Архитектура Windows

В большинстве корпоративных сред используется Windows. Понимание её внутреннего устройства — процессов, служб и границ привилегий — необходимо для атак и защиты.

В этом уроке рассматривается базовая архитектура, которую Вы будете анализировать во время практической работы.

Windows разделяет выполнение на два уровня:

• Пользовательский режим — здесь работают приложения с ограниченным доступом.
• Режим ядра — ядро OS и драйверы работают с полным доступом к оборудованию.

Эксплойты, позволяющие достичь режима ядра, например через уязвимый драйвер, дают полный контроль.

Процесс — это запущенная программа со собственной памятью, а поток — единица выполнения внутри неё. Каждый процесс имеет уникальный PID.

Выведите список процессов из командной строки или PowerShell.

Некоторые процессы работают постоянно; их подмена указывает на вредоносную программу:

• System (PID 4) — потоки ядра.
• smss.exe — диспетчер сеансов.
• csrss.exe — подсистема среды выполнения клиента и сервера.
• lsass.exe — хранит учётные данные и является приоритетной целью атакующих.
• winlogon.exe, services.exe.

lsass.exe (подсистема локального центра безопасности) управляет аутентификацией и кэширует материалы учётных данных в памяти.

Инструменты вроде Mimikatz извлекают данные из lsass, чтобы украсть хэши паролей и билеты Kerberos. Это одна из важнейших атак, которую необходимо понимать.

Служба — это фоновая программа, которой управляет диспетчер управления службами; часто она запускается с высокими привилегиями при загрузке системы.

Неправильно настроенные службы (слабые разрешения, пути без кавычек) — классический способ повысить привилегии.

Приложения взаимодействуют с OS через API Windows, предоставляемые такими DLL, как kernel32.dll и ntdll.dll.

Вредоносные программы и инструменты атак напрямую вызывают эти API (CreateProcess, VirtualAlloc, WriteProcessMemory), чтобы внедрять код и обходить обнаружение.

Каждый процесс содержит токен доступа, описывающий его пользователя, группы и привилегии. Windows проверяет токен при каждом защищённом действии.

Атакующие крадут токены или выдают себя за их владельцев, чтобы действовать от имени пользователей с более высокими привилегиями. На этом основаны многие методы повышения привилегий.

Windows назначает уровни целостности (низкий, средний, высокий, системный). Контроль учётных записей пользователей (UAC) запускает администраторов со средним уровнем, пока они не повысят его.

Обход UAC часто используется, чтобы перейти со среднего на высокий уровень целостности без отображения запроса.

Программы загружают общий код из DLL. Windows ищет их в определённых каталогах в заданном порядке.

Если первым находится каталог, доступный для записи, атакующий может разместить в нём вредоносную DLL. Это называется перехватом DLL / злоупотреблением порядком поиска.

Набор инструментов Microsoft Sysinternals бесценен как для защитников, так и для атакующих:

• Process Explorer — подробное дерево процессов и дескрипторы.
• Process Monitor — события файлов, реестра и процессов в реальном времени.
• Autoruns — все места автоматического запуска, что особенно удобно для поиска закрепления.

Вспомните, какой процесс хранит учётные данные.

Вы изучили архитектуру Windows:

• Пользовательский режим и режим ядра; достижение ядра означает полный контроль.
• Ключевые процессы, особенно lsass.exe, хранящий учётные данные.
• Службы, токены доступа, уровни целостности и UAC.
• Злоупотребление порядком поиска DLL и использование Sysinternals для проверки.

Далее: реестр Windows.