Windows Vista ve üzeri bir işletim sistemini metasploit-psexec oturumu açılabilir hale getirmeye geçmeden önce UAC (User Account Control, Kullanıcı Hesabı Kontrolü) güvenlik modülünden biraz bahsetmek faydalı olacaktır.
Microsoft, Windows Vista ile birlikte uygulamaya koyduğu UAC (User Account Control, Kullanıcı Hesabı Kontrolü) güvenlik modülü sayesinde işletim sisteminde yerel ve uzak erişim kapsamında bazı değişikliklere gitmiştir. Yerel yönetici grubuna dahil olsa dahi yerelde yapılacak, yönetici hakları gerektiren işlemler için kullanıcıdan onay alınmaktadır (örneğin; bir program yüklenmek istendiğinde kullanıcıdan istenen onay). Sistemde gömülü olarak gelen yerel yönetici hesabı (Administrator) için bu kısıtlama söz konusu değildir. Yönetici grubuna dahil kullanıcılar için, uzaktan yapılan ve yönetici hakları gerektiren işlemler (program yükleme gibi) yapılamamaktadır (uzak masaüstü bağlantısı için bu kısıtlama söz konusu değildir).
Üzerinde UAC güvenlik modülünün aktif olduğu cihazlara sysinternal psexec oturumu açılabilmektedir (yerel kullanıcı hesap bilgileri ile).
Böyle bir sisteme Metasploit-meterpreter oturumu açabilmek için iki yol izlenebilir; UAC’ı devre dışı bırakmak (bu değişikliğin uygulanması için sistemin yeniden başlatılması gerekmektedir ki bu önerilmez) veya UAC modülünden kurtulmak için politika tanımlamak.
Not: Bu değişiklikleri uygulayabilmek için yerel yönetici grubuna dahil bir kulanıcının hesabı ile sysinternal-psexec oturumu açmak gereklidir.
Politika tanımlayarak UAC’ı uzak işlemler için devre dışı bırakmak:
Komut satırından;
reg add HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciessystem /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
girilmesi yeterli olacaktır. Bu işlemden sonra Metasploit konsolundan exploit/windows/smb/psexec modülü aracılığı ile sistemde meterpreter oturumu açılabilecektir.
Not: Hedef sistemde meterpreter oturumunu engelleyecek başka sistemler bulunabilir (virüs programı, güvenlik duvarı, defender vs) bu sistemlerin ihtiyaç dahilinde kapatılması gerekebilir.
Hedef sistemde gerekli işlemler yapıldıktan sonra sistemin güvenlik mekanizmasını eski haline getirmek adına komut satırında,
reg delete HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciessystem /v LocalAccountTokenFilterPolicy
girilmesi yeterli olacaktır.
Referanslar:
http://support.microsoft.com/kb/951016/en-us
1 Yorum
süpermiş 🙂