ثغرات ( تخطي الصلاحيات ) في Win32 Privilege Escalation : www.منقول.com

بسم الله الرحمن الرحيم
السلام عليكم ورحمة الله وبركاتة

كل عام وانتم بخير . ان شاء الله تكونوا بخير وصحة وسلامة نبدا ندخل في موضوعنا .

المـقدمـة :

في البداية طبعا لابد ان نفهم ما خطورة هذه الثغرات وما عملها ؟
هذه الثغرة من الثغرات العالية الخطورة حيث تمكن المخترق بان يستخدم صلاحيات الجذر لتنفيذ اي برنامج خبيث داخل السيرفر
** في هذا الموضوع سوف اشرح طريقة من طرق اكتشاف هذه الثغرة **

كيف يتم استغلالها :
يتم استغلال هذا النوع من الثغرات اما ان تكون هناك ثغرة في النظام نفسه او ان يكون هناك برنامج مصاب يعمل كخدمة ( service ) تعمل عند بداية الجهاز او السيرفر

الادوات :

* برنامج procexp

الشرح على برنامج مصاب :

البرنامج المصاب : Epson Status Monitor

حسنا لنقوم بتثبيت البرنامج على الجهاز الخاص بنا ونقوم بفتح برنامج procexp حسنا الان لننظر الى الملف الذي يعمل للبرنامج في الخدمات الاساسية للنظام
حسنا ها هو اسم الخدمة : EPSON_EB_RPCV4_01

حسنا سوف نقوم بتنفيذ الامر :

plain text

sc qc [service name]

هذا الامر يقوم بالكشف عن مسار الملف الذي يعمل كخدمة اساسية للنظام
سيكون امرنا النهائي هكذا

plain text

sc qc EPSON_EB_RPCV4_01

سيظهر لنا الاتي

plain text

[SC] QueryServiceConfig SUCCESS
         SERVICE_NAME: EPSON_EB_RPCV4_01
         TYPE                      : 10  WIN32_OWN_PROCESS
         START_TYPE              : 2   AUTO_START
         ERROR_CONTROL    : 1   NORMAL
         BINARY_PATH_NAME   : C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE
         LOAD_ORDER_GROUP   :
         TAG                            : 0
         DISPLAY_NAME      : EPSON V5 Service4(01)
         DEPENDENCIES      : RpcSs
         SERVICE_START_NAME : LocalSystem

حسنا مسار الملف الذي يعمل كخدمة ها هو :

plain text

C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE

الان لنقوم بالكشف عن صلاحيات هذا الملف عن طريق الامر

plain text

cacls "file path"

سيكون الامر النهائي هكذا

plain text

cacls "C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE"

انظر الان الى الخطا الفادح انظر الى صلاحيات الملف

plain text

 C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE 
                                  Everyone:F

كما شاهدت ان صلاحياته
Everyone:F
حيث ان F تعني Full Control اذن هنا الخطا الفادخ والثغرة

حسنا الان ماذا لو قمنا بتبديل الملف هذا

plain text

C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE

بملف خبيث ؟؟ ( بنفس الاسم طبعا )

هذا مثال لبرنامج غير مصاب وهو Eset Smart Security

لنرى ملف البرنامج الذي يعمل كخدمة في النظام : ekrn.exe

لنكشف عن صلاحياته

plain text

cacls "C:\Program Files\ESET\ESET Smart Security\ekrn.exe"
 C:\Program Files\ESET\ESET Smart Security\ekrn.exe BUILTIN\Users:R
                                                                                                                                                                                           BUILTIN\Administrators:F
                                                                                                                                                                                                   NT AUTHORITY\SYSTEM:F

ثغرات ( تخطي الصلاحيات ) في Win32 Privilege Escalation

الناقل : elmasry | الكاتب الأصلى : حازم مفيد | المصدر : www.arabteam2000-forum.com