Windows Mimarisi

Kurumsal ortamların çoğu Windows çalıştırır. Nasıl çalıştığını; işlemleri, hizmetleri ve ayrıcalık sınırlarını anlamak, ona saldırmak ve onu savunmak için gereklidir.

Bu derste, bir çalışma sırasında üzerine akıl yürüteceğiniz temel mimari ele alınmaktadır.

Windows, çalıştırmayı iki halkaya ayırır:

• Kullanıcı modu - uygulamalar burada sınırlı erişimle çalışır.
• Çekirdek modu - işletim sisteminin çekirdeği ve sürücüler tam donanım erişimiyle çalışır.

Çekirdek moduna ulaşan açıklardan (örneğin güvenlik açığı bulunan bir sürücü aracılığıyla yararlanılanlar) tam denetim elde edilir.

İşlem, kendine ait belleği olan çalışan bir programdır; iş parçacığı ise işlem içindeki yürütme birimidir. Her işlemin benzersiz bir PID'si vardır.

İşlemleri bir komut isteminden veya PowerShell'den listeleyin.

Birkaç işlem her zaman çalışır; bunların sahtelerinin bulunması kötü amaçlı yazılıma işaret eder:

• System (PID 4) - çekirdek iş parçacıkları.
• smss.exe - oturum yöneticisi.
• csrss.exe - istemci/sunucu çalışma zamanı.
• lsass.exe - kimlik bilgilerini tutar ve saldırganların başlıca hedeflerinden biridir.
• winlogon.exe, services.exe.

lsass.exe (Yerel Güvenlik Yetkilisi Alt Sistemi), kimlik doğrulamayı yönetir ve kimlik bilgisi materyalini bellekte önbelleğe alır.

Mimikatz gibi araçlar, parolaların özetlerini ve Kerberos biletlerini çalmak için lsass dökümü alır; bu, anlaşılması gereken en önemli saldırılardan biridir.

Hizmet, Hizmet Denetimi Yöneticisi tarafından yönetilen ve genellikle önyükleme sırasında yüksek ayrıcalıkla çalışan arka plan programıdır.

Yanlış yapılandırılmış hizmetler (zayıf izinler, tırnak içine alınmamış yollar), ayrıcalık yükseltmenin klasik yollarıdır.

Uygulamalar, kernel32.dll ve ntdll.dll gibi DLL'lerin sunduğu Windows API'si aracılığıyla işletim sistemiyle iletişim kurar.

Kötü amaçlı yazılımlar ve saldırı araçları, kod eklemek ve tespitten kaçınmak için bu API'leri doğrudan çağırır (CreateProcess, VirtualAlloc, WriteProcessMemory).

Her işlem, kullanıcısını, gruplarını ve ayrıcalıklarını açıklayan bir erişim belirteci taşır. Windows, korumalı her işlem için belirteci denetler.

Saldırganlar daha yüksek ayrıcalıklı kullanıcılar gibi davranmak için belirteçleri çalar veya taklit eder; birçok ayrıcalık yükseltme tekniğinin temeli budur.

Windows bütünlük düzeyleri (Düşük, Orta, Yüksek, Sistem) atar. Kullanıcı Hesabı Denetimi (UAC), yöneticileri yükseltme yapana kadar Orta düzeyde çalıştırır.

UAC atlatmaları, bir istem olmadan Orta bütünlükten Yüksek bütünlüğe geçmek için yaygın bir adımdır.

Programlar paylaşılan kodu DLL'lerden yükler. Windows, bunları bulmak için belirli dizinleri sırayla arar.

Yazılabilir bir dizin önce geliyorsa saldırgan kötü amaçlı bir DLL yerleştirebilir; buna DLL ele geçirme / arama sırasını kötüye kullanma denir.

Microsoft'un Sysinternals paketi hem savunmacılar hem de saldırganlar için son derece değerlidir:

• Process Explorer - ayrıntılı işlem ağacı ve tanıtıcılar.
• Process Monitor - canlı dosya/kayıt defteri/işlem olayları.
• Autoruns - tüm otomatik başlatma konumları (kalıcılığı bulmak için idealdir).

Kimlik bilgilerini tutan işlemi hatırlayın.

Windows mimarisinin haritasını çıkardınız:

• Kullanıcı ve çekirdek modu; çekirdeğe ulaşmak tam denetim anlamına gelir.
• Başta kimlik bilgileri için lsass.exe olmak üzere temel işlemler.
• Hizmetler, erişim belirteçleri, bütünlük düzeyleri ve UAC.
• DLL arama sırasının kötüye kullanılması ve inceleme için Sysinternals.

Sırada: Windows Kayıt Defteri.