Windows-Architektur

In den meisten Unternehmensumgebungen wird Windows eingesetzt. Zu verstehen, wie das System intern funktioniert – Prozesse, Dienste und Privilegiengrenzen –, ist für Angriffe und die Verteidigung dagegen unerlässlich.

Diese Lektion behandelt die grundlegende Architektur, über die Sie während eines Einsatzes nachdenken müssen.

Windows teilt die Ausführung in zwei Ringe auf:

• Benutzermodus – Anwendungen laufen hier mit eingeschränktem Zugriff.
• Kernelmodus – Der Betriebssystemkern und Treiber laufen hier mit vollständigem Hardwarezugriff.

Exploits, die den Kernelmodus erreichen (beispielsweise über einen verwundbaren Treiber), ermöglichen vollständige Kontrolle.

Ein Prozess ist ein laufendes Programm mit eigenem Speicher; ein Thread ist eine Ausführungseinheit innerhalb dieses Prozesses. Jeder Prozess besitzt eine eindeutige PID.

Listen Sie Prozesse über eine Eingabeaufforderung oder PowerShell auf.

Mehrere Prozesse laufen ständig; Nachahmer dieser Prozesse deuten auf Malware hin:

• System (PID 4) – Kernel-Threads.
• smss.exe – Sitzungsverwaltung.
• csrss.exe – Client/Server-Laufzeitsubsystem.
• lsass.exe – enthält Anmeldedaten und ist daher ein bevorzugtes Ziel von Angreifern.
• winlogon.exe, services.exe.

lsass.exe (Local Security Authority Subsystem) verwaltet die Authentifizierung und hält Anmeldeinformationen im Speicher vor.

Tools wie Mimikatz dumpen lsass, um Passwort-Hashes und Kerberos-Tickets zu stehlen – einer der wichtigsten Angriffe, die Sie verstehen sollten.

Ein Dienst ist ein vom Service Control Manager verwaltetes Hintergrundprogramm, das beim Systemstart häufig mit weitreichenden Berechtigungen ausgeführt wird.

Fehlkonfigurierte Dienste (schwache Berechtigungen, nicht in Anführungszeichen gesetzte Pfade) sind klassische Wege zur Rechteausweitung.

Anwendungen kommunizieren über die von DLLs wie kernel32.dll und ntdll.dll bereitgestellte Windows API mit dem Betriebssystem.

Malware und offensive Tools rufen diese APIs direkt auf (CreateProcess, VirtualAlloc, WriteProcessMemory), um Code einzuschleusen und einer Erkennung zu entgehen.

Jeder Prozess führt ein Zugriffstoken mit sich, das den Benutzer, die Gruppen und die Berechtigungen beschreibt. Windows prüft das Token bei jeder geschützten Aktion.

Angreifer stehlen oder imitieren Token, um als Benutzer mit höheren Berechtigungen zu agieren – die Grundlage vieler Techniken zur Rechteausweitung.

Windows weist Integritätsstufen zu (Low, Medium, High, System). User Account Control (UAC) führt Administratoren bis zu einer Erhöhung zunächst mit der Stufe Medium aus.

UAC-Umgehungen sind ein gängiger Schritt, um ohne Eingabeaufforderung von der Integritätsstufe Medium zu High zu gelangen.

Programme laden gemeinsam genutzten Code aus DLLs. Windows durchsucht bestimmte Verzeichnisse in einer festgelegten Reihenfolge, um diese zu finden.

Steht ein beschreibbares Verzeichnis an erster Stelle, kann ein Angreifer eine schädliche DLL platzieren – dies wird als DLL-Hijacking / Missbrauch der Suchreihenfolge bezeichnet.

Die Sysinternals-Suite von Microsoft ist für Verteidiger und Angreifer gleichermaßen unverzichtbar:

• Process Explorer – detaillierter Prozessbaum und Handles.
• Process Monitor – Ereignisse von Dateien, der Registrierung und Prozessen in Echtzeit.
• Autoruns – alle Autostartpositionen (hervorragend zum Auffinden von Persistenz).

Rufen Sie sich den Prozess ins Gedächtnis, der Anmeldedaten enthält.

Sie haben die Windows-Architektur untersucht:

• Benutzer- und Kernelmodus; der Kernelmodus bedeutet vollständige Kontrolle.
• Wichtige Prozesse, insbesondere lsass.exe für Anmeldedaten.
• Dienste, Zugriffstoken, Integritätsstufen und UAC.
• Der Missbrauch der DLL-Suchreihenfolge und Sysinternals zur Untersuchung.

Als Nächstes: die Windows-Registrierung.