Интернетмагазин

 
169
Рис. 8.8
Обход контроля над учетной записью пользователя 
Windows обладает хорошо структурированным механизмом для управления 
привилегиями всех пользователей в сети и на локальной машине. У нее есть 
функция 
контроля учетных записей пользователей (UAC), которая действу-
ет как ворота между обычными пользователями и пользователями уровня ад-
министратора. Функция UAC используется для предоставления прав доступа 
программе, повышения их привилегий и запуска с привилегиями уровня ад-
министратора. Поэтому Windows всегда предлагает пользователям разрешать 
выполнение программ, которые хотят выполняться с этим уровнем доступа. 
Также примечательно, что только администраторы могут разрешить запуск 
программ с этими привилегиями. Поэтому обычному пользователю будет от-
казано в праве запускать программу с правами администратора.
Это похоже на отказоустойчивый механизм, при котором только админист-
раторы могут запускать программы с повышенными привилегиями, посколь-
ку они могут легко отличить вредоносные программы от подлинных. Однако 
в этом механизме обеспечения безопасности системы есть пробелы. Некото-

---

170  Повышение привилегий
рым программам Windows разрешено повышать привилегии или выполнять 
COM-объекты с повышенными правами без предварительного запроса поль-
зователя.
Например, rundl32.exe используется для загрузки кастомной DLL-библиотеки, 
которая загружает COM-объект с повышенными привилегиями. Она выполня-
ет файловые операции даже в защищенных каталогах, которые обычно тре-
буют от пользователя повышенных прав доступа, а это делает механизм UAC 
отрытым для компрометации, чем могут воспользоваться знающие злоумыш-
ленники. Те же процессы, которые используются для запуска программ Win-
dows без проверки подлинности, могут позволить вредоносному программно-
му обеспечению работать с правами администратора аналогичным образом. 
Злоумышленники могут внедрить вредоносный процесс в доверенный и тем 
самым получить преимущество от его запуска с правами администратора без 
необходимости запрашивать пользователя.
Существуют и другие способы, обнаруженные черными хакерами, которые 
можно использовать для обхода UAC. На GitHub было опубликовано множест-
во методов, которые потенциально могут быть использованы по отношению 
к UAC. Один из них – eventvwr.exe, который можно скомпрометировать, т. к. 
обычно он автоматически повышается при запуске, следовательно, в него мож-
но внедрить специфичный двоичный код или скрипты. Еще один подход к по-
беде над UAC – обычная кража учетных данных администратора. Механизм 
UAC считается единой системой безопасности, поэтому привилегии процесса, 
выполняющегося на одном компьютере, остаются неизвестными для побоч-
ных систем. Трудно поймать злоумышленников, неправомерно использующих 
учетные данные администратора для запуска процессов с привилегия ми вы-
сокого уровня.

Чтобы обойти UAC в Windows 7, также можно использовать uacscript, который легко 
скачать по адресу