بنية Windows

تعمل معظم بيئات المؤسسات بنظام Windows. ويُعد فهم آلية عمله الداخلية، بما في ذلك العمليات والخدمات وحدود الصلاحيات، أمرًا أساسيًا لمهاجمته والدفاع عنه.

يغطي هذا الدرس البنية الأساسية التي ستعتمد عليها في استدلالك أثناء عملية الاختبار.

يقسم Windows التنفيذ إلى حلقتين:

• وضع المستخدم؛ تعمل التطبيقات هنا بصلاحيات وصول محدودة.
• وضع النواة؛ تعمل نواة نظام التشغيل وبرامج التشغيل هنا مع وصول كامل إلى العتاد.

تمنح الثغرات التي تصل إلى وضع النواة، مثل الثغرات الموجودة في برامج التشغيل، تحكمًا كاملًا.

العملية هي برنامج قيد التشغيل وله ذاكرته الخاصة، أما الخيط فهو وحدة تنفيذ داخل العملية. ولكل عملية PID فريد.

اعرض العمليات من موجه الأوامر أو PowerShell.

تعمل عدة عمليات دائمًا؛ ووجود عمليات منتحلة بأسمائها يشير إلى برمجيات ضارة:

• System ‏(PID 4)؛ خيوط النواة.
• smss.exe؛ مدير الجلسات.
• csrss.exe؛ بيئة تشغيل العميل/الخادم.
• lsass.exe؛ يحتفظ ببيانات الاعتماد، ويُعد هدفًا رئيسيًا للمهاجمين.
• winlogon.exe وservices.exe.

تدير lsass.exe ‏(النظام الفرعي لسلطة الأمان المحلية) المصادقة، وتخزن مؤقتًا مواد بيانات الاعتماد في الذاكرة.

تفرغ أدوات مثل Mimikatz محتوى lsass لسرقة تجزئات كلمات المرور وتذاكر Kerberos؛ وهذا من أهم الهجمات التي ينبغي فهمها.

الخدمة هي برنامج يعمل في الخلفية ويديره Service Control Manager، وغالبًا ما يعمل بصلاحيات مرتفعة عند الإقلاع.

تُعد الخدمات سيئة الإعداد، مثل ذات الأذونات الضعيفة أو المسارات غير المحاطة بعلامات اقتباس، من المسارات التقليدية لتصعيد الصلاحيات.

تتواصل التطبيقات مع نظام التشغيل عبر Windows API الذي توفره مكتبات DLL مثل kernel32.dll وntdll.dll.

تستدعي البرمجيات الضارة والأدوات الهجومية واجهات API هذه مباشرةً (CreateProcess وVirtualAlloc وWriteProcessMemory) لحقن التعليمات البرمجية وتجاوز الاكتشاف.

تحمل كل عملية رمز وصول يصف مستخدمها ومجموعاتها وامتيازاتها. ويتحقق Windows من الرمز عند كل إجراء محمي.

يسرق المهاجمون الرموز أو ينتحلونها للتصرف كمستخدمين ذوي امتيازات أعلى؛ وهذا أساس العديد من تقنيات تصعيد الصلاحيات.

يعيّن Windows مستويات تكامل هي (منخفض، متوسط، عالٍ، النظام). ويشغّل User Account Control (UAC) حسابات المسؤولين عند المستوى المتوسط إلى أن يرفعوا الصلاحيات.

تُعد طرق تجاوز UAC خطوة شائعة للانتقال من مستوى التكامل المتوسط إلى العالي دون ظهور مطالبة.

تحمّل البرامج التعليمات البرمجية المشتركة من DLLs. ويبحث Windows في أدلة محددة بترتيب معين للعثور عليها.

إذا جاء دليل قابل للكتابة أولًا، فيمكن للمهاجم زرع DLL ضارة؛ ويُسمى ذلك اختطاف DLL / إساءة استخدام ترتيب البحث.

تُعد حزمة Sysinternals من Microsoft قيّمة للغاية للمدافعين والمهاجمين على حد سواء:

• Process Explorer؛ شجرة العمليات ومقابضها بتفصيل عميق.
• Process Monitor؛ أحداث الملفات والسجل والعمليات مباشرةً.
• Autoruns؛ كل مواقع التشغيل التلقائي، وهي مفيدة جدًا للعثور على الاستمرارية.

تذكّر العملية التي تحتفظ ببيانات الاعتماد.

لقد رسمت خريطة لبنية Windows:

• وضع المستخدم مقابل وضع النواة؛ الوصول إلى النواة يعني تحكمًا كاملًا.
• العمليات الرئيسية، وخاصة lsass.exe لبيانات الاعتماد.
• الخدمات ورموز الوصول ومستويات التكامل وUAC.
• إساءة استخدام ترتيب بحث DLL واستخدام Sysinternals للفحص.

التالي: سجل Windows.