微软JEA技术被攻破,可借此获得系统管理权限

Just Enough Administration (JEA)是微软一项安全技术,委托的管理员可通过它与 PowerShell处理任意操作。使用JEA,你可以:

  • 通过利用代表普通用户执行特权操作的虚拟帐户,减少你计算机上的管理员数量
  • 通过指定用户可运行的cmdlet、函数和外部命令,限制用户可执行的操作
  • 使用准确显示用户在会话中所执行命令的“即时权限提升”脚本,更好地了解你的用户进行的操作

安全研究员Matt Weeks发现通过微软Microsoft Just Enough Administration (JEA)技术的方法来升级用户配置文件成为系统管理员。

专家发表了一个有趣的分析解释,JEA并不能成为攻击者将自己提升为系统管理员的障碍。

“通过微软发布的每一季JEA简介,我发现可以绕过获得完整的系统权限,他们中的大多数是即时、可靠并且不需要任何特殊的配置。系统管理员创建自己的自定义配置文件几乎肯定不会做得更好的。”

Weeks展示了各种利用JEA的技术。在JEA Helper配置文件攻击当中,安全专家解释如何使用Add-Cimputer“cmdlet”(用于将计算机添加到域或切换域),打破了JEA安全屏障,并提升权限。

特别指出在此过程中Weeks没有利用任何0 day漏洞,他将一台机器添加或切换到一个域中,而后从受到攻击的域控制器内提取组策略,最终逐步让自己的配置文件获得不受限制的系统管理控制能力。

“您的计算机将被添加到域中。下一次重新启动,它会从你新的服务进行组策略设置,允许通过组策略配置更改任何设置,关闭防火墙,通过启动脚本执行任何命令或者计划任务,或直接登录域管理员。你打破了“安全屏障”并拥有了系统的完全权限“。

Weeks解释称,微软方面管理一套更为全面的JEA配置文件库。通过对GitHub上JEA说明文档的详尽查看(请注意,Weeks并没有使用http://aka.ms/jeadocs处的说明文档,他是以手动方式在github.com上对JEA进行搜索),他发现了位于GitHub上的一套秘密库。这套库中包含4种示例角色功能:“level 1”与“level 2”代表着常规服务器管理角色。

分析证实了现有的4个示例角色的能力:其中“level 1”与“level 2”为常规服务器管理角色,另外还包含IIS特殊level 1与level 2。

我用到了PowerShell命令

import-moduleservermanager

Install-WindowsFeature Web-Server

Install-WindowsFeature Web-ASP

Install-WindowsFeature Web-Asp-Net45

以安装IIS 与ASP.NET:” 这位专家在博文中写道。

microsoft-just-enough-administration-jea-technology

攻击者能够执行New-Service cmdlet以利用完整SYSTEM权限执行任何命令。其中Get-WinEvent与Get-EventLog cmdlet则允许攻击者以管理员方式访问事件日志,这无疑会带来严重的后果。

Weeks确认称,微软方面将更新其JEA说明文档以提供更多与JEA配置文件的细节描述,其中亦将包含获取管理访问权限的具体信息。

*来源:securityaffairs MottoIN翻译发布

原创文章,作者:Sam,如若转载,请注明出处:http://www.mottoin.com/news/90240.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code