• 0
حازم مفيد

ثغرات ( تخطي الصلاحيات ) في Win32

سؤال

بسم الله الرحمن الرحيم

السلام عليكم ورحمة الله وبركاتة

كل عام وانتم بخير . ان شاء الله تكونوا بخير وصحة وسلامة نبدا ندخل في موضوعنا .

المـقدمـة :

في البداية طبعا لابد ان نفهم ما خطورة هذه الثغرات وما عملها ؟

هذه الثغرة من الثغرات العالية الخطورة حيث تمكن المخترق بان يستخدم صلاحيات الجذر لتنفيذ اي برنامج خبيث داخل السيرفر

** في هذا الموضوع سوف اشرح طريقة من طرق اكتشاف هذه الثغرة **

كيف يتم استغلالها :

يتم استغلال هذا النوع من الثغرات اما ان تكون هناك ثغرة في النظام نفسه او ان يكون هناك برنامج مصاب يعمل كخدمة ( service ) تعمل عند بداية الجهاز او السيرفر

الادوات :

* برنامج procexp

الشرح على برنامج مصاب :

البرنامج المصاب : Epson Status Monitor

حسنا لنقوم بتثبيت البرنامج على الجهاز الخاص بنا ونقوم بفتح برنامج procexp حسنا الان لننظر الى الملف الذي يعمل للبرنامج في الخدمات الاساسية للنظام

حسنا ها هو اسم الخدمة : EPSON_EB_RPCV4_01

حسنا سوف نقوم بتنفيذ الامر :

sc qc [service name]

هذا الامر يقوم بالكشف عن مسار الملف الذي يعمل كخدمة اساسية للنظام

سيكون امرنا النهائي هكذا

sc qc EPSON_EB_RPCV4_01

سيظهر لنا الاتي


SERVICE_NAME: EPSON_EB_RPCV4_01
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : EPSON V5 Service4(01)
DEPENDENCIES : RpcSs
SERVICE_START_NAME : LocalSystem
[SC] QueryServiceConfig SUCCESS

حسنا مسار الملف الذي يعمل كخدمة ها هو :

C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE

الان لنقوم بالكشف عن صلاحيات هذا الملف عن طريق الامر

cacls "file path"

سيكون الامر النهائي هكذا

cacls "C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE"

انظر الان الى الخطا الفادح انظر الى صلاحيات الملف


Everyone:F
 C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE 

كما شاهدت ان صلاحياته

Everyone:F

حيث ان F تعني Full Control اذن هنا الخطا الفادخ والثغرة

حسنا الان ماذا لو قمنا بتبديل الملف هذا

C:\Documents and Settings\All Users\Application Data\EPSON\EPW!3 SSRP\E_S40ST7.EXE

بملف خبيث ؟؟ ( بنفس الاسم طبعا )

هذا مثال لبرنامج غير مصاب وهو Eset Smart Security

لنرى ملف البرنامج الذي يعمل كخدمة في النظام : ekrn.exe

لنكشف عن صلاحياته


C:\Program Files\ESET\ESET Smart Security\ekrn.exe BUILTIN\Users:R
BUILTIN\Administrators:F
NT AUTHORITY\SYSTEM:F
cacls "C:\Program Files\ESET\ESET Smart Security\ekrn.exe"

اكيد فهمت الان الفكرة الان في هذا برنامج eset الغير مصاب وجدنا ان صلاحيات ال user العادي فقط القرائة وليس هو الحال ك Administrator :F

ان شاء الله اكون وفقت في الشرح .

------------------

الثغرة موجودة في Milw0rm

--------------------

من اخوكم : حازم مفيد

والسلام عليكم ورحمة الله وبركاتة

تم تعديل بواسطه حازم مفيد
2

شارك هذا الرد


رابط المشاركة
شارك الرد من خلال المواقع ادناه

3 إجابة على هذا السؤال .

  • 0

مشكور جدا

جزاك الله كل خير

0

شارك هذا الرد


رابط المشاركة
شارك الرد من خلال المواقع ادناه

من فضلك سجل دخول لتتمكن من التعليق

ستتمكن من اضافه تعليقات بعد التسجيل



سجل دخولك الان

  • يستعرض القسم حالياً   0 members

    لا يوجد أعضاء مسجلين يشاهدون هذه الصفحة .