آسیب پذیری MS16-047
آسیب پذیری MS16-047
در ارزیابی امنیتی سرور های داخلی یک سازمان معمولا این نوع آسیب پذیری در سرور های ویندوز وجود دارد. آسیب پذیری MS16-047 که در سال 2016 شناخته شد و ماکروسافت وصله امنیتی مورد نظر برای رفع این آسیب پذیری ارائه کرده است. این آسیب پذیری که در پروتکل های 1SAM و 2LSAD وجود دارد به دلیل ارتباط و تبادل نامناسب سطح دسترسی از طریق کانال های 3RPC می باشد که میتواند منجر به حمله از نوع افزایش سطح دسترسی4 گردد.
روش حمله
در صورتیکه یک نفوذگر بتواند با استفاده از تکنیک حمله مرد میانی ( Man-in-the-middle Attack ) ارتباط بین یک کلاینت و یک سرور دارای دیتابیس SAM را رهگیری کند میتواند با استفاده از بهره کشی این آسیبپذیری، سطح احراز هویت مورد نیاز را کاهش داده و خود را به عنوان یک کاربر احراز هویت شده وانمود کرده و به دیتابیس SAM ویندوز دسترسی غیرمجاز پیدا کند.
همانطور که در تصویر مشاهده میکنید :
ادمین شبکه بر یک کلاینت ویندوز لاگین میکند: سیستم از طریق RPC از End point mapper پورت مورد استفاده توسط DRSUAPI را درخواست میکند (1). سیستم میخواهد که از طریق یک ارتباط TCP دوم وصل شود (2). در این حالت نفوذگر با استفاده از تکنینک حمله مرد میانی این درخواست را به SAMR هدایت کرده، و سرور را وادار به پذیرش یک اتصال غیرامن نموده و بدین ترتیب کنترل کامل جلسه کاربر را در دست میگیرد. کلاینت مربوطه هیچ پیغام خطایی مشاهده نمیکند، بلکه فقط تلاش میکند تا به سرور متصل شود.
با بهره کشی از این آسیب پذیری امنیت شبکه داخلی می تواند به خطر جدی بیافتد زیرا مهاجم با دست گرفتن اکانت یک کاربر سیستم به اضافه کردن، پاک کردن و تغییر دادن فایل های داخل سیستم بپردازد.
_________________
1-Security Account Manager
2-Local Security Authority Domain Policy
3-Remote Procedure Call Channels
4-Privilege Escalation