Dnes jsem narazil na GitHubu na zajímavý bezpečnostní nástroj BeRoot.
Některé možnosti útoku, které ověřuje jsem dosud neznal a přitom jsou
poměrně jednoduché.

Co umí BeRoot For Windows? Zatím jsem nástroj příliš nezkoušel, ale
jeho dokumentace a popis možností útoku, které ověřuje mne poměrně
zaujaly. Pokud se zajímáte o bezpečnost, velmi jej dopiručuji vám si jej
přečíst a zvážit minimálně otestování tohoto nástroje.

Pro představu jak moc je tento nástroj užitečný a co vše může
kontrolovat si můžete představit ze tří témat, která mne zaujala
nejvíce.

Zneužití dlouhého názvu k aplikaci

Nástroj využívá triviální možné chyby u aplikací, kdy zneužije
funkce volání s chybně zadanou cestou bez uvozovek. Typická cesta
k aplikaci je:

„C:Program FilesMy CompanyMy Application.exe“

Pokud však bude volat tuto cestu, bez uvozovek

C:Program FilesMy CompanyMy Application.exe

Bude ve skutečnosti volat soubor

„C:Program.exe“

Pokud s tím bude útočník počítat a bude mít v této cestě
nachystaný škodlivý kód, bude úspěšný, může jej třeba i spustit
s právy správce …

Na základě výše uvedeného existují další podobné formy útoku,
například unesení knihovny DLL, apod.

Více informací na toto téma je v dokumentaci.

Zneužití odpovědního souboru Unattended.xml

Pokud automatizujete instalaci Windows, případně i dialog OOBE
(Out-of-Box Experience), může váš odpovědní soubor obsahovat hesla pro
účty s právy správce.

Typické umístění těchto souborů ve Windows 10 je

C:WindowsPan­therUnattended­.xml C:WindowsSys­tem32SysprepPan­therunattend­.xml

Odpovědní soubor Unattended.xml může obsahovat
v sekci 
definici místních účtů a jejich hesla. Heslo sice může být hashované,
ale hash lze snadno prolomit.

Existence odpovědních souborů Unattended.xml. tedy může představovat
bezpečnostní riziko.

Zneužití chybně nakonfigurované služby Windows Installer

Windows Installer je možné nakonfigurovat tak, že uživatel s právy User
(tedy bez práv správce) si může nainstalovat aplikaci skrze instalační
balíček MSI. Toto lze i s balíčkem určeným pro počítač (Per
Computer), tedy balíček, který pro svou instalaci by měl požadovat práva
správce.

Pokud je špatně nakonfigurována hodnota Alway­sInstallEleva­ted
v registru, může takto uživatel, třeba i nevědomky (nebo útočník),
nainstalovat MSI balíček se škodlivým kódem.

Odkazy

• BeRoot For Windows (anglicky)