Mityczny “uprzywilejowany zegar”

Zabawię się w pogromcę mitów... Dość często różni “znawcy” bezpieczeństwa Windows podają prosty przykład na uruchomienie programu z prawami użytkownika SYSTEM jako dowód na to, że system jest niebezpieczny. Problem w tym, że... nie jest to żadna podatność.

Metoda ta opiera się na wykorzystaniu polecenia at oraz Schedule service. Uruchomienie programu z prawami użytkownika SYSTEM jest proste, wystarczy wydać polecenie w stylu: at HH:MM /interactive cmd.exe , gdzie HH:MM oznacza godzinę, o której program (w tym przypadku konsola) ma się uruchomić. Program uruchamiany w ten sposób uruchamia się rzeczywiście z prawami SYSTEM. Problem? Nie bardzo: C:>at 07:51 /interactive cmd.exe Access is denied. Tak, zwykły użytkownik nie może skorzystać z at , a więc nie może eskalować swoich uprawnień do poziomu SYSTEM.

A co z administratorem? Przecież SYSTEM to więcej niż Administrator. Tak, ale:

Sterowniki urządzeń pracują (zwykle) w trybie jądra, a to więcej niż praca z uprawnieniami SYSTEM.

Podsumowując – pokazywanie, że z poziomu administratora można uruchomić kod z prawami użytkownika SYSTEM może i jest trendy na podwórku forum, w praktyce jednak nie wnosi to NIC.

Oryginał tego wpisu dostępny jest pod adresem Mityczny “uprzywilejowany zegar”

Autor: Paweł Goleń