אבטחת RDP עבור צוות תמיכה טכנית
Restricted Admin Mode

תמלול ההרצאה: אבטחת RDP עבור צוות תמיכה טכנית Restricted Admin Mode

הטקסט המלא של הדקות הראשונות בהרצאה «אבטחת RDP עבור צוות תמיכה טכנית Restricted Admin Mode» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בסרטון קודם ראינו שבחיבור RDP רגיל אנחנו ממש ממש יכולים לשלוף את ה-hash של אדמיניסטרטור מתוך זיכרון של מחשב היעד של הקורבן זאת אומרת אדמיניסטרטור התחבר לאיזושהי תחנה ב-RDP ואנחנו כאקרים שולטים על התחנה הזאת אז אנחנו נצליח להשתלט על ה-hash של אדמיניסטרטור הזה

2. 00:26

   כי פרוטוקול RDP פשוט מאוד משדר לי את ה-hash של אדמיניסטרטור במעמד ההתחברות אז איך מגינים נגד זה איך אפשר להתחבר ב-RDP בלי לשדר את ה-hash והתשובה היא מאוד מאוד פשוטה כמו כל הסרוויסים כמו שיתוף קבצים או כמו sql שהם לא דורשים hash של היוזר כדי להתחבר הם עובדים עם טיקטים רגילים

3. 00:50

   עם קרברוס ועם הסרוויס טיקט או עם ntlm challenge response בכל מקרה אף אחד לא משדר את הסיסמה או את ה-hash של הסיסמה ליד רק rdp המשוגע הזה מבצע את הדבר המסוכן הזה כברירת מחדל אז מה אנחנו עושים אנחנו רוצים להתחבר בעצם כמו שאנחנו מתחברים לשרת הקבצים נניח פייל סרבר ואנחנו מתחברים ומטיילים בפייל סרבר ושימו לב אני לא שידרתי

4. 01:17

   לו את הסיסמה שלי ולא את ההאש הבאתי לו טיקט של קרברוס לשירות סיף והתחברתי לשם או שהייתי עושה צ'לנג' ורספונס הייתי מצפין את האתגר שלו אבל בכל מקרה לא הייתי משדר ליעד הזה את הסיסמה שלי אז למה שלא נהפוך את ה-RDP שלנו לשירות רשת רגיל שיעבוד כמו כולם עם עימות NTLME או עימות קרברוסי וזה אכן אפשרי רק צריך לשים את הרג'יסטרי

5. 01:42

   הזה שנקרא disable restrict admin עם 0 לתוך הרג'יסטרי לעדכן את הרג'יסטרי ברגע שאני עושה את הפקודה הזאת ושם את הכי הזה ברג'יסטרי דרך אגב אם אתם רוצים לראות אותו בואו נראה לכם ניכנס ל-regedit כמובן שאני כאדמיניסטרטור של הרשת עושה את זה מראש ואני דואג שיהיה לי פה את הכי הזה Disable Restricted Admin עם אפס.

6. 02:07

   ברגע שיהיה לי את זה, Remote Desktop יעבוד בתצורה שונה, בתצורת רשת רגילה, בנוסף לתצורה המקורית שלו. הוא ידע גם וגם. האמת שברגע שהפעלנו את הכי הזה, יש לנו שתי אופציות.

7. 02:20

   אחת זה לעבוד ב-Restricted Admin, והשנייה ב-Remote Guard. בואו נתחיל ב-Restricted Admin. קודם כל, אני צריך לכתוב ב-MSTSE לעבוד לא ברימור דסקטופ רגיל אלא סלאש רסטריקטד אדמין לעבוד איתו בתצורה חדשה לא במקור שבו שולחים שם וסיסמה ליעד סלאש v אתם לא חייבים לשים אפשר גם בלי אם אתם לא שמים סלאש v הוא פשוט

8. 02:43

   ישאל אתכם לאן להתחבר אם הייתם שמים סלאש v הוא לא היה שואל ישר היה מתחבר שימו לב עכשיו אני עושה קונקט והוא לא ישאל אותי שם והסיסמה שמתם לב הוא לא שואל אם אני אעשה שנייה אחת x ואני אתנתק ואני אסגור ואני אכתוב mstse בלי restricted admin הוא כן שואל אותי שם

9. 03:02

   וסיסמה כי הוא הולך לשדר את זה ליד אני עושה cancel, סוגר ומפעיל שוב mstse הפעם עם restricted admin שימו לב ברסטריקטד אדמין הוא לא הולך לשאול אותי שם וסיסמה כי הוא לא הולך לשדר את זה לשמה בכלל הוא רק אומר לי תיזהר אתה הולך להעיף את היוזר

10. 03:19

    שמחובר כרגע בתוך הווינדוס ההוא אני עושה לו yes אין בעיה מעיפים את היוזר שמחובר שמה היוזר שמחובר שמה יכול לבטל את הניתוק של עצמו שלא ינתקו אותו או לעשות אוקיי ולתת לאחרים להתחבר במקומו תגידו לי מה השתנה?

11. 03:37

    מה זה משנה? כתבת רסטריקטד אדמין? לא כתבת רסטריקטד אדמין? איפה ההבדל? זה באמת נראה שזה הכל אותו דבר אבל אם תעשו קייליסט עכשיו תסתכלו משהו מאוד מאוד מוזר יש לי TGT אבל לא של היוזר הרגיל אלא של המחשב זאת אומרת שגם אם האקר יגנוב לי את ה-TGT

12. 03:57

    או את ה-Hash, הוא יגנוב את ה-TGT או את ה-Hash של המחשב הזה, לא של היוזר. למרות שהתחברתי כיוזר, הוא חיבר אותי אחרי העימות עם חשבון מחשב בלבד.

13. 04:11

    זה אומר שהאקר לא יוכל ליהנות מכל מה שמותר ליוזר, אלא רק מתוך מה שמותר למחשב. וגם ככה הוא שולט על המחשב הזה, אז הוא לא הרוויח כלום.

14. 04:22

    בואו תראו מה קורה בתוך מימיקאץ רק לפני כן נבדוק שאנטיווירוס לא חזר לנו אחרי הריסטארט כי כשמפעילים את הכי הזה של הרג'יסטרי חייבים לעשות ריסטארט ואנטיווירוס יכול לחזור אחרי הריסטארט והוא אכן חזר ואז אני אומר לאנטיווירוס הזה פה להיות מנותק עד שאני אלמד לתכנת את המימיקאץ בעצמי ולשנות אותו כך שאף אחד לא יעלה עליי בינתיים אני מנתק את האנטיווירוס

15. 04:47

    נכנס לקונן C למימיקאץ להפעיל אותו, Run as Administrator, יש, איזה סשן אני צריך, בואו נבדוק ב-Task Manager, ב-Users, אני צריך את הסשן של דייוויד, Right Click ID, לראות שזה סשן מספר 2, אז אני רוצה לגנוב את ה-hash של הסשן מספר 2, שלפני כן ראינו שזה עבד, אפשר היה לגנוב את ה-hash, בואו נראה מה קורה עכשיו,

16. 05:10

    נעבור למצב דיבאג, למזלנו אלסאס לא מוגן, אז אפשר לשפוך את כל הסיסמאות, אנחנו מחפשים רימוט אינטראקטיב פרום 2 נכון פרום 2 אנחנו מחפשים כן פרום 2 כי אנחנו מחפשים מדיוויד הזה לגנוב לו את הה של הסיסמה שלו אני מגלגל למעלה רואה פרום 1 מגלגל עוד למעלה הנה פרום 2 אבל זה משהו של המערכת זה יוזר

17. 05:35

    של פונד דרייבר לא כל כך מעניין אותי גם הפרום 2 הזה כי זה אינטראקטיב של ווינדו מנאג'ר אתם רואים יש פה כמה יוזרים שפועלים במקביל על אותו ווינדוס ולכל אחד יש את פרטי העימות שלו, פרטי ההזדהות, וזה מה שחיפשתי, Remote Interactive From 2, תחת דיוויד,

18. 05:54

    והנה ה-hash 336A. של מי ה-hash הזה 336A? בואו נלך שנייה לקאלי ונבדוק את זה, כי בקאלי יש לנו את ה-impact secrets dump, ששפך לי את כל ה-hashים של כל היוזרים ושל כל המחשבים, ואני מחפש מה?

19. 06:11

    אני מחפש 336A. הנה הוא, 3-3-6-a, זה ה-hash. של מי ה-hash הזה? בואו נראה, זה של המחשב. שמתם לב שהאקר הצליח לגנוב את ה-hash של המחשב, שגם ככה יש לו אותו כי הוא שולט על