स्थानीय खाता विशेषाधिकार बढ़ाने के लिए PowerShell का उपयोग करना

प्रिविलेज एस्केलेशन वर्तमान खाता अधिकारों के एक हमलावर द्वारा उपयोग किया जाता है ताकि सिस्टम में अतिरिक्त, आमतौर पर उच्च स्तर तक पहुंच प्राप्त हो सके। इस तथ्य के बावजूद कि विशेषाधिकार वृद्धि शून्य-दिन की कमजोरियों का शोषण करने का परिणाम हो सकती है, या लक्षित हमले करने वाले प्रथम श्रेणी के हैकर्स का काम, या सही ढंग से प्रच्छन्न मैलवेयर हो सकता है, लेकिन फिर भी यह अक्सर कंप्यूटर या खाते के गलत कॉन्फ़िगरेशन के कारण होता है। हमले को और विकसित करते हुए, हमलावर कई अलग-अलग कमजोरियों का फायदा उठाते हैं, जो एक साथ एक भयावह डेटा रिसाव का कारण बन सकते हैं।

उपयोगकर्ताओं को स्थानीय व्यवस्थापक अधिकार क्यों नहीं होने चाहिए?

यदि आप एक सुरक्षा विशेषज्ञ हैं, तो यह स्पष्ट प्रतीत हो सकता है कि उपयोगकर्ताओं के पास स्थानीय व्यवस्थापक अधिकार नहीं होने चाहिए, जैसे कि:

• विभिन्न हमलों के लिए उनके खातों को अधिक असुरक्षित बनाता है।
• इन हमलों को और अधिक गंभीर बनाता है।

दुर्भाग्य से, कई संगठनों के लिए यह अभी भी एक बहुत विवादास्पद मुद्दा है और कभी-कभी गर्म चर्चा के साथ होता है (उदाहरण के लिए, मेरे प्रबंधक कहते हैं कि सभी उपयोगकर्ताओं को स्थानीय प्रशासक होना चाहिए )। इस चर्चा के विवरण में जाने के बिना, हम मानते हैं कि हमलावर ने अध्ययन के तहत प्रणाली पर एक स्थानीय प्रशासक के अधिकार प्राप्त किए: या तो एक शोषण के माध्यम से, या क्योंकि मशीनों को ठीक से संरक्षित नहीं किया गया था।

चरण 1. PowerShell के माध्यम से DNS नाम रिज़ॉल्यूशन को उल्टा करें

डिफ़ॉल्ट रूप से, PowerShell कई स्थानीय कार्यस्थानों और अधिकांश Windows सर्वर पर स्थापित किया गया है। यद्यपि अतिशयोक्ति के बिना नहीं, इसे एक अविश्वसनीय रूप से उपयोगी स्वचालन और नियंत्रण उपकरण माना जाता है, यह लगभग एक अदृश्य अदृश्य मैलवेयर (एक हैकिंग प्रोग्राम जो किसी हमले के निशान नहीं छोड़ता है) में बदलने में समान रूप से सक्षम है।

हमारे मामले में, हमलावर PowerShell स्क्रिप्ट का उपयोग करके नेटवर्क टोही प्रदर्शन करना शुरू कर देता है, क्रमिक रूप से नेटवर्क के आईपी पते स्थान को छांटता है, यह निर्धारित करने की कोशिश करता है कि क्या इस आईपी को होस्ट करने की अनुमति है, और यदि हां, तो इस होस्ट का नेटवर्क नाम क्या है।
इस कार्य को पूरा करने के कई तरीके हैं, लेकिन Get- ADComputer cmdlet का उपयोग करना एक विश्वसनीय विकल्प है क्योंकि यह प्रत्येक नोड के बारे में वास्तव में समृद्ध डेटासेट लौटाता है:

import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq '10.10.10.10'} 

यदि बड़े नेटवर्क में काम की गति में समस्या आती है, तो DNS सिस्टम कॉलबैक का उपयोग किया जा सकता है:

 [System.Net.Dns]::GetHostEntry('10.10.10.10').HostName 

नेटवर्क पर मेजबानों को सूचीबद्ध करने का यह तरीका बहुत लोकप्रिय है क्योंकि अधिकांश नेटवर्क एक शून्य-विश्वास सुरक्षा मॉडल का उपयोग नहीं करते हैं और संदिग्ध गतिविधि स्पाइक के लिए आंतरिक DNS अनुरोधों को ट्रैक नहीं करते हैं।

चरण 2: लक्ष्य चयन

इस चरण का अंतिम परिणाम सर्वर और वर्कस्टेशन होस्ट नामों की एक सूची प्राप्त करना है जो हमले को जारी रखने के लिए उपयोग किया जा सकता है।



नाम से देखते हुए, सर्वर 'हब-फिलर' एक योग्य लक्ष्य प्रतीत होता है, क्योंकि समय के साथ, फ़ाइल सर्वर बड़ी संख्या में नेटवर्क फ़ोल्डर और बहुत अधिक लोगों द्वारा उन तक अत्यधिक पहुंच जमा करते हैं।

विंडोज एक्सप्लोरर के साथ देखने से हमें यह निर्धारित करने की अनुमति मिलती है कि क्या कोई खुला साझा फ़ोल्डर है, लेकिन हमारा वर्तमान खाता इसे एक्सेस नहीं कर सकता है (शायद हमारे पास केवल लिस्टिंग अधिकार हैं)।

चरण 3: एसीएल जानें

अब हमारे HUB-FILER होस्ट और लक्ष्य साझा फ़ोल्डर पर, हम ACL प्राप्त करने के लिए PowerShell स्क्रिप्ट चला सकते हैं। हम इसे स्थानीय मशीन से कर सकते हैं, क्योंकि हमारे पास पहले से ही स्थानीय प्रशासक अधिकार हैं:

 (get-acl \\hub-filer\share).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto 

निष्पादन परिणाम:



इससे हम देखते हैं कि डोमेन उपयोगकर्ता समूह के पास केवल लिस्टिंग तक पहुंच है, लेकिन हेल्पडेस्क समूह को भी बदलने का अधिकार है।

चरण 4: खातों की पहचान करें

Get-ADGroupMember चलाकर , हम इस समूह के सभी सदस्यों को प्राप्त कर सकते हैं:

 Get-ADGroupMember -identity Helpdesk 

इस सूची में हम एक कंप्यूटर खाता देखते हैं जिसे हमने पहले ही पहचान लिया है और जिसे हम पहले ही देख चुके हैं:

चरण 5: कंप्यूटर खाते से काम करने के लिए PSExec का उपयोग करें

Microsoft Sysinternals से PsExec आपको सिस्टम @ HUB-SHAREPOINT सिस्टम अकाउंट के संदर्भ में कमांड निष्पादित करने की अनुमति देता है, जिसे हम जानते हैं, हेल्पडेस्क टास्क फोर्स का सदस्य है। यही है, हमें बस करने की आवश्यकता है:

 PsExec.exe -s -i cmd.exe 

ठीक है, तब आपके पास लक्ष्य फ़ोल्डर \\ HUB-FILER \ share \ HR तक पूर्ण पहुंच है, क्योंकि आप कंप्यूटर खाते HUB-SHAREPOINT के संदर्भ में काम करते हैं। और इस पहुंच के साथ, डेटा को एक पोर्टेबल स्टोरेज डिवाइस पर कॉपी किया जा सकता है या अन्यथा नेटवर्क पर पुनर्प्राप्त और स्थानांतरित किया जा सकता है।

चरण 6: इस हमले का पता लगाएं

खाता विशेषाधिकारों को स्थापित करने के लिए यह विशेष भेद्यता (उपयोगकर्ता खातों या सेवा खातों के बजाय साझा नेटवर्क फ़ोल्डर्स तक पहुंचने वाले कंप्यूटर खातों) का पता लगाया जा सकता है। हालांकि, सही उपकरण के बिना, यह बहुत मुश्किल है।

इस श्रेणी के हमलों का पता लगाने और उन्हें रोकने के लिए, हम उन कंप्यूटर खातों के साथ समूहों की पहचान करने के लिए DatAdvantage का उपयोग कर सकते हैं, और फिर उनके करीब पहुंच सकते हैं। DatAlert आगे बढ़ता है और आपको विशेष रूप से इस तरह के परिदृश्य के लिए एक अधिसूचना बनाने की अनुमति देता है।

नीचे दिया गया स्क्रीनशॉट एक उपयोगकर्ता सूचना दिखाता है जो हर बार एक कंप्यूटर खाते की निगरानी सर्वर पर डेटा तक पहुंचता है।

PowerShell का उपयोग करके अगले चरण

और जानना चाहते हैं? पूर्ण PowerShell वीडियो पाठ्यक्रम और सक्रिय निर्देशिका बुनियादी बातों तक मुफ्त पहुंच के लिए "ब्लॉग" अनलॉक कोड का उपयोग करें।