آسیب پذیری MS16-047

آسیب پذیری MS16-047

در ارزیابی امنیتی سرور های داخلی یک سازمان معمولا این نوع آسیب پذیری در سرور های ویندوز وجود دارد. آسیب پذیری MS16-047 که در سال 2016 شناخته شد و ماکروسافت وصله امنیتی مورد نظر برای رفع این آسیب پذیری ارائه کرده است. این آسیب پذیری که در پروتکل های ¹SAM و ²LSAD وجود دارد به دلیل ارتباط و تبادل نامناسب سطح دسترسی از طریق کانال های ³RPC می باشد که میتواند منجر به حمله از نوع افزایش سطح دسترسی⁴ گردد.

روش حمله

در صورتیکه یک نفوذگر بتواند با استفاده از تکنیک حمله مرد میانی ( Man-in-the-middle Attack )  ارتباط بین یک کلاینت و یک سرور دارای دیتابیس SAM را رهگیری کند می­تواند با استفاده از بهره کشی این آسیب­پذیری، سطح احراز هویت مورد نیاز را کاهش داده و خود را به عنوان یک کاربر احراز هویت شده وانمود کرده و به دیتابیس SAM ویندوز دسترسی غیرمجاز پیدا کند.

همانطور که در تصویر مشاهده میکنید :

ادمین شبکه بر یک کلاینت ویندوز لاگین می­کند: سیستم از طریق RPC از End point mapper پورت مورد استفاده توسط DRSUAPI را درخواست می­کند (1). سیستم می­خواهد که از طریق یک ارتباط TCP دوم وصل شود (2). در این حالت نفوذگر با استفاده از تکنینک حمله مرد میانی این درخواست را به SAMR هدایت کرده، و سرور را وادار به پذیرش یک اتصال غیرامن نموده و بدین ترتیب کنترل کامل جلسه کاربر را در دست می­گیرد. کلاینت مربوطه هیچ پیغام خطایی مشاهده نمی­کند، بلکه فقط تلاش می­کند تا به سرور متصل شود.

با بهره کشی از این آسیب پذیری امنیت شبکه داخلی می تواند به خطر جدی بیافتد زیرا مهاجم با دست گرفتن اکانت یک کاربر سیستم به اضافه کردن، پاک کردن و تغییر دادن فایل های داخل سیستم بپردازد.

_________________

1-Security Account Manager

2-Local Security Authority Domain Policy

3-Remote Procedure Call Channels

4-Privilege Escalation