如何一分鐘內輕鬆劫持Windows帳戶附操作步驟

3月20日訊 國外安全研究人員亞歷山大·科茲尼科夫已經公佈了一種能夠輕鬆獲取最高階別網路訪問許可權，而不需要任何密碼的方法。

亞歷山大·科茲尼科夫在一篇博文中指出，諸如系統許可權管理員等高許可權使用者能夠利用內建命令列工具劫持另一登入使用者的會話，即使其擁有更高許可權。而如果其他登入使用者為域管理員，則對其會話進行劫持將允許本地管理員完全訪問包括域服務在內的整個網路。

他警告稱，利用這項技術，管理員將能夠在不觸發任何警告的情況下完成會話劫持。

亞歷山大·科茲尼科夫指出，他的這項技術方案不僅能夠用於劫持更高許可權使用者的會話，同時還可用於幫助系統管理員獲取低許可權帳戶的訪問能力，例如用於訪問高敏感度企業應用程式或者企業資料庫。

亞歷山大·科茲尼科夫舉例解釋：

“銀行僱員可以使用計費系統及其憑證進行登入。假設這位僱員登入至計費系統並開始工作，而後在午餐時間離開並將自己的工作站裝置鎖定。這時，系統管理員能夠利用自己的帳戶登入至該工作站。儘管根據銀行規定，管理員不應訪問計費系統; 但在Windows的內建命令中，管理員完全能夠在不進行解鎖的前提下劫持員工桌面。也就能夠在該計費系統中隨意操作，且擁有與對應僱員相等的一切許可權。”

整個過程只需要半分鐘左右即可完成，感興趣的朋友可以點選此處檢視由其釋出的概念驗證視訊。

亞歷山大·科茲尼科夫將此稱為一項“高危安全漏洞”，但他自己也承認，他並不確定這到底屬於嚴重缺陷抑或是Windows內有意為之的正常功能。

微軟公司在其說明文件內解釋了亞歷山大·科茲尼科夫在報告中所提及的各款命令列工具的適用範圍與限制，並表示該工具會在使用者輸入錯誤密碼後失效。然而亞歷山大·科茲尼科夫對此予以否認。

正常功能抑或Bug？一分鐘內輕鬆劫持Windows帳戶 附操作步驟 – E安全

安全研究人員凱文·博蒙特在推文中確認了這項bug，並表示劫持帳戶確實“非常輕鬆”。

亞歷山大·科茲尼科夫稱，他已經在Windows 7、Windows 10以及Windows Server 2008與Windows Server 2012 R2上測試了這項bug，凱文·博蒙特則表示這項bug實際上在目前全部受支援的Windows版本上皆可奏效。

不過亞歷山大·科茲尼科夫尚未將這項問題報告給微軟公司。他表示：

“攻擊者並不需要使用metasploit、incognito或者mimikatz等常見的使用者憑證操縱或者登入模擬工具，每一項操作都通過內建命令進行。每一位管理員都能夠冒充任何登入使用者以實現對其系統的本地物理或者遠端桌面訪問。遺憾的是，我並不確定該如何進行修復，也提不出什麼有效的建議。向微軟報告後需要等待六個月才能讓問題得以解決，而我希望儘快向大家發出通道。”

亞歷山大·科茲尼科夫只是類似問題的發現者之一。早在2011年，法國安全研究人員本傑明·德爾就曾經公佈過類似的會話劫持漏洞。

之後，微軟公司的發言人表示，這項所謂缺陷“並不屬於安全漏洞，因為其需要在裝置上獲得本地管理許可權。”

附安全研究詳情
能夠獲得NT AUTHORITY/SYSTEM命令執行許可的高許可權使用者可輕鬆劫持任何已登入使用者的會話，且無需瞭解其登入憑證。終端服務會話可處於連線或者斷開狀態。

此項高危安全漏洞允許任何本地管理員實現如下會話劫持與訪問能力：

1. 域管理員會話。
2. 劫持使用者正在處理且尚未儲存的任何文件。
3. 任何被劫持使用者此前曾經登入的其它系統/應用程式（可能包括其它遠端桌面會話、網路共享對映、要求其它憑證方可登入的應用程式以及電子郵件等）。

此項安全漏洞被證實作用於：

Windows 2012 R2
Windows 2008
Windows 10
Windows 7

概念驗證：
微軟公司的官方說明文件幫助我們利用以下命令列操作完成測試：

https://technet.microsoft.com/en-us/library/cc771505(v=ws.11).aspx
我們只需要 NT AUTHORITY/SYSTEM 命令列。

最簡單的方法為使用psexec，但其要求存在psexec.exe檔案：

psexec -s localhost cmd
另一種方法為建立一項負責與全部選定會話對接的服務。

1、獲取全部會話資訊:

C:Windowssystem32>query user USERNAME SESSIONNAME ID STATE IDLE TIME LOGON TIME administrator 1 Disc 1 3/12/2017 3:07 PM>localadmin rdp-tcp#55 2 Active . 3/12/2017 3:10 PMC:Windowssystem32>
2、 建立用於劫持使用者會話的服務:

C:Windowssystem32>sc create sesshijack binpath= “cmd.exe /k tscon 1 /dest:rdp-tcp#55″[SC] CreateService SUCCESS
3、啟動此服務:

net setart sesshijack
在此之後，您的當前會話將被替換為目標會話。

本文轉自d1net（轉載）