Microsoft, Windows'ta bilgisayar korsanlarının yönetici haklarını diğer hesaplara aktarmasına izin veren kritik bir güvenlik açığını gözden kaçırdı
2 dk. okuman
Tarihinde güncellendi
Bu makaleyi paylaş
Bu kılavuzu geliştirin
MSPoweruser'ın editör ekibini ayakta tutmasına nasıl yardımcı olabileceğinizi öğrenmek için açıklama sayfamızı okuyun. Daha fazla
Kolombiyalı siber güvenlik uzmanı Sebastian Castro tarafından paylaşılan yeni bir rapor, Windows'taki kritik bir güvenlik açığıyla ilgili şok edici ayrıntıları ortaya koyuyor. Castro, bilgisayar korsanlarının Yönetici haklarını diğer hesaplara devretmesine izin verecek güvenlik açığıyla ilgili ayrıntıları paylaştı.
CSL'ye göre, güvenlik açığı Windows XP'den beri var ve yöneticilerin haklarının keyfi hesaplara aktarılmasına izin veriyor. Castro, güvenlik açığını test etmek ve göstermek için Metasploit modülünü kendisi yazdı.
Bu yüzden referans olarak alarak bir Metasploit modülü yazmaya karar verdim. enable_support_account gönderisi meslektaşım ve arkadaşım Santiago Díaz tarafından geliştirilen modül. Bu modül, yukarıdaki referansta bahsedilen güvenlik açığının çekirdeğini kullanır, ancak yalnızca çalışmakla sınırlıdır. XP/2003 Windows sürümü, güvenlik tanımlayıcılarını değiştirerek destek_388945a0 yerleşik hesap.
Bununla birlikte, kurtulmak modül, bu saldırıyı kurbandaki mevcut herhangi bir hesapla otomatikleştirir. içinde bulunabilir post/windows/yönet/rid_hijack.dll
-Sebastian Castro
Modül kurulduktan sonra Castro, Windows XP, Windows Server 2003, Windows 8.1 ve Windows 10 dahil olmak üzere çeşitli İşletim Sistemlerinde test etti. Ayrıca tüm sürecin nasıl çalıştığını ve bilgisayar korsanlarının tüm yönetici haklarını bir bilgisayardan aktarmalarına izin vereceğini açıkladı. Yönetici hesabından bir Konuk hesabına.
XP'den sonraki sürümden bağımsız olarak Windows, yerel kullanıcıların ve yerleşik hesapların güvenlik tanımlayıcılarını depolamak için Güvenlik Hesabı Yöneticisi'ni (SAM) kullanır. Güvenlik İlkeleri Nasıl Çalışır bölümünde belirtildiği gibi, her hesabın kendisini tanımlayan atanmış bir RID'si vardır. Etki alanı denetleyicilerinden farklı olarak, Windows iş istasyonları ve sunucular, bu verilerin çoğunu, erişilmesi için SİSTEM ayrıcalıkları gerektiren HKLM\SAM\SAM\Domains\Account\Users anahtarında depolayacaktır.
-Sebastian Castro
İşin talihsiz yanı, şirket tarafından yaklaşık 10 ay önce Microsoft'a bir rapor gönderildi ancak hiçbir şekilde yanıtlanmadı. Bu, onlara belirli bir süre sonra güvenlik açığını ifşa etme izni verdi. Yine de, Günter Doğan, yakın zamanda, temel Grup İlkesi Nesnesinin uyarlanmasının, saldırının gerçek hayatta gerçekleşmesini engelleyebileceğini bildirdi. Bununla birlikte, Microsoft'un hala resmi bir açıklama yayınlamasını bekliyoruz.
