Seni Bina Windows

Kebanyakan persekitaran perusahaan menggunakan Windows. Memahami cara ia berfungsi secara dalaman - proses, perkhidmatan dan sempadan keistimewaan - adalah penting untuk menyerang dan mempertahankannya.

Pelajaran ini merangkumi seni bina teras yang akan anda gunakan untuk membuat penaakulan semasa tugasan.

Windows membahagikan pelaksanaan kepada dua gelang:

• Mod pengguna - aplikasi dijalankan di sini dengan akses terhad.
• Mod kernel - teras OS dan pemacu dijalankan dengan akses perkakasan penuh.

Eksploit yang mencapai mod kernel (contohnya melalui pemacu yang terdedah) memberikan kawalan sepenuhnya.

Proses ialah atur cara yang sedang berjalan dengan memorinya sendiri; jalur benang ialah unit pelaksanaan di dalamnya. Setiap proses mempunyai PID yang unik.

Senaraikan proses daripada gesaan arahan atau PowerShell.

Beberapa proses sentiasa berjalan; penyamaran proses ini menandakan perisian hasad:

• System (PID 4) - jalur benang kernel.
• smss.exe - pengurus sesi.
• csrss.exe - masa jalan klien/pelayan.
• lsass.exe - menyimpan bukti kelayakan, sasaran utama penyerang.
• winlogon.exe, services.exe.

lsass.exe (Subsistem Pihak Berkuasa Keselamatan Tempatan) mengurus pengesahan dan menyimpan bahan bukti kelayakan dalam cache memori.

Alat seperti Mimikatz membuang kandungan lsass untuk mencuri cincangan kata laluan dan tiket Kerberos - salah satu serangan terpenting untuk difahami.

Perkhidmatan ialah atur cara latar belakang yang diurus oleh Pengurus Kawalan Perkhidmatan, dan sering dijalankan dengan keistimewaan tinggi semasa but.

Perkhidmatan yang tersalah konfigurasi (kebenaran lemah, laluan tanpa petikan) ialah laluan peningkatan keistimewaan yang klasik.

Aplikasi berkomunikasi dengan OS melalui API Windows yang didedahkan oleh DLL seperti kernel32.dll dan ntdll.dll.

Perisian hasad dan alat ofensif memanggil API ini secara langsung (CreateProcess, VirtualAlloc, WriteProcessMemory) untuk menyuntik kod dan mengelakkan pengesanan.

Setiap proses membawa token akses yang menerangkan pengguna, kumpulan dan keistimewaannya. Windows menyemak token tersebut bagi setiap tindakan yang dilindungi.

Penyerang mencuri atau menyamar sebagai token untuk bertindak sebagai pengguna yang mempunyai keistimewaan lebih tinggi - asas bagi banyak teknik peningkatan keistimewaan.

Windows menetapkan tahap integriti (Rendah, Sederhana, Tinggi, Sistem). User Account Control (UAC) menjalankan pentadbir pada tahap Sederhana sehingga mereka meningkatkan keistimewaan.

Pemintasan UAC ialah langkah biasa untuk beralih daripada integriti Sederhana kepada Tinggi tanpa gesaan.

Atur cara memuatkan kod dikongsi daripada DLL. Windows mencari direktori tertentu mengikut susunan untuk mencarinya.

Jika direktori yang boleh ditulis muncul dahulu, penyerang boleh menanam DLL berniat jahat - ini ialah perampasan DLL / penyalahgunaan susunan carian.

Suite Sysinternals Microsoft amat berguna untuk pihak pertahanan dan penyerang:

• Process Explorer - pepohon proses dan pemegang yang terperinci.
• Process Monitor - peristiwa fail/daftar/proses secara langsung.
• Autoruns - setiap lokasi mula automatik (sangat baik untuk mencari pengekalan akses).

Anda telah memetakan seni bina Windows:

• Mod pengguna berbanding kernel; mencapai kernel bermaksud kawalan penuh.
• Proses utama, khususnya lsass.exe untuk bukti kelayakan.
• Perkhidmatan, token akses, tahap integriti dan UAC.
• Penyalahgunaan susunan carian DLL dan Sysinternals untuk pemeriksaan.

Seterusnya: Registry Windows.