Crassus أداة اكتشاف تصعيد الامتيازات لنظام Windows

بداية سريعة

1. في مراقب العمليات، حدد خيار Enable Boot Logging.
2. أعد تشغيل النظام.
3. بمجرد تسجيل الدخول واستقرار ويندوز، قم بتشغيل مراقب العمليات مرة أخرى.
4. عند المطالبة، احفظ سجل التمهيد، مثلاً في raw.PML.
5. أعد تعيين عامل التصفية الافتراضي لمراقب العمليات باستخدام Ctrl-R.
6. احفظ ملف السجل هذا، مثلاً في boot.PML.
7. شغّل Crassus.exe boot.PML.
8. افحص النتائج الملونة باللون الأخضر والإدخالات المقابلة في results.csv.

جدول المحتويات

• لماذا "Crassus"
  • هل قمت حقًا بصنع أداة اكتشاف تصعيد امتيازات أخرى؟
  • الميزات
  • مخطط الانسياب
• لقطات الشاشة
  • تشغيل Crassus
  • مخرجات CSV
  • الصادرات
  • وظائف DLL المُصدّرة
  • الأرقام الترتيبية لـ DLL المُصدّرة
• الحصول على Crassus.exe
  • البناء باستخدام Visual Studio
  • استخدام Crassus.exe المُجمّع مسبقًا
• الاستخدام
  • سير التنفيذ
  • وسائط سطر الأوامر
  • أمثلة
  • قالب الـ Proxy DLL
  • قالب openssl.cnf
• تجميع الـ Proxy DLLs
  • Visual Studio
  • MinGW
• أمثلة من العالم الحقيقي
  • Acronis True Image
  • Atlassian Bitbucket
  • McAfee
  • Microsoft SQL Server 2022
• استكشاف الأخطاء وإصلاحها
  • الملف المفقود لم يُنفّذ
  • الكود نُفّذ بامتيازات غير متوقعة
  • النتائج تختفي بعد إعادة التشغيل
• المساهمات
• الإسنادات

لماذا "Crassus"؟

صنعت Accenture أداة تُسمى Spartacus، والتي تكتشف فرص اختطاف DLL على ويندوز. باستخدام Spartacus كنقطة انطلاق، أنشأنا Crassus لتوسيع قدرات اكتشاف تصعيد الامتيازات في ويندوز إلى ما هو أبعد من مجرد البحث عن الملفات المفقودة. يمكن لـ ACLs التي تستخدمها ملفات وأدلة العمليات ذات الامتيازات أن تجد أكثر من مجرد البحث عن الملفات المفقودة لتحقيق الهدف.

هل قمت حقًا بصنع أداة اكتشاف تصعيد امتيازات أخرى؟

... ولكن مع لمسة مختلفة حيث أن Crassus يستخدم مراقب عمليات SysInternals ويقوم بتحليل ملفات PML الأولية. الاستخدام النموذجي هو إنشاء سجل تمهيد باستخدام مراقب العمليات ثم تحليله باستخدام Crassus. سيقوم أيضًا بإنشاء كود مصدر تلقائيًا لـ Proxy DLLs مع جميع الصادرات ذات الصلة لـ DLLs الضعيفة.

الميزات

• تحليل ملفات ProcMon PML بشكل أصلي. تم تنفيذ محلل السجل (PML) عن طريق ترحيل وظائف جزئية إلى C# من https://github.com/eronnen/procmon-parser/. يمكنك العثور على مواصفات التنسيق هنا.
• سيقوم Crassus بإنشاء كود مصدر لـ Proxy DLLs لجميع ملفات DLL المفقودة التي تم تحديدها. على سبيل المثال، إذا كان التطبيق عرضة لاختراق DLL عبر version.dll، فسوف ينشئ Crassus ملفي version.cpp و version.def لك مع جميع الصادرات المضمنة فيه. بشكل افتراضي، سيقوم الـ Proxy DLLs بتشغيل calc.exe. يتم تضمين نصوص بناء لبناء الـ DLLs على Visual Studio أو MinGW.
• بالنسبة للأحداث الأخرى المهمة، مثل إنشاء عملية أو تحميل مكتبة، يتم التحقق من قدرة المستخدمين غير المميزين على تعديل الملف أو أي جزء من المسار إلى الملف.
• قادر على معالجة ملفات PML كبيرة وتخزين جميع الأحداث المهمة في ملف CSV مخرجات.

مخطط الانسياب

يمكن تلخيص الفكرة العامة لكيفية عمل Crassus في هذا المخطط الانسيابي:

لقطات الشاشة

تشغيل Crassus

مخرجات CSV

الصادرات المخرجة

وظائف DLL المُصدّرة

الأرقام الترتيبية لـ DLL المُصدّرة

الحصول على Crassus.exe

البناء باستخدام Visual Studio

تم تطوير Crassus كمشروع Visual Studio 2019. لبناء Crassus.exe:

1. افتح Crassus.sln
2. اضغط Ctrl+Shift+B على لوحة المفاتيح

استخدام Crassus.exe المُجمّع مسبقًا

إذا كنت تثق في تشغيل كود الآخرين دون معرفة ما يفعله، فإن Crassus.exe متوفر في هذا المستودع.

الاستخدام

سير التنفيذ

1. في مراقب العمليات، حدد خيار Enable Boot Logging.
2. أعد تشغيل النظام.
3. بمجرد تسجيل الدخول واستقرار ويندوز، قم اختياريًا أيضًا بتشغيل المهام المجدولة التي قد تكون مهيأة للتشغيل بامتيازات.
4. شغّل مراقب العمليات مرة أخرى.
5. عند المطالبة، احفظ سجل التمهيد.
6. أعد تعيين عامل التصفية الافتراضي لمراقب العمليات باستخدام Ctrl-R.
7. احفظ ملف السجل هذا، مثلاً في boot.PML. سبب إعادة حفظ ملف السجل ذو شقين:
   1. الإصدارات الأقدم من مراقب العمليات لا تحفظ سجلات التمهيد كملف واحد.
   2. سجلات التمهيد بشكل افتراضي ستكون غير مفلترة، مما قد يحتوي على ضوضاء إضافية، مثل اختطاف DLL لمستخدم محلي عند تشغيل مراقب العمليات نفسه.

وسائط سطر الأوامر

الوسيطة	الوصف
<PMLFILE>	موقع (ملف) ملف سجل أحداث ProcMon الموجود.
--verbose	تفعيل الإخراج المفصل.
--debug	تفعيل إخراج التصحيح.

أمثلة

قم بتحليل سجل تمهيد مراقب العمليات المحفوظ في boot.PML. سيتم حفظ جميع المسارات الضعيفة كـ results.csv وجميع ملفات مصدر الـ Proxy DLL في الدليل الفرعي stubs.

C:\tmp> Crassus.exe boot.PML

قالب الـ Proxy DLL

أدناه هو القالب المستخدم عند إنشاء Proxy DLLs. بالنسبة لـ DLLs التي يعثر عليها Crassus، سيحتوي الـ Proxy DLL على نفس أسماء الصادرات كما هو محدد في %_EXPORTS_%، بالإضافة إلى نفس الأرقام الترتيبية كما هو محدد في ملف .def. سيكتشف Crassus ما إذا كان الـ DLL يحتاج إلى البناء كمكتبة 32 بت أم 64 بت من خلال النظر في بنية العملية الأم، ووضع علامة على الكود المصدري في حقل %_BUILD_AS_% وفقًا لذلك.

إذا تعذر العثور على الـ DLL الحقيقي باستخدام سجل مراقب العمليات، أو إذا كان اسم التصدير إشكاليًا، فستتراجع نصوص البناء إلى إنشاء DLL بدون صادرات محددة.

#pragma once

//%_BUILD_AS%

#include <windows.h>;

extern "C" {

  VOID Payload() {
      // قم بتشغيل الحمولة الخاصة بك هنا.
      WinExec("calc.exe", 1);
  }