聽說本地Windows管理員可在沒有密碼的情況下劫持會話，這是如何實現(xiàn)的？如何阻止這中會話劫持？
Judith Myerson：如果攻擊者具有本地Windows管理員權(quán)限，則可在不知道用戶密碼的情況下，遠(yuǎn)程劫持用戶的會話。
如果目標(biāo)用戶被鎖定在其工作站之外，攻擊者可以訪問工作站。此操作要求攻擊者具有NT AUTHORITY/SYSTEM權(quán)限，他可使用whoami命令來查詢。同時，攻擊者必須設(shè)置遠(yuǎn)程桌面協(xié)議才能連接到受害者的機(jī)器。
在會話劫持開始之前，攻擊者進(jìn)入任務(wù)管理器的用戶選項來查看每個用戶賬戶的狀態(tài)，任務(wù)管理器比命令行更容易獲取用戶狀態(tài)。本地管理員賬戶需要始終處于活躍狀態(tài)，控制臺被分配作為會話名。例如，如果目標(biāo)用戶是銀行職員，他去就餐之前停止了會話，則攻擊者無法連接到員工的工作站。
在查看任務(wù)管理器后，攻擊者會打開命令提示符窗口，并輸入命令行來完成會話劫持。PsExec命令的參數(shù)（或選項）會被惡意更改，受害者的遠(yuǎn)程會話連接回到攻擊者，攻擊者返回任務(wù)管理器，并惡意訪問受害者的會話。當(dāng)受害者吃完午餐回來時，他不會知道自己已經(jīng)被劫持。
以色列研究人員Alexander Korznikov在Windows 2012和Windows 2008服務(wù)器以及Windows 10和Windows 7測試了這種類型的會話劫持攻擊。為了阻止這種類型的會話劫持攻擊，應(yīng)該建立組策略。此策略應(yīng)該包括防止非特權(quán)用戶獲得本地管理員權(quán)限，該策略還應(yīng)該阻止本地管理員返回用戶的遠(yuǎn)程會話。
京公網(wǎng)安備 11010502049343號