Architektura Windows

Większość środowisk korporacyjnych korzysta z systemu Windows. Zrozumienie jego wewnętrznego działania — procesów, usług i granic uprawnień — jest niezbędne zarówno do atakowania tego systemu, jak i do jego ochrony.

Ta lekcja obejmuje podstawową architekturę, którą będą Państwo analizować podczas działań.

System Windows dzieli wykonywanie na dwa pierścienie:

• Tryb użytkownika — działają w nim aplikacje z ograniczonym dostępem.
• Tryb jądra — działają w nim rdzeń systemu operacyjnego i sterowniki, mając pełny dostęp do sprzętu.

Eksploity, które uzyskują dostęp do trybu jądra (na przykład za pośrednictwem podatnego sterownika), zapewniają całkowitą kontrolę.

Proces to uruchomiony program z własną pamięcią, a wątek to jednostka wykonywania działająca w jego obrębie. Każdy proces ma unikatowy PID.

Proszę wyświetlić procesy z wiersza poleceń lub PowerShell.

Niektóre procesy działają zawsze; ich podszywanie się może wskazywać na złośliwe oprogramowanie:

• System (PID 4) — wątki jądra.
• smss.exe — menedżer sesji.
• csrss.exe — środowisko uruchomieniowe klient/serwer.
• lsass.exe — przechowuje dane uwierzytelniające i jest ważnym celem atakujących.
• winlogon.exe, services.exe.

lsass.exe (Local Security Authority Subsystem) zarządza uwierzytelnianiem i buforuje w pamięci materiały uwierzytelniające.

Narzędzia takie jak Mimikatz zrzucają zawartość lsass, aby kraść skróty haseł i bilety Kerberos — jest to jeden z najważniejszych ataków, które należy zrozumieć.

Usługa to program działający w tle, zarządzany przez Service Control Manager, często uruchamiany podczas rozruchu z wysokimi uprawnieniami.

Nieprawidłowo skonfigurowane usługi (słabe uprawnienia, ścieżki bez cudzysłowów) są klasycznymi sposobami eskalacji uprawnień.

Aplikacje komunikują się z systemem operacyjnym za pośrednictwem Windows API udostępnianego przez biblioteki DLL, takie jak kernel32.dll i ntdll.dll.

Złośliwe oprogramowanie i narzędzia ofensywne wywołują te interfejsy bezpośrednio (CreateProcess, VirtualAlloc, WriteProcessMemory), aby wstrzykiwać kod i omijać wykrywanie.

Każdy proces ma token dostępu opisujący jego użytkownika, grupy i uprawnienia. Windows sprawdza token przy każdej chronionej operacji.

Atakujący kradną tokeny lub podszywają się pod nie, aby działać jako użytkownicy o wyższych uprawnieniach — jest to podstawa wielu technik eskalacji uprawnień.

Windows przypisuje poziomy integralności (Low, Medium, High, System). Funkcja User Account Control (UAC) uruchamia administratorów na poziomie Medium do momentu podniesienia uprawnień.

Obejścia UAC są częstym sposobem przejścia z poziomu Medium do High bez wyświetlania monitu.

Programy ładują współdzielony kod z DLL. Windows przeszukuje określone katalogi w ustalonej kolejności, aby je znaleźć.

Jeśli jako pierwszy znajduje się katalog z prawem zapisu, atakujący może umieścić w nim złośliwą bibliotekę DLL — jest to przejęcie DLL / nadużycie kolejności wyszukiwania.

Pakiet Sysinternals firmy Microsoft jest niezwykle przydatny zarówno dla obrońców, jak i atakujących:

• Process Explorer — szczegółowe drzewo procesów i uchwyty.
• Process Monitor — zdarzenia dotyczące plików, rejestru i procesów w czasie rzeczywistym.
• Autoruns — wszystkie lokalizacje autostartu (świetne narzędzie do znajdowania mechanizmów utrzymania dostępu).

Proszę przypomnieć sobie, który proces przechowuje dane uwierzytelniające.

Przeanalizowali Państwo architekturę Windows:

• Tryb użytkownika a tryb jądra; uzyskanie dostępu do jądra oznacza pełną kontrolę.
• Najważniejsze procesy, w szczególności lsass.exe przechowujący dane uwierzytelniające.
• Usługi, tokeny dostępu, poziomy integralności i UAC.
• Nadużywanie kolejności wyszukiwania DLL oraz pakiet Sysinternals do inspekcji.

Dalej: rejestr Windows.