สถาปัตยกรรม Windows

สภาพแวดล้อมระดับองค์กรส่วนใหญ่ใช้ Windows การเข้าใจการทำงานภายในของระบบ ทั้งโพรเซส บริการ และขอบเขตสิทธิ์ จึงจำเป็นต่อการโจมตีและป้องกันระบบ

บทเรียนนี้ครอบคลุมสถาปัตยกรรมหลักที่คุณจะใช้ให้เหตุผลระหว่างการปฏิบัติงาน

Windows แบ่งการทำงานออกเป็นสองระดับ:

• โหมดผู้ใช้ - แอปพลิเคชันทำงานที่นี่และมีสิทธิ์เข้าถึงจำกัด
• โหมดเคอร์เนล - แกนหลักของ OS และไดรเวอร์ทำงานที่นี่ โดยเข้าถึงฮาร์ดแวร์ได้เต็มที่

ช่องโหว่ที่เข้าถึงโหมดเคอร์เนลได้ (เช่น ผ่านไดรเวอร์ที่มีช่องโหว่) จะมอบการควบคุมทั้งหมด

โพรเซส คือโปรแกรมที่กำลังทำงานและมีหน่วยความจำของตนเอง ส่วน เธรด คือหน่วยการทำงานภายในโพรเซสนั้น แต่ละโพรเซสมี PID ที่ไม่ซ้ำกัน

แสดงรายการโพรเซสจากพรอมต์คำสั่งหรือ PowerShell

มีโพรเซสหลายรายการที่ทำงานอยู่เสมอ หากพบสิ่งปลอมแปลงในรายการเหล่านี้ แสดงว่าอาจเป็นมัลแวร์:

• System (PID 4) - เธรดของเคอร์เนล
• smss.exe - ตัวจัดการเซสชัน
• csrss.exe - รันไทม์ไคลเอนต์/เซิร์ฟเวอร์
• lsass.exe - เก็บข้อมูลรับรอง จึงเป็นเป้าหมายสำคัญของผู้โจมตี
• winlogon.exe, services.exe

lsass.exe (ระบบย่อยหน่วยงานความปลอดภัยภายในเครื่อง) จัดการการยืนยันตัวตนและเก็บข้อมูลรับรองไว้ในหน่วยความจำชั่วคราว

เครื่องมืออย่าง Mimikatz สามารถดึงข้อมูลจาก lsass เพื่อขโมยแฮชรหัสผ่านและตั๋ว Kerberos ซึ่งเป็นหนึ่งในการโจมตีที่สำคัญที่สุดที่ควรทำความเข้าใจ

บริการ คือโปรแกรมเบื้องหลังที่จัดการโดยตัวจัดการควบคุมบริการ และมักทำงานด้วยสิทธิ์ระดับสูงตั้งแต่เริ่มระบบ

บริการที่ตั้งค่าผิดพลาด (สิทธิ์อ่อนแอหรือเส้นทางไม่อยู่ในเครื่องหมายคำพูด) เป็นช่องทางยกระดับสิทธิ์แบบคลาสสิก

แอปพลิเคชันสื่อสารกับ OS ผ่าน Windows API ที่เปิดให้ใช้โดย DLL เช่น kernel32.dll และ ntdll.dll

มัลแวร์และเครื่องมือเชิงรุกเรียก API เหล่านี้โดยตรง (CreateProcess, VirtualAlloc, WriteProcessMemory) เพื่อฉีดโค้ดและหลบเลี่ยงการตรวจจับ

ทุกโพรเซสจะมี โทเค็นการเข้าถึง ซึ่งระบุผู้ใช้ กลุ่ม และสิทธิ์ของโพรเซสนั้น Windows จะตรวจสอบโทเค็นนี้สำหรับทุกการดำเนินการที่มีการรักษาความปลอดภัย

ผู้โจมตีขโมยหรือปลอมแปลงโทเค็นเพื่อดำเนินการในฐานะผู้ใช้ที่มีสิทธิ์สูงกว่า ซึ่งเป็นพื้นฐานของเทคนิคยกระดับสิทธิ์จำนวนมาก

Windows กำหนด ระดับความสมบูรณ์ (ต่ำ ปานกลาง สูง ระบบ) ส่วน การควบคุมบัญชีผู้ใช้ (UAC) จะให้ผู้ดูแลระบบทำงานที่ระดับปานกลางจนกว่าจะยกระดับสิทธิ์

การหลบเลี่ยง UAC เป็นขั้นตอนที่พบได้บ่อยในการขยับจากระดับปานกลางไปเป็นระดับสูงโดยไม่แสดงกล่องโต้ตอบ

โปรแกรมโหลดโค้ดที่ใช้ร่วมกันจาก DLL Windows จะค้นหา DLL ในไดเรกทอรีตามลำดับที่กำหนด

หากไดเรกทอรีที่เขียนได้อยู่ก่อน ผู้โจมตีสามารถวาง DLL อันตรายไว้ได้ ซึ่งเรียกว่า การจี้ DLL / การใช้ลำดับการค้นหาในทางมิชอบ

ชุดเครื่องมือ Sysinternals ของ Microsoft มีคุณค่าอย่างมากทั้งต่อผู้ป้องกันและผู้โจมตี:

• Process Explorer - แผนผังโพรเซสและแฮนเดิลเชิงลึก
• Process Monitor - เหตุการณ์ไฟล์/รีจิสทรี/โพรเซสแบบสด
• Autoruns - ตำแหน่งเริ่มทำงานอัตโนมัติทุกแห่ง เหมาะสำหรับค้นหาการคงอยู่ในระบบ

ทบทวนว่าโพรเซสใดเก็บข้อมูลรับรอง

คุณได้ทำความเข้าใจสถาปัตยกรรม Windows:

• โหมดผู้ใช้เทียบกับโหมดเคอร์เนล การเข้าถึงเคอร์เนลหมายถึงการควบคุมทั้งหมด
• โพรเซสสำคัญ โดยเฉพาะ lsass.exe ซึ่งเก็บข้อมูลรับรอง
• บริการ โทเค็นการเข้าถึง ระดับความสมบูรณ์ และ UAC
• การใช้ ลำดับการค้นหา DLL ในทางมิชอบ และการใช้ Sysinternals เพื่อตรวจสอบ

ถัดไป: รีจิสทรีของ Windows