Arsitektur Windows

Sebagian besar lingkungan perusahaan menjalankan Windows. Memahami cara kerjanya dari dalam—proses, layanan, dan batas hak istimewa—sangat penting untuk menyerang dan mempertahankannya.

Pelajaran ini membahas arsitektur inti yang akan Anda gunakan dalam penalaran selama suatu penugasan.

Windows membagi eksekusi menjadi dua tingkat:

• Mode pengguna—aplikasi berjalan di sini dengan akses terbatas.
• Mode kernel—inti OS dan driver berjalan dengan akses penuh ke perangkat keras.

Eksploitasi yang mencapai mode kernel (misalnya melalui driver yang rentan) memberikan kendali penuh.

Proses adalah program yang sedang berjalan dengan memorinya sendiri; thread adalah unit eksekusi di dalamnya. Setiap proses memiliki PID yang unik.

Daftarkan proses dari prompt perintah atau PowerShell.

Beberapa proses selalu berjalan; penyamaran pada proses-proses ini menandakan perangkat lunak berbahaya:

• System (PID 4)—thread kernel.
• smss.exe—pengelola sesi.
• csrss.exe—runtime klien/server.
• lsass.exe—menyimpan kredensial dan menjadi target utama penyerang.
• winlogon.exe, services.exe.

lsass.exe (Subsistem Otoritas Keamanan Lokal) mengelola autentikasi dan menyimpan sementara materi kredensial di memori.

Alat seperti Mimikatz membuang isi lsass untuk mencuri hash kata sandi dan tiket Kerberos—salah satu serangan terpenting untuk dipahami.

Layanan adalah program latar belakang yang dikelola oleh Service Control Manager, sering kali berjalan dengan hak istimewa tinggi saat boot.

Layanan yang salah konfigurasinya (izin lemah, jalur tanpa tanda kutip) merupakan jalur klasik untuk eskalasi hak istimewa.

Aplikasi berkomunikasi dengan OS melalui Windows API yang disediakan oleh DLL seperti kernel32.dll dan ntdll.dll.

Perangkat lunak berbahaya dan alat ofensif memanggil API ini secara langsung (CreateProcess, VirtualAlloc, WriteProcessMemory) untuk menyuntikkan kode dan menghindari deteksi.

Setiap proses membawa token akses yang menjelaskan pengguna, grup, dan hak istimewanya. Windows memeriksa token tersebut untuk setiap tindakan yang diamankan.

Penyerang mencuri atau menyamar sebagai pemilik token untuk bertindak sebagai pengguna dengan hak istimewa lebih tinggi—dasar dari banyak teknik eskalasi hak istimewa.

Windows menetapkan tingkat integritas (Rendah, Sedang, Tinggi, Sistem). User Account Control (UAC) menjalankan administrator pada tingkat Sedang hingga mereka melakukan peningkatan hak.

Pelewatan UAC merupakan langkah umum untuk berpindah dari integritas Sedang ke Tinggi tanpa permintaan konfirmasi.

Program memuat kode bersama dari DLL. Windows mencari DLL tersebut di direktori tertentu berdasarkan urutan.

Jika direktori yang dapat ditulisi berada di urutan pertama, penyerang dapat menempatkan DLL berbahaya—ini disebut pembajakan DLL / penyalahgunaan urutan pencarian.

Rangkaian alat Sysinternals dari Microsoft sangat berguna bagi pihak yang mempertahankan maupun menyerang sistem:

• Process Explorer—pohon proses dan handle secara mendalam.
• Process Monitor—peristiwa file/registri/proses secara langsung.
• Autoruns—setiap lokasi mulai otomatis (sangat berguna untuk menemukan persistensi).

Ingat kembali proses yang menyimpan kredensial.

Anda telah memetakan arsitektur Windows:

• Mode pengguna vs kernel; mencapai kernel berarti memperoleh kendali penuh.
• Proses-proses utama, terutama lsass.exe untuk kredensial.
• Layanan, token akses, tingkat integritas, dan UAC.
• Penyalahgunaan urutan pencarian DLL dan Sysinternals untuk pemeriksaan.

Berikutnya: Windows Registry.