक्षा अनुशंसाएँ: उद्धरण चिह्न कॉन्फ़िगरेशन फ़ाइलों, स्क्रिप्ट, पथ चर, सेवा सेटिंग्स और शॉर्टकट में निर्दिष्ट पथ को इंगित करते हैं। निष्पादन योग्य फ़ाइलों के खोज क्रम को याद रखें और केवल पूर्ण पथ का उपयोग करें। दूरस्थ सॉफ्टवेयर से बची हुई पुरानी रजिस्ट्री कुंजियों को साफ करें ताकि रजिस्ट्री में कोई भी चाबी न रह जाए जो गैर-मौजूद फाइलों की ओर इशारा करती है। सिस्टम के उपयोगकर्ताओं द्वारा रूट निर्देशिका C: \ और Windows सिस्टम निर्देशिकाओं पर लिखने पर प्रतिबंध स्थापित करें, निष्पादन योग्य फ़ाइलों के साथ निर्देशिकाओं के लिए अनुमतियों को लिखें।

Plist फ़ाइलों का संशोधन (Plist संशोधन)

सिस्टम: macOS
राइट्स: यूजर, एडमिनिस्ट्रेटर
विवरण: हमलावर प्लिस्ट-फाइल्स को संशोधित कर सकते हैं, यह दर्शाता है कि किसी अन्य उपयोगकर्ता के संदर्भ में इसके निष्पादन के लिए उनका अपना कोड है। / लाइब्रेरी / वरीयताएँ में स्थित प्लिस्ट प्रॉपर्टी फाइलें एलिवेटेड विशेषाधिकारों के साथ चलाई जाती हैं, और ~ / लाइब्रेरी / प्रेफरेंस से प्लिस्ट को उपयोगकर्ता विशेषाधिकारों के साथ चलाया जाता है। सुरक्षा युक्तियाँ

: प्लिस्ट फ़ाइलों को केवल पढ़ने के लिए संशोधित करके रोकें।

प्रिंट मैनेजर में पोर्ट मॉनिटर्स का संशोधन (पोर्ट मॉनिटर्स)

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: एक हमलावर हर बार सिस्टम की ओर से एक मनमानी डीएलएल के निष्पादन को व्यवस्थित कर सकता है जो प्रिंट मैनेजर सेटिंग्स (Spoolsv.exe) के दुरुपयोग का उपयोग करके विंडोज बूट करता है। प्रिंट उपकरणों के साथ बातचीत करने के लिए, Spoolsv.exe तथाकथित पोर्ट मॉनिटर का उपयोग करता है - ये DLL लाइब्रेरी हैं, जो LAN, USB, LPT या COM-इंटरफ़ेस के माध्यम से प्रिंट डिवाइसों पर भेजे जाने के लिए निम्न-स्तरीय कमांड का उपयोग करते हैं। उपरोक्त DLL C: \ windows \ system32 में संग्रहीत हैं और रजिस्ट्री में पंजीकृत हैं:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Print \ मॉनिटर्स ।
पोर्ट मॉनिटर को AddMonitor API का उपयोग करके या सीधे उपरोक्त रजिस्ट्री कुंजी को संपादित करके स्थापित किया जा सकता है।

सुरक्षा सिफारिशें: संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने और अनुप्रयोग लॉन्च नियंत्रण उपकरणों का उपयोग करने के लिए व्यवस्थित करें।

एक प्रक्रिया (प्रक्रिया इंजेक्शन) में कोड इंजेक्शन, दस प्रक्रिया इंजेक्शन तकनीक

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, व्यवस्थापक, सिस्टम, रूट
विवरण: प्रक्रिया इंजेक्शन एक अलग रहने की प्रक्रिया के पते स्थान में मनमाने कोड को निष्पादित करने की एक विधि है। किसी अन्य प्रक्रिया के संदर्भ में रनिंग कोड आपको इंजेक्शन प्रक्रिया, सिस्टम / नेटवर्क संसाधनों, और संभवतः उन्नत विशेषाधिकारों की स्मृति तक पहुंचने की अनुमति देता है। सुरक्षा साधनों द्वारा दुर्भावनापूर्ण गतिविधि का संभावित पता लगाने से बचने के लिए प्रक्रिया इंजेक्शन का भी उपयोग किया जा सकता है। प्रक्रियाओं में इंजेक्शन को लागू करने की तकनीक विभिन्न तंत्रों के दुरुपयोग पर आधारित है जो ओएस में कार्यक्रम निष्पादन की बहुपरतता सुनिश्चित करते हैं। एक प्रक्रिया में कोड को इंजेक्ट करने के लिए कुछ दृष्टिकोण निम्नलिखित हैं।

विंडोज
• DLL इंजेक्शन। वे प्रक्रिया के अंदर दुर्भावनापूर्ण DLL के लिए पथ लिखकर और फिर एक दूरस्थ थ्रेड (दूरस्थ थ्रेड - एक थ्रेड जो किसी अन्य प्रक्रिया के वर्चुअल पता स्थान में चलता है) बनाकर निष्पादित किया जाता है। दूसरे शब्दों में, मैलवेयर DLL को डिस्क पर लिखता है और फिर CreateRemoteTread जैसे फ़ंक्शन का उपयोग करता है, जो कि इंजेक्टेड प्रक्रिया में LoadLibrary फ़ंक्शन को कॉल करेगा।
• पीई-इंजेक्शन (पोर्टेबल निष्पादन योग्य इंजेक्शन) पीई-फाइलों की मेमोरी निष्पादन सुविधाओं के दुरुपयोग पर आधारित हैं, जैसे डीएलएल या एक्सई। दुर्भावनापूर्ण कोड डिस्क को किसी भी फाइल को लिखे बिना प्रक्रिया को लिखा जाता है, और फिर निष्पादन को अतिरिक्त कोड का उपयोग करके या दूरस्थ स्ट्रीम बनाकर कहा जाता है।
• थ्रेड एक्जीक्यूशन हाईजैकिंग में दुर्भावनापूर्ण कोड या डीएलएल रास्तों को सीधे प्रोसेस थ्रेड में इंजेक्ट करना शामिल है। प्रक्रिया खोखले तकनीक की तरह, प्रवाह को पहले निलंबित किया जाना चाहिए।
• एक अतुल्यकालिक प्रक्रिया कॉल (APC) इंजेक्शन में इंजेक्शन एक प्रक्रिया धागे के APC कतार में दुर्भावनापूर्ण कोड के एम्बेडिंग शामिल है। एपीसी इंजेक्शन के तरीकों में से एक, जिसे "अर्ल बर्ड इंजेक्शन" कहा जाता है, में एक निलंबित प्रक्रिया का निर्माण शामिल है जिसमें एपीसी के माध्यम से प्रक्रिया प्रविष्टि बिंदु पर दुर्भावनापूर्ण कोड लिखा और लॉन्च किया जा सकता है। एटमबॉम्बिंग एक अन्य इंजेक्शन विकल्प है जो एपीसी का उपयोग करके पहले से वैश्विक परमाणु तालिका में लिखे गए दुर्भावनापूर्ण कोड को लागू करता है।
• थ्रेड लोकल स्टोरेज (टीएलएस) इंजेक्शन इंजेक्शन में एक कोडेबल पीई फाइल के अंदर मेमोरी पॉइंटर्स को हेरफेर करने की प्रक्रिया होती है ताकि प्रक्रिया को दुर्भावनापूर्ण कोड में रीडायरेक्ट किया जा सके।

मैक और लिनक्स
• सिस्टम चर LD_RPELOAD, LD_LIBRARY_PATH (लिनक्स), DYLIB_INSERT_LIBRARIES (macOS X) या डलकन एप्लिकेशन प्रोग्रामिंग इंटरफ़ेस (एपीआई) का उपयोग लाइब्रेरी (साझा ऑब्जेक्ट) को एक प्रक्रिया में लोड करने के लिए किया जा सकता है, जिसके बदले एपीआई कॉल को इंटरसेप्ट किया जा सकता है। चलने की प्रक्रिया।
• Ptrace सिस्टम कॉल का उपयोग रनिंग प्रक्रिया से कनेक्ट करने और इसे चलाने के दौरान इसे बदलने के लिए किया जा सकता है।
• [proc / [pid] / mem प्रक्रिया मेमोरी तक पहुंच प्रदान करता है और इसका उपयोग मनमाने ढंग से डेटा पढ़ने / लिखने के लिए किया जा सकता है, हालांकि इसके कार्यान्वयन की जटिलता के कारण इस पद्धति का उपयोग शायद ही कभी किया जाता है।
• VDSO (वर्चुअल डायनेमिक शेयर्ड ऑब्जेक्ट) कैप्चर आपको linux-vdso.so से कोड स्टब्स में हेरफेर करके ELF बायनेरिज़ निष्पादित करते हुए कोड को इंजेक्ट करने की अनुमति देता है।
दुर्भावनापूर्ण प्रोग्राम आमतौर पर सिस्टम संसाधनों तक पहुंचने के लिए एक प्रक्रिया में कोड इंजेक्शन का उपयोग करते हैं, जो एक हमलावर को सिस्टम में पैर जमाने और हमले के वातावरण में अन्य परिवर्तन करने की अनुमति देता है। अधिक जटिल नमूने कई प्रक्रिया इंजेक्शन का प्रदर्शन कर सकते हैं ताकि इसका पता लगाना मुश्किल हो जाए।

सुरक्षा सिफारिशें:कोड को प्रक्रियाओं में इंजेक्ट करने के तरीके नियमित ओएस कार्यों के दुरुपयोग पर आधारित हैं जो सीधे वैध सॉफ्टवेयर और सुरक्षा उत्पादों के अस्थिर संचालन को प्रभावित कर सकते हैं। अवरोधन तकनीकों के उपयोग को रोकने के प्रयासों को हमले श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। संभावित खतरनाक सॉफ़्टवेयर, जैसे AppLocker को ब्लॉक करने के लिए टूल का उपयोग करें। Ptrace में कोड इंजेक्शन के खिलाफ एक निवारक उपाय के रूप में यम का उपयोग करें, केवल विशेषाधिकार प्राप्त उपयोगकर्ताओं को ptrace के उपयोग को सीमित करना। अतिरिक्त सुरक्षा उपायों में कर्नेल सुरक्षा मॉड्यूल की तैनाती शामिल हो सकती है जो उन्नत पहुंच नियंत्रण और प्रक्रिया प्रतिबंध प्रदान करते हैं। ऐसे टूल में SELinux, grsecurity, AppArmor शामिल हैं।

SID इतिहास इंजेक्शन

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: जब भी किसी ऑब्जेक्ट को एक डोमेन से दूसरे डोमेन में ले जाया जाता है, एक नया SID बनाया जाता है, जो मुख्य ऑब्जेक्टएसआईडी बन जाता है। पिछले SID को SIDHistory संपत्ति में संग्रहीत किया जाना जारी है, इस प्रकार यह सुनिश्चित करना कि क्रॉस-डोमेन माइग्रेशन से पहले ऑब्जेक्ट के पास अधिकार सुरक्षित थे। व्यवस्थापक अधिकारों के साथ हमलावर पहले से एकत्रित किए गए SID को SID- इतिहास में सम्मिलित कर सकते हैं ताकि अधिक विशेषाधिकार प्राप्त समूहों या खातों की ओर से कार्रवाई कर सकें, जैसे कि डोमेन व्यवस्थापक।

सुरक्षा सिफारिशें:Windows सर्वर OS संस्करण 2003 और उच्चतर पर, SID फ़िल्टरिंग डिफ़ॉल्ट रूप से सक्षम है, जिसमें एक विश्वसनीय डोमेन को छोड़कर सभी SID को हटाना या फ़िल्टर करना शामिल है, लेकिन क्रॉस-डोमेन एक्सेस की अनुमति देने के लिए यह विकल्प जानबूझकर अक्षम किया जा सकता है।
SID को फ़िल्टर करने की मुख्य विधियाँ:
• कमांड फ़ॉरेस्ट का उपयोग करके डोमेन फ़ॉरेस्ट के बीच ट्रस्ट सेटिंग्स (ट्रस्ट) में SIDHistory को अक्षम करना: netdom ट्रस्ट / डोमेन: / EnableSIDHistory: नहीं ;
• SID फ़िल्टर संगरोधन का अनुप्रयोग । यह सुनिश्चित करता है कि विश्वसनीय डोमेन के अलावा एक SID युक्त ऑब्जेक्ट विश्वसनीय डोमेन के साथ प्रमाणित नहीं कर सकता है। SID फ़िल्टर क्वारंटनिंग को कमांड निष्पादित करके बाहरी ट्रस्टों पर लागू किया जाता है:netdom ट्रस्ट / डोमेन: / संगरोध: हाँ ।
उसी फ़ॉरेस्ट में डोमेन के बीच SID फ़िल्टरिंग का उपयोग करने की अनुशंसा नहीं की जाती है। यदि जंगल में डोमेन अविश्वसनीय है, तो उसे जंगल का सदस्य नहीं होना चाहिए, ऐसी स्थिति में, आपको पहले विश्वसनीय और अविश्वसनीय डोमेन को अलग-अलग जंगलों में विभाजित करना चाहिए, और फिर जंगलों के बीच ट्रस्ट के लिए SID फ़िल्टरिंग लागू करना चाहिए।

अनुसूचित कार्य

सिस्टम: विंडोज
राइट्स: यूजर, एडमिनिस्ट्रेटर, सिस्टम
विवरण: यूटिलिटीज, जैसे, एटिट्यूड और विंडोज टास्क शेड्यूलर का उपयोग प्रोग्राम और स्क्रिप्ट को एक विशेष तिथि और समय पर चलाने के लिए शेड्यूल करने के लिए किया जा सकता है। किसी कार्य को दूरस्थ सिस्टम पर शेड्यूल किया जा सकता है, बशर्ते कि आरपीसी प्रमाणीकरण के लिए उपयोग किया जाता है और प्रिंटर और फ़ाइल साझाकरण सक्षम है। एक दूरस्थ प्रणाली पर समयबद्धन कार्यों को प्रशासक विशेषाधिकारों की आवश्यकता होती है। एक हमलावर सिस्टम विशेषाधिकारों को हासिल करने के लिए या किसी विशिष्ट खाते के तहत एक प्रक्रिया शुरू करने के लिए रिमोट कोड निष्पादन का उपयोग कर सकता है।

सुरक्षा सिफारिशें:उपयोगकर्ता विशेषाधिकार सीमित करें। PowerSploit में पावरअप मॉड्यूल जैसे टूल का उपयोग, जिसका उपयोग अनुसूचित कार्यों के समाधान में कमजोरियों को खोजने के लिए किया जा सकता है। सिस्टम की ओर से कार्य शुरू करने की क्षमता को अक्षम करना, सुरक्षा नीति में " सर्वर ऑपरेटरों को कार्यों को शेड्यूल करने की अनुमति दें " विकल्प को अक्षम करना , और सेटिंग को सक्षम करना " उपयोगकर्ता अधिकार असाइनमेंट: शेड्यूलिंग प्राथमिकता को बढ़ाएं "।

सेवा रजिस्ट्री में कमजोरियाँ

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: यदि उपयोगकर्ताओं और समूहों की अनुमति उन कुंजियों के मूल्यों को बदलने की अनुमति देती है, जिसमें विंडोज रजिस्ट्री में सेवा मापदंडों को संग्रहीत किया जाता है, तो हमलावर सीधे उन कुंजियों को संशोधित कर सकते हैं जिनमें सेवाओं को लॉन्च करने के लिए निष्पादन योग्य फ़ाइलों के पथ संग्रहीत हैं या विभिन्न प्रबंधन टूल का उपयोग करते हैं सेवाएं - sc.exe, PowerShell या Reg। हमलावर सेवा विफलता से संबंधित मापदंडों को भी बदल सकते हैं, उदाहरण के लिए, FailureCommand, एक कमांड को इंगित करता है जिसे सेवा विफलता या जानबूझकर नुकसान की स्थिति में निष्पादित किया जाएगा। सेवा पैरामीटर HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ सेवाओं में संग्रहीत किए जाते हैं ।

सुरक्षा सिफारिशें:सुनिश्चित करें कि संरक्षित सिस्टम के उपयोगकर्ता सिस्टम घटकों के मापदंडों को संग्रहित करने वाली रजिस्ट्री में कुंजियाँ नहीं बदल सकते हैं। संभावित खतरनाक सॉफ़्टवेयर को अवरुद्ध करने के सभी संभावित साधनों का उपयोग करें, उदाहरण के लिए, Windows AppLocker।

सेतु और सेटगिड

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण:सेतुइड और सेटगिड यूनिक्स सिस्टम पर अनुमति झंडे हैं जो उपयोगकर्ता को निष्पादन योग्य फ़ाइल के मालिक या समूह के अधिकारों के साथ निष्पादन योग्य फ़ाइलों को चलाने की अनुमति देते हैं। यदि एप्लिकेशन को रूट के रूप में चलाया जाना चाहिए, तो sudo फ़ाइल में प्रविष्टि बनाने के बजाय, उपयोगकर्ता Setuid या Setgid ध्वज निर्दिष्ट कर सकता है। विरोधियों ने एक से बचने (जब कोई कंसोल अनुप्रयोग किसी अन्य अनुप्रयोग में फ़ाइल का उपयोग करता है) का उपयोग करने के लिए सेतुइड और सेटगिड झंडे का दुरुपयोग कर सकता है या सेतुइड और सेटगिड झंडे के साथ अनुप्रयोग भेद्यता का लाभ उठा सकता है और विभिन्न उपयोगकर्ताओं के संदर्भ में कोड निष्पादित कर सकता है। फ़ाइल विशेषताओं को ls -l कमांड के साथ देखने पर, उपरोक्त झंडे को "x" के बजाय प्रतीक "s" द्वारा दर्शाया जाता है। चामोद उपयोगिता 4777 कमांड [फ़ाइल] का उपयोग कर सेतु और सेटगिड झंडे सेट कर सकती है।या chmod u + s [फ़ाइल] ।

सुरक्षा की सिफारिशें: सेटिउड और सेटगिड के झंडे वाले कार्यक्रमों की संख्या को न्यूनतम पर सेट करें।

स्टार्टअप आइटम

सिस्टम: macOS
अधिकार: प्रशासक
विवरण: एक हमलावर अप्रचलित का उपयोग कर सकता है, लेकिन अभी भी macOS सिएरा में काम कर रहा है, बूट कोड पर रूट विशेषाधिकारों के साथ अपने कोड के लॉन्च को कॉन्फ़िगर करने के लिए स्टार्टअपअप्स का उपयोग करते हुए अनुप्रयोगों के लिए ऑटोस्टार्ट तंत्र। StartupItems एक निर्देशिका / पुस्तकालय / Startupitems , एक कमांड स्क्रिप्ट और StartupParameters.plist गुण फ़ाइल है। स्क्रिप्ट और गुण फ़ाइल पदानुक्रम के शीर्ष पर होनी चाहिए: / लाइब्रेरी / स्टार्टअप / / [MyStartupItit] ।

सुरक्षा की सिफारिशें: चूंकि स्टार्टअपआईपमेंट तंत्र अप्रचलित है, इसलिए / लाइब्रेरी / स्टार्टअप / डायरेक्टरी में लिखने का निषेध आपको स्टार्टअप आइटम बनाने से बचने की अनुमति देगा।

sudo

सिस्टम: लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: विरोधियों को अन्य उपयोगकर्ताओं की ओर से कमांड निष्पादित करने के लिए सूडो कॉन्फ़िगरेशन की खामियों का लाभ उठा सकते हैं या उच्च विशेषाधिकार के साथ स्पॉन प्रक्रियाएं कर सकते हैं। सूडो विकल्प / etc / sudoers फ़ाइल में संग्रहीत किए जाते हैं , इस फ़ाइल को संपादित करने के लिए उन्नत विशेषाधिकारों की आवश्यकता होती है। Sudoers फ़ाइल बताती है कि कौन से कमांड उपयोगकर्ता अन्य उपयोगकर्ताओं या समूहों की ओर से चल सकते हैं, इससे उपयोगकर्ता अधिकांश समय न्यूनतम विशेषाधिकार के साथ काम कर सकते हैं और यदि आवश्यक हो तो केवल विशेषाधिकार बढ़ा सकते हैं। हालाँकि, sudoers फ़ाइल में, आप उन उपयोगकर्ताओं को निर्दिष्ट कर सकते हैं, जिनके लिए पासवर्ड नहीं माँगा जाएगा: उपयोगकर्ता नाम = (ALL) NOPASSWD: ALL ।

सुरक्षा युक्तियाँ : sudoers फ़ाइल को संपादित किया जाना चाहिए ताकि उपयोगकर्ता हमेशा sudo निष्पादित करते समय एक पासवर्ड दर्ज करें। लिनक्स पर ऑडिट एक चेतावनी उत्पन्न कर सकता है जब भी वास्तविक और प्रभावी उपयोगकर्ता आईडी मेल नहीं खाती (यह तब होता है जब उपयोगकर्ता sudo का उपयोग करता है)।

सूडो कैशिंग

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता
विवरण: OCX प्रोटॉन मैलवेयर जैसे विभिन्न मैलवेयर, पासवर्ड दर्ज किए बिना कोड के रूप में रूट निष्पादित करने के लिए sudo सेटिंग्स का दुरुपयोग कर सकते हैं। चूंकि सिस्टम प्रशासन के लिए sudo टूलकिट बनाया गया था, इसके कुछ उपयोगी कार्य हैं जैसे टाइमस्टैम्प_टाइमआउट - यह पैरामीटर सूडो के बीच मिनटों में समय की मात्रा को संग्रहीत करता है जिसके दौरान कमांड रूट पासवर्ड के लिए संकेत नहीं देगा। सूडो कुछ समय के लिए क्रेडेंशियल कैश करने में सक्षम रहे हैं। सूडो की अंतिम शुरुआत के टाइमस्टैम्प को / var / db / sudo में संग्रहीत किया जाता है और निर्दिष्ट समय-सीमा निर्धारित करने के लिए उपयोग किया जाता है। इसके अलावा, एक tty_ticket वैरिएबल है जो अलगाव में प्रत्येक नए टर्मिनल सत्र को संसाधित करता है, इसलिए कंसोल के एक उदाहरण में टाइमआउट किसी अन्य उदाहरण में टाइमआउट को प्रभावित नहीं करेगा।

सुरक्षा सिफारिशें: टाइमस्टैम्प_ टाइमआउट = 0 पैरामीटर सेट करें ताकि सिस्टम को हर बार sudo चलाने के लिए रूट पासवर्ड की आवश्यकता हो। कमांड लाइन सत्रों के माध्यम से हमले को रोकने के लिए tty_ticket पैरामीटर चालू करें।

वैध खाते

विवरण: हमलावर पहुँच क्रेडेंशियल्स का उपयोग करके किसी विशिष्ट उपयोगकर्ता या सेवा खाते की क्रेडेंशियल्स चुरा सकते हैं, सोशल इंजीनियरिंग का उपयोग करके खुफिया प्रक्रिया में क्रेडेंशियल्स पर कब्जा कर सकते हैं। समझौता किए गए क्रेडेंशियल्स का उपयोग एक्सेस कंट्रोल सिस्टम को बायपास करने के लिए किया जा सकता है और वीपीएन, ओडब्ल्यूए, रिमोट डेस्कटॉप जैसी दूरस्थ प्रणालियों और बाहरी सेवाओं तक पहुंच प्राप्त कर सकता है, या नेटवर्क के विशिष्ट सिस्टम और क्षेत्रों पर उन्नत विशेषाधिकार प्राप्त कर सकता है। यदि परिदृश्य सफल होता है, तो हमलावर मैलवेयर का पता लगाने से इंकार कर सकते हैं। इसके अलावा, हमलावर अन्य साधनों का उपयोग करने के असफल प्रयासों के मामले में बैकअप पहुंच बनाए रखने के लिए पूर्वनिर्धारित नाम और पासवर्ड का उपयोग करके खाते बना सकते हैं।

सुरक्षा सिफारिशें: एक पासवर्ड नीति लागू करें, सभी प्रशासनिक स्तरों पर विशेषाधिकार प्राप्त खातों के उपयोग को सीमित करने के लिए कॉर्पोरेट नेटवर्क के डिजाइन और प्रशासन के लिए सिफारिशों का पालन करें। उन लोगों की पहचान करने के लिए डोमेन और स्थानीय खातों और उनके अधिकारों की नियमित जांच जो एक हमलावर को व्यापक पहुंच प्राप्त करने की अनुमति दे सकते हैं। सिएम सिस्टम का उपयोग करके खाता गतिविधि की निगरानी करना।

वेब शेल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: वेब शेल का उपयोग हमलावर नेटवर्क द्वारा गेटवे के रूप में किया जा सकता है या अटैच्ड सिस्टम पर अपने नेटवर्क तक पहुंचने के लिए या प्रवेश किए गए वातावरण में मुख्य एक्सेस चैनलों का पता लगाने और अवरुद्ध करने के मामले में बैकअप तंत्र के रूप में किया जा सकता है।

सुरक्षा सिफारिशें: सुनिश्चित करें कि आपके बाहरी वेब सर्वर नियमित रूप से अपडेट किए जाते हैं और कोई ज्ञात कमजोरियां नहीं हैं जो हमलावरों को बाद की निष्पादन के साथ फाइल या स्क्रिप्ट को सर्वर पर अपलोड करने की अनुमति देते हैं। सत्यापित करें कि सर्वर प्रबंधन अधिकारों के साथ खातों और समूहों की अनुमतियाँ आंतरिक नेटवर्क पर खातों से मेल नहीं खातीं जिनका उपयोग वेब सर्वर में लॉग इन करने, वेब शेल लॉन्च करने या वेब सर्वर पर पिन करने के लिए किया जा सकता है। वेब शेल का पता लगाना कठिन है क्योंकि वे कनेक्शन शुरू नहीं करते हैं और उनका सर्वर साइड छोटा और हानिरहित हो सकता है, उदाहरण के लिए, चाइना चॉपर वेब शेल का PHP संस्करण एक लाइन की तरह दिखता है:
[? php eval ($ _POST ['पासवर्ड']);]