👩🏽‍🔧 🔇 ↔️ रेड टीम रणनीति: आक्रामक संचालन में उन्नत प्रक्रिया निगरानी तकनीक ⛰️ 👩🏽‍⚖️ 🚚

फिर से हैलो। पेंटेस्ट की पूर्व संध्या पर । पेनेट्रेशन टेस्टिंग प्रैक्टिस ” ने आपके लिए एक और दिलचस्प सामग्री का अनुवाद किया।

इस लेख में, हम जाने-माने प्रक्रिया निगरानी उपयोगिताओं की क्षमताओं को समझने जा रहे हैं और प्रदर्शित करते हैं कि रेड टीम के आक्रामक अभियानों के लिए इन उपकरणों को अंतर्निहित तकनीक का उपयोग कैसे करें।

सिस्टम की एक अच्छी तकनीकी समझ जिस पर हम भरोसा करते हैं, ऑपरेशन के अगले चरण के बारे में निर्णय लेने के लिए एक महत्वपूर्ण मानदंड है। समझौता प्रणालियों में चल रही प्रक्रियाओं पर डेटा का संग्रह और विश्लेषण हमें जानकारी का खजाना देता है और हमें यह समझने में मदद करता है कि लक्ष्य संगठन का आईटी बुनियादी ढांचा कैसे काम करता है। इसके अलावा, समय-समय पर अनुरोध की गई प्रक्रिया डेटा हमें पर्यावरण परिवर्तनों का जवाब देने और जांच शुरू होने पर ट्रिगर सिग्नल प्राप्त करने में मदद करती है।

समझौता समापन बिंदुओं पर प्रक्रियाओं के बारे में विस्तृत डेटा एकत्र करने में सक्षम होने के लिए, हमने ऐसे उपकरणों का एक समूह बनाया जो उन्नत प्रक्रिया उपयोगिताओं और C2 चौखटे (जैसे कोबाल्ट स्ट्राइक) की शक्ति को एक साथ लाया।

उपकरण (और उनके स्रोत कोड) यहां देखे जा सकते हैं ।

विंडोज आंतरिक प्रणाली उपयोगिताएँ

शुरू करने के लिए, हम यह पता लगाएंगे कि कौन सी उपयोगिताओं का उपयोग विंडोज पर कंप्यूटर प्रक्रियाओं के बारे में जानकारी एकत्र करने के लिए किया जा सकता है। हम तब सीखते हैं कि ये उपयोगिताओं की जानकारी कैसे एकत्र करते हैं ताकि बाद में उनका उपयोग रेड टीम टूलकिट में किया जा सके।

विंडोज ऑपरेटिंग सिस्टम सिस्टम को प्रशासित करने के लिए कई तैयार उपयोगिताओं से सुसज्जित है। यद्यपि प्रदान किए गए अधिकांश उपकरण बुनियादी सिस्टम प्रशासन उद्देश्यों के लिए उपयुक्त हैं, उनमें से कुछ में उन्नत समस्या निवारण और निगरानी के लिए आवश्यक कार्य नहीं हैं। उदाहरण के लिए, विंडोज टास्क मैनेजर हमें सिस्टम में चल रही सभी प्रक्रियाओं के बारे में बुनियादी जानकारी देता है, लेकिन क्या होगा यदि हमें किसी विशिष्ट प्रक्रिया के भाग के रूप में लोड किए गए ऑब्जेक्ट डिस्क्रिप्टर, नेटवर्क कनेक्शन, या मॉड्यूल जैसी अधिक विस्तृत जानकारी की आवश्यकता है?

ऐसी जानकारी एकत्र करने के लिए अधिक उन्नत उपकरण है। उदाहरण के लिए, Sysinternals पैकेज के सिस्टम उपयोगिताओं। नेटवर्क और सिस्टम प्रशासन में व्यापक अनुभव के साथ एक रेड टीम के सदस्य के रूप में, मैं हमेशा Sysinternals का बहुत बड़ा प्रशंसक रहा हूं।

धीमी गति से चलने वाले सर्वर सिस्टम या एक संक्रमित क्लाइंट कंप्यूटर को समस्याग्रस्त करते समय, मैं अक्सर प्रोसेस एक्सप्लोरर या प्रोकॉन जैसे टूल का उपयोग करके समस्या का निवारण करने लगा।
डिजिटल फोरेंसिक के दृष्टिकोण से, ये उपकरण मालवेयर नमूनों के बुनियादी गतिशील विश्लेषण करने और संक्रमित सिस्टम में कलाकृतियों की खोज के लिए भी बहुत उपयोगी लगते हैं। तो ये उपकरण सिस्टम प्रशासक के साथ-साथ सुरक्षा पेशेवरों के बीच इतने लोकप्रिय क्यों हैं? चलो यह पता लगाते हैं, कुछ प्रक्रिया की जानकारी में देरी जो हम प्रोसेस एक्सप्लोरर टूल का उपयोग करके प्राप्त कर सकते हैं।

प्रोसेस एक्सप्लोरर का उपयोग करना

प्रक्रिया एक्सप्लोरर को शुरू करते समय हम पहली चीज देखते हैं जो सिस्टम की सभी चल रही प्रक्रियाओं की एक सूची / पेड़ है। इससे हमें प्रक्रियाओं के नाम, उनके पहचानकर्ता, उपयोगकर्ता के संदर्भ और प्रक्रिया की अखंडता के स्तर और संस्करण की जानकारी मिलती है। कॉलम के अनुसार समायोजन करके अतिरिक्त जानकारी भी परिलक्षित हो सकती है।

यदि हम नीचे के पैनल का उपयोग करते हैं, तो हम एक विशेष प्रक्रिया द्वारा लोड किए गए सभी मॉड्यूल को देखने में सक्षम होंगे, या प्रक्रिया को देखने के लिए उपयोग किए जाने वाले सभी नामित वर्णनकर्ता वस्तुओं से परिचित होने के लिए विवरणों को देखने के लिए स्विच कर सकते हैं:

मॉड्यूल को ब्राउज़ करना उपयोगी हो सकता है जब प्रक्रिया में लोड किए गए दुर्भावनापूर्ण पुस्तकालयों की खोज होती है, या रेड टीम के लिए यह एक सक्रिय सुरक्षा उत्पाद है (उदाहरण के लिए, ईडीआर) जिसने उपयोगकर्ता मोड में एपीआई कनेक्शन मॉड्यूल को लागू किया है।

विवरणों को देखने के लिए स्विच करने से आप इस प्रक्रिया में उपयोग की जाने वाली सभी नामित वस्तुओं के प्रकार और नाम से परिचित हो सकते हैं। यह पता लगाने के लिए उपयोगी हो सकता है कि कौन सी फाइलें और रजिस्ट्री कुंजी खुली हुई हैं, जिसे नामांकित पाइप का उपयोग इंटरप्रोसेस संचार के लिए किया जाता है।
यदि आप प्रक्रिया के नाम पर डबल-क्लिक करते हैं, तो अधिक विस्तृत जानकारी वाली विंडो दिखाई देगी। आइए ऑब्जेक्ट के अतिरिक्त गुणों के बारे में जानने के लिए कुछ टैब देखें: छवि

टैबबाइनरी पथ, कार्यशील निर्देशिका और कमांड लाइन विकल्पों के बारे में जानकारी प्रदर्शित करता है। इसके अलावा, यह उपयोगकर्ता के संदर्भ, मूल प्रक्रिया, छवि का प्रकार (x86 या x64) और बहुत कुछ के बारे में जानकारी प्रदर्शित करता है। थ्रेड्स

टैब में प्रक्रिया में चल रहे थ्रेड्स के बारे में जानकारी होती है। जब आप एक स्ट्रीम चुनते हैं और फिर उस पर क्लिक करते हैं, तो स्टैक बटन इस विशेष स्ट्रीम के लिए कॉल स्टैक को प्रतिबिंबित करेगा। कर्नेल मोड में लॉन्च किए गए थ्रेड / कॉल को देखने के लिए, प्रोसेस एक्सप्लोरर कर्नेल ड्राइवर का उपयोग करता है, जो एलिवेटेड मोड में काम करने पर स्थापित होता है।

DFIR के दृष्टिकोण से, थ्रेड जानकारी स्मृति में इंजेक्शन का पता लगाने के लिए उपयोगी है, उदाहरण के लिए, जब फ़ाइल-मुक्त वायरस का खतरा होता है। इस प्रकार, डिस्क पर फ़ाइलों द्वारा समर्थित नहीं होने वाली धाराएं संदिग्ध व्यवहार का संकेत दे सकती हैं। थ्रेड्स और मेमोरी के बारे में अधिक जानकारी के लिए, मैं अत्यधिक प्रोसेस हैकर टूल पर ध्यान देने की सलाह देता हूं ।

प्रोसेस एक्सप्लोरर में एक और दिलचस्प टैब टीसीपी / आईपी टैब है। इस पर आपको इस प्रक्रिया से जुड़े सभी नेटवर्क कनेक्शन दिखाई देंगे। एक हमले के दृष्टिकोण से, यह समझने के लिए उपयोगी हो सकता है जब एक समझौता प्रणाली से कनेक्शन बनाया जाता है। आने वाले पॉवरशेल रिमोट सत्र या आरडीपी सत्र संकेत दे सकता है कि जांच शुरू हो चुकी है।

हमले के लिए चर्चा की गई विधियों का उपयोग करना

अब जब हमने प्रक्रियाओं के बारे में कुछ दिलचस्प चीजें सीख ली हैं, और प्रक्रिया एक्सप्लोरर का उपयोग करके हम उनके बारे में जो जानकारी एकत्र कर सकते हैं, उसके बारे में आप आश्चर्यचकित हो सकते हैं कि इस जानकारी को हमारे पसंदीदा C2 फ्रेमवर्क से कैसे एक्सेस किया जाए। बेशक, हम पावरशेल का उपयोग कर सकते हैं, क्योंकि इससे हमें एक शक्तिशाली स्क्रिप्टिंग भाषा और विंडोज एपीआई का उपयोग करने का अवसर मिलेगा। हालांकि, आज पावरशेल सुरक्षा सेवा की निरंतर निगरानी में है, इसलिए हम इस पद्धति से बचने की कोशिश करते हैं।

में कोबाल्ट हड़ताल, हम बीकन के संदर्भ में ps आदेश का उपयोग कर सकते हैं। यह कमांड सिस्टम में चल रही सभी प्रक्रियाओं के आधार पर प्रक्रिया के बारे में बुनियादी जानकारी प्रदर्शित करता है। एक स्क्रिप्ट के संयोजन में @r3dQu1nn ProcessColor, यह विधि प्रक्रिया डेटा प्राप्त करने के लिए सबसे अच्छा होने की संभावना है।

पीएस कमांड से आउटपुट जल्दी से चलने वाली प्रक्रियाओं को छांटने के लिए उपयोगी है, लेकिन उनमें विस्तृत जानकारी शामिल नहीं है जो आपको सिस्टम को बेहतर ढंग से समझने में मदद करेगी। अधिक विस्तृत जानकारी एकत्र करने के लिए, हमने प्रक्रियाओं के बारे में जानकारी प्राप्त करने के लिए अपनी स्वयं की उपयोगिताओं का निर्माण किया। उनकी मदद से, हम समझौता किए गए सिस्टम से प्राप्त जानकारी एकत्र और समृद्ध कर सकते हैं।

पी एस उपकरण

प्रक्रिया एक्सप्लोरर जैसे उपकरण द्वारा प्रदान की गई कार्यक्षमता और जानकारी को दोहराना आसान नहीं है। पहले हमें यह पता लगाने की आवश्यकता है कि ये उपकरण हुड (और उपयोगकर्ता मोड में) के तहत कैसे काम करते हैं, फिर हमें यह समझने की आवश्यकता है कि कंसोल में इस जानकारी को बेहतर तरीके से कैसे प्रतिबिंबित किया जाए, न कि ग्राफिकल इंटरफ़ेस में।

स्रोत कोड का विश्लेषण करने के बाद, यह स्पष्ट हो गया कि सिस्टम की जानकारी प्रदान करने के लिए कई निम्न-स्तर के उपकरण काफी हद तक देशी NtQuerySystem विरूपण एपीआई पर आधारित हैं । हालाँकि, API और उससे जुड़ी संरचनाएँ पूरी तरह से प्रलेखित नहीं हैं, फिर भी यह API आपको विंडोज सिस्टम के बारे में बहुत सारी जानकारी एकत्र करने की अनुमति देता है। तो NtQuerySystemInformation का उपयोग कर रहा हैसिस्टम में चल रही प्रक्रियाओं के बारे में जानकारी एकत्र करने के लिए एक शुरुआती बिंदु के रूप में, हम उनमें से प्रत्येक के बारे में विस्तृत जानकारी एकत्र करने के लिए व्यक्तिगत प्रक्रियाओं के PEB का उपयोग करेंगे । NtQueryInformationProcess API का उपयोग करके , हम PROCESS_BASIC_INFORMATIONप्रक्रिया विवरणक का उपयोग करके संरचना को पढ़ सकते हैं और इसे पा सकते हैं PebBaseAddress। फिर हम NtReadVirtualMemoryसंरचना को पढ़ने के लिए एपीआई का उपयोग करते हैं RTL_USER_PROCESS_PARAMETERS, जो हमें मापदंडों ImagePathNameऔर CommandLineप्रक्रिया का पता लगाने की अनुमति देगा ।

इन APIs को हमारे कोड की नींव के रूप में उपयोग करते हुए, हमने प्रक्रियाओं के बारे में जानकारी प्राप्त करने के लिए निम्नलिखित उपकरण लिखे हैं:

Psx : सिस्टम पर चल रही सभी प्रक्रियाओं की एक विस्तृत सूची दिखाता है।
पीएससी : लोड किए गए ड्राइवरों सहित कर्नेल जानकारी प्रदर्शित करता है।
Psc: TCP-.
Psm: ( , ).
Psh: (, , ).
Psw: .

ये सभी उपकरण C में परावर्तक DLL के रूप में लिखे गए हैं और इन्हें C2 फ्रेमवर्क का उपयोग करके एक स्पावर्ड प्रक्रिया में प्रतिबिंबित किया जा सकता है, जैसे कोबाल्ट स्ट्राइक (या कोई अन्य ढांचा जो चिंतनशील DLL इंजेक्शन का समर्थन करता है)। कोबाल्ट स्ट्राइक के लिए, हमने एक आक्रामक स्क्रिप्ट जोड़ी है जिसका उपयोग कोबाल्ट स्ट्राइक स्क्रिप्ट प्रबंधक का उपयोग करके उपकरण लोड करने के लिए किया जा सकता है।

आइए कार्यक्षमता को प्रदर्शित करने के लिए कोबाल्ट स्ट्राइक में लॉन्च किए गए प्रत्येक विशिष्ट टूल को देखें और दिखाएं कि इसके साथ क्या जानकारी एकत्र की जा सकती है:

Psx

यह उपकरण सिस्टम पर चल रही सभी प्रक्रियाओं की एक विस्तृत सूची दिखाता है। आउटपुट की तुलना प्रोसेस एक्सप्लोरर मेन स्क्रीन की जानकारी से की जा सकती है। Psx प्रक्रिया का नाम, उसकी आईडी, माता-पिता PID, निर्माण समय, और प्रक्रिया की द्विआधारी फ़ाइलों (वास्तुकला, कंपनी का नाम, संस्करण, आदि) से संबंधित जानकारी प्रदर्शित करता है। जैसा कि आप देख सकते हैं, यह सिस्टम के सक्रिय कर्नेल के बारे में कुछ दिलचस्प जानकारी भी प्रदर्शित करता है, उदाहरण के लिए, कर्नेल का आधार पता, जो कर्नेल को संचालित करते समय उपयोगी होता है (उदाहरण के लिए, आरओपी गैजेट के ऑफसेट की गणना करने के लिए)। यह सभी जानकारी एक सामान्य उपयोगकर्ता संदर्भ (विशेषाधिकारों के उन्नयन के बिना) से एकत्र की जा सकती है।

यदि हमारे पास प्रक्रिया विवरणक को खोलने के लिए पर्याप्त अनुमति है, तो आप अतिरिक्त जानकारी पढ़ सकते हैं, जैसे कि उपयोगकर्ता का संदर्भ और उसके टोकन का अखंडता स्तर। पीईबी और संबंधित संरचनाओं की गणना करने से आप छवि पथ और कमांड लाइन मापदंडों के बारे में जानकारी प्राप्त

कर सकते हैं : जैसा कि आपने देखा होगा, हम बाइनरी प्रक्रिया छवियों से संस्करण जानकारी पढ़ते हैं और प्रदर्शित करते हैं, उदाहरण के लिए, कंपनी का नाम और विवरण। कंपनी का नाम जानने के बाद, आप सिस्टम में सभी सक्रिय सुरक्षा उत्पादों को आसानी से सूचीबद्ध कर सकते हैं। इस उपकरण का उपयोग करते हुए, हम सभी सक्रिय प्रक्रियाओं की कंपनियों के नामों की तुलना सुरक्षा उत्पादों के प्रसिद्ध आपूर्तिकर्ताओं की सूची के साथ करते हैं और परिणाम प्रदर्शित करते हैं:

पीएसके

यह टूल सभी लोड किए गए ड्राइवर मॉड्यूल सहित चल रहे कर्नेल के बारे में जानकारी को दर्शाता है। Psx टूल की तरह, यह भी जाने-माने सुरक्षा उत्पादों से सभी लोड किए गए कर्नेल मॉड्यूल का सारांश प्रदान करता है।

PSC

यह उपकरण Psx के रूप में सक्रिय प्रक्रियाओं के बारे में जानकारी प्रदर्शित करने के लिए समान विधियों का उपयोग करता है , सिवाय इसके कि यह केवल सक्रिय नेटवर्क कनेक्शन (IPv4, IPv6 TCP, RDP, ICA) के साथ प्रक्रियाओं को प्रदर्शित करता है:

PSM

आप किसी विशिष्ट प्रक्रिया के बारे में विस्तृत जानकारी प्राप्त करने के लिए इस उपकरण का उपयोग कर सकते हैं। यह प्रक्रिया और नेटवर्क कनेक्शन द्वारा उपयोग किए जाने वाले सभी मॉड्यूल (DLL) की एक सूची प्रदर्शित करेगा:

Psh

Psm के समान , लेकिन लोड किए गए मॉड्यूल के बजाय, यह प्रक्रिया विवरणकर्ताओं की एक सूची दिखाता है:

PSW

अंतिम लेकिन कम से कम महत्वपूर्ण Psw उपकरण नहीं है । यह उपकरण सक्रिय विंडो हैंडल के साथ प्रक्रियाओं की एक सूची दिखाएगा, जो उपयोगकर्ता के डेस्कटॉप पर खुले हैं, जिसमें विंडो शीर्षक भी शामिल है। यह निर्धारित करने के लिए उपयोगी है कि डेस्कटॉप के स्क्रीनशॉट लेने के बिना उपयोगकर्ता कौन से ग्राफ़िकल एप्लिकेशन को खोलता है:

बक्सों का इस्तेमाल करें

आप आश्चर्यचकित हो सकते हैं: "और यह सब आक्रामक अभियानों में हमारी मदद कैसे करता है?" समझौता किए गए संपत्ति तक पहुंचने के बाद, हम आमतौर पर इस जानकारी का उपयोग निम्नलिखित उद्देश्यों के लिए करते हैं:

एक समझौता किए गए संपत्ति पर सुरक्षा उपकरण का पता लगाएं। न केवल प्रक्रिया की जानकारी के द्वारा, बल्कि लोड किए गए मॉड्यूल द्वारा भी।
कस्टम हुक इंजन का पता लगाना।
युद्धाभ्यास के लिए अवसरों (नेटवर्क सत्रों के माध्यम से) और विशेषाधिकारों को बढ़ाना।

पहले समझौते के बाद, आप समय-समय पर प्रक्रियाओं के बारे में समान जानकारी का अनुरोध कर सकते हैं और ट्रिगर बनाना शुरू कर सकते हैं। उदाहरण के लिए, हम स्वचालित रूप से इस जानकारी को RedELK में दर्ज करते हैं । फिर आप प्रक्रिया की जानकारी में संदिग्ध परिवर्तनों के बारे में अलर्ट बना सकते हैं, जैसे:

सुरक्षा ऑडिट टूल लॉन्च करें या नया एंड-पॉइंट सुरक्षा उत्पाद स्थापित करें।
RDP सत्र या दूरस्थ PowerShell के माध्यम से सुरक्षा विभाग से इनबाउंड नेटवर्क कनेक्शन।
हमारी दुर्भावनापूर्ण कलाकृतियों में से एक पर एक अन्य प्रक्रिया द्वारा एक हैंडल खोलना (उदाहरण के लिए, उपस्थिति को संरक्षित करने के लिए उपयोग की जाने वाली एक फ़ाइल)।

निष्कर्ष

इस लेख में, हमने दिखाया कि सिस्टम पर चलने वाली प्रक्रियाओं के बारे में विस्तृत जानकारी प्राप्त करने के लिए Sysinternals Process Explorer जैसे उपकरणों का उपयोग कैसे किया जा सकता है, और यह जानकारी कैसे व्यवस्थापकों और सुरक्षा पेशेवरों को समस्या निवारण और सुरक्षा समस्याओं की जांच करने में मदद कर सकती है या प्रदर्शन।

रेड टीम के लिए भी वही जानकारी प्रासंगिक और उपयोगी है, जिनकी संचालन के दौरान समझौता प्रणालियों तक पहुंच है। यह आपके लक्ष्य की प्रणाली और आईटी अवसंरचना को बेहतर ढंग से समझने में मदद करता है, और इस तरह की प्रणाली की आवधिक पूछताछ रेड टीम को पर्यावरण में संभावित परिवर्तनों (उदाहरण के लिए, एक जांच ट्रिगर) का जवाब देने की अनुमति देती है।

हमने प्रक्रिया एक्सप्लोरर जैसे उपकरणों द्वारा प्रदान की गई कुछ कार्यक्षमता को दोहराया है, इसलिए हम आक्रामक संचालन में समान जानकारी का उपयोग कर सकते हैं। ऐसा करने के लिए, कई प्रक्रिया निगरानी उपकरण बनाए गए हैं जिनका उपयोग C2 ढांचे के हिस्से के रूप में किया जा सकता है, उदाहरण के लिए कोबाल्ट स्ट्राइक। हमने दिखाया कि इन उपकरणों का उपयोग कैसे किया जाता है और आप उन्हें इकट्ठा करने के लिए कौन सी जानकारी का उपयोग कर सकते हैं।

ये उपकरण हमारे GitHub पेज पर उपलब्ध हैं और कोबाल्ट स्ट्राइक के हिस्से के रूप में उपयोग करने के लिए तैयार हैं।

पाठ्यक्रम के बारे में अधिक जानें।

रेड टीम रणनीति: आक्रामक संचालन में उन्नत प्रक्रिया निगरानी तकनीक