Viime moduulissa kokeilimme regedit-työkalulla muuttaa Windows-rekisteriä kytkeäksemme virustorjunnan päälle, mutta rekisteriavaimeen kirjoitus ei onnistunut vaikka toimimme Administrator-tason oikeuksilla. Sitten teimme saman "Windows Security" -sovelluksella ja muutos onnistui. Mutta *miksi*?

## Procmon

Mark Russinovich niminen kaveri on tehnyt paljon hienoa työtä Windowsin sisälmysten parissa ja julkaisi aikanaan "Sysinternals" nimisen työkalupakin joka on tänä päivänäkin omiaan Windowsin toiminnan tutkimiseen.

Työkalut on asennettuna valmiiksi IIS1-palvelimelle. Aloitetaan tutkinta käynnistämällä "ProcMon" työkalu. Löydät sysinternals-työkalut sekä työpöydältä että C:\\SysinternalsSuite alta.

![](sanity:image-2e7643b281d54370bf40e11a16d31ea9033697b8-1458x1166-png)

Avaa "Procmon" ja hyväksy käyttöehdot jos tarvitsee.

Procmon seuraa reaaliajassa esimerkiksi tiedostojen ja rekisterin käsittelyä.

---

## Rekisteriavaimen monitorointi

Procmon voi näyttää aika paljon tapahtumia ja mielenkiintoiset tapahtumat hukkuvat helposti joukkoon. Tehdään siis filtteri joka rajaa tapahtumat niin että polku sisältää sanat "Real-Time Protection". Näin toivottavasti saadaan selville että kuka tai mikä kirjoittaa tuohon "**HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows Defender\\Real-Time Protection**" avaimeen ja millä oikeuksilla.

![](sanity:image-a6405415378c34628fa3eb707f12b85d0d8e4085-754x344-png)

![](sanity:image-23093583c6ba85fc724c8f0de60daf04f3cd3834-1140x678-png)

Filtterin lisättyäsi (muista klikata "Add") avaa regedit.exe kuten edellisessä moduulissa ja käy taas katsomassa tuon **HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows Defender\\Real-Time Protection **avaimen arvoa. Procmoniin pitäisi heti ilmestyä rekisteritapahtumia kuten **RegOpenKey** ja **RegCloseKey**.

![](sanity:image-acb11ef130a5ebae033385d257e3210ba85d760d-1516x814-png)

---

## Virustorjunnan kytkeminen

Avaa seuraavaksi "Windows Security" ja tyhjennä välillä havainnot välillä punaisella roskaämpärin kuvalla.

![](sanity:image-6bba14542a1ed3ed03f331c2a5de34abe4d638d8-1236x1194-png)

Kytke virustorjunta taas pois (Manage settings -> Real-Time protection -> Off).

![](sanity:image-580a46fe3e3d685a14fcb1de9f07f11305f2b853-988x394-png)

Tutki nyt ProcMon tuloksia. Kiinnitä huomiota "**RegSetValue**" tapahtumaan.

![](sanity:image-651428189481d191fed0faf1cd304f70c7ec10af-1300x220-png)

---

## Tapahtuman tutkiminen

Tuplaklikkaa rekisteritapahtuma auki ja avaa "Process" välilehti. Rekisteriavaimen päivitti siis "MsMpEng.exe" (Antimalware Service Executable) joka on ajossa SYSTEM-oikeuksilla. "Service Executable" viittaa palveluun (Windows Service) joten avataan palvelut seuraavaksi.

![](sanity:image-568f5f3a20c0b09e28cb18e0cfcd6a00603a6084-1482x938-png)

---

## Palvelut

Windows-palvelut ovat ohjelmia tai prosesseja, jotka toimivat taustalla Microsoft Windows -käyttöjärjestelmässä. Ne suorittavat erilaisia tehtäviä ja toimintoja, kuten tiedostojen jakamista, verkkoyhteyksien hallintaa, tulostamista, suojausta ja järjestelmänvalvontaa.

Windows-palvelut voidaan käynnistää automaattisesti käynnistyksen yhteydessä tai niitä voi käynnistää käsin tarpeen mukaan. Ne toimivat itsenäisesti tai vuorovaikutuksessa muiden palveluiden ja ohjelmien kanssa. Monet järjestelmäkomponentit ja sovellukset luottavat Windows-palveluihin toimiakseen oikein.

Voit hallita Windows-palveluja käyttämällä "Palvelut" -hallintatyökalua, johon pääset avaamalla "Suorita" -valikon (Windows-näppäin + R) ja kirjoittamalla "services.msc". Täältä voit käynnistää, pysäyttää, keskeyttää tai määrittää palvelujen käynnistystavan, kuten automaattisen, manuaalisen tai poiston.

Avaa tämä näkymä nyt. Selaa alaspäin kunnes löydät "Windows Defender Antivirus Service" palvelun ja tuplaklikkaa se auki.

![](sanity:image-577237d2f4abab4d1f30ebd119195a93930077f2-1962x1116-png)

Huomaa että "executable" on juurikin "MsMpEng.exe" ja käyttäjä on "SYSTEM".

![](sanity:image-46e6b67593c96acdb9bd97941dbc1af5e8227506-788x458-png)

![](sanity:image-2233a92f602142cc7f916d41648c1a07387e9f66-796x304-png)

---

## SYSTEM käyttäjä

System, LocalSystem tai "NT Authority/System" tarkoittavat kaikki samaa asiaa, Windowsin "SYSTEM"-käyttäjätili' ("JÄRJESTELMÄ"-käyttäjätili) joka on erityinen ja korkein käyttäjätili Microsoft Windows -käyttöjärjestelmässä. Se on osa järjestelmän ydintoimintoja ja sillä on laaja hallintaoikeus koko järjestelmään.

"SYSTEM"-käyttäjätili on erillään tavallisista käyttäjätileistä ja järjestelmänvalvojan ("Administrator") tileistä. Se on luotu järjestelmän asennuksen yhteydessä ja sillä on pääsy järjestelmätiedostoihin, järjestelmän rekisteriin, palveluihin ja muihin järjestelmän resursseihin.

Tätä käyttäjätiliä käytetään erityisesti Windowsin ydinprosessien ja -palveluiden suorittamiseen. Monet taustalla toimivat palvelut ja prosessit toimivat "SYSTEM"-käyttäjätilin oikeuksilla. Se on tarpeen, jotta järjestelmän kriittiset toiminnot voivat toimia oikein ja varmistaa järjestelmän vakauden.

---

## Summa summarum

Ratkaisu mysteeriin on siis, että "Windows Security" sovellus kommunikoi Windows Defenderin SYSTEM-käyttäjänä ajossa olevan palvelun kanssa joka teki muutoksen rekisteriin. Miten kommunikointi tarkalleen tapahtui sovelluksen ja palvelun välillä jää mysteeriksi toiseen kertaan.

@exercise af440a25c2c8


Tämä on skenaario, älä turhaan sulje sitä saman kurssialueen (Skenaario 1) sisällä ettet menetä edistymistäsi. Lisääthän aikaa tarvittaessa. Skenaariolla voi kestää jokunen minuutti käynnistyä, odotathan kärsivällisesti.

Evilcorp - Skenaario 1

Procmon, Palvelut ja Administrator vs. SYSTEM -oikeudet

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Procmon, Palvelut ja Administrator vs. SYSTEM -oikeudet

Hakkeroinnin oppiminen alkaa tästä