Ένας λευκός κατάλογος εφαρμογών είναι μια λίστα εγκεκριμένων λογισμικών ή εκτελέσιμων αρχείων που επιτρέπεται να υπάρχουν και να εκτελούνται σε ένα σύστημα. Ο στόχος είναι να προστατευθεί το περιβάλλον από κακόβουλο κακόβουλο λογισμικό και μη εγκεκριμένο λογισμικό που δεν συμμορφώνεται με τις συγκεκριμένες επιχειρηματικές ανάγκες μιας οργάνωσης.
Το [AppLocker](https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/applocker/what-is-applocker) είναι η λύση της Microsoft για τον λευκό κατάλογο εφαρμογών και δίνει στους διαχειριστές συστήματος έλεγχο επί των εφαρμογών και των αρχείων που μπορούν να εκτελέσουν οι χρήστες. Παρέχει λεπτομερή έλεγχο επί εκτελέσιμων αρχείων, σεναρίων, αρχείων εγκατάστασης του εγκαταστάτη των Windows, DLL, εφαρμογών που έχουν συσκευαστεί και εγκαταστάτες συσκευασμένων εφαρμογών.\
Συχνά, οι οργανισμοί αποκλείουν το cmd.exe και το PowerShell.exe και την πρόσβαση εγγραφής σε συγκεκριμένους καταλόγους, αλλά όλα αυτά μπορούν να παρακαμφθούν.
Αυτή η διαδρομή του μητρώου περιέχει τις ρυθμίσεις και τις πολιτικές που εφαρμόζονται από το AppLocker, παρέχοντας έναν τρόπο γιανα ελεγχθεί το τρέχον σύνολο των κανόνων που επιβάλλονται στο σύστημα:
* Χρήσιμοι **Φάκελοι εγγράψιμοι**γιανα παρακαμφθεί η πολιτική του AppLocker: Εάν το AppLocker επιτρέπει την εκτέλεση οτιδήποτε μέσα στο `C:\Windows\System32` ή `C:\Windows`, υπάρχουν **φάκελοι εγγράψιμοι** που μπορείτε να χρησιμοποιήσετε γιανα**παρακάμψετε αυτό**.
* Συνήθως, οι δυαδικοί αρχείοι **"LOLBAS's"** που θεωρούνται αξιόπιστοι μπορούν να χρησιμοποιηθούν γιανα παρακάμψουν το AppLocker.
*Οι κακογραμμένοι κανόνες μπορούν επίσης να παρακαμφθούν.
* Για παράδειγμα, **`<FilePathCondition Path="%OSDRIVE%*\allowed*"/>`**, μπορείτε να δημιουργήσετε έναν φάκελο με το όνομα `allowed` οπουδήποτε και θα επιτραπεί.
*Οι οργανισμοί συχνά επικεντρώνονται στο να αποκλείουν το εκτελέσιμο `%System32%\WindowsPowerShell\v1.0\powershell.exe`, αλλά ξεχνούν τις **άλλες** [**τοποθεσίες εκτελέσιμων αρχείων PowerShell**](https://www.powershelladmin.com/wiki/PowerShell\_Executables\_File\_System\_Locations) όπως `%SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe` ή `PowerShell_ISE.exe`.
*Η επιβολή DLL σπάνια είναι ενεργοποιημένη λόγω του επιπρόσθετου φόρτου που μπορεί να θέσει σε ένα σύστημα και της ποσότητας δοκιμών που απαιτούνται γιανα διασφαλιστεί ότι τίποτα δεν θα χαλάσει. Έτσι, η χρήση των DLL ως πίσω πόρτα θα βοηθήσει στην παράκαμψη του AppLocker.
* Μπορείτε να χρησιμοποιήσετε το [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) ή το [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) γιανα εκτελέσετε κώδικα Powershell σε οποιαδήποτε διεργασία και να παρακάμψετε το AppLocker. Για περισσότερες πληροφορίες, ανατρέξτε στο: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
Η LSA θα είναι αυτή που θα **ελέγξει** τα παρεχόμενα διαπιστευτήρια μέσα στο αρχείο **SAM** (για μια τοπική σύνδεση) και θα **επικοινωνήσει** με τον **ελεγκτή τομέα**γιανα πιστοποιήσει έναν χρήστη του τομέα.
Τα**διαπιστευτήρια** αποθηκεύονται μέσα στη διεργασία **LSASS**: εισιτήρια Kerberos, κατακερματισμένοι κωδικοί NT και LM, εύκολα αποκρυπτογραφημένοι κωδικοί πρόσβασης.
Ο [**Microsoft Defender**](https://en.wikipedia.org/wiki/Microsoft\_Defender) είναι ένα αντιιικό πρόγραμμα που είναι διαθέσιμο στα Windows 10 και Windows 11, καθώς και σε εκδόσεις των Windows Server. Αποκλείει κοινά εργαλεία δοκιμής διείσδυσης όπως το **`WinPEAS`**. Ωστόσο, υπάρχουν τρόποι να παρακαμφθούν αυτές οι προστασίες.
Για να ελέγξετε την κατάσταση του **Defender**, μπορείτε να εκτελέσετε την εντολή PS **`Get-MpComputerStatus`** (ελέγξτε την τιμή του **`RealTimeProtectionEnabled`** γιανα μάθετε αν είναι ενεργό):
Το EFS ασφαλίζει τα αρχεία μέσω κρυπτογράφησης, χρησιμοποιώντας ένα **συμμετρικό κλειδί** γνωστό ως **Κλειδί Κρυπτογράφησης Αρχείου (FEK)**. Αυτό το κλειδί κρυπτογραφείται με το **δημόσιο κλειδί** του χρήστη και αποθηκεύεται μέσα στην εναλλακτική ροή δεδομένων $EFS του κρυπτογραφημένου αρχείου. Όταν απαιτείται αποκρυπτογράφηση, χρησιμοποιείται το αντίστοιχο **ιδιωτικό κλειδί** του ψηφιακού πιστοποιητικού του χρήστη γιανα αποκρυπτογραφηθεί το FEK από τη ροή $EFS. Περισσότερες λεπτομέρειες μπορούν να βρεθούν [εδώ](https://en.wikipedia.org/wiki/Encrypting_File_System).
- Όταν τα αρχεία ή οι φάκελοι μεταφέρονται σε ένα αρχείο συστήματος μη-EFS, όπως το [FAT32](https://en.wikipedia.org/wiki/File_Allocation_Table), αποκρυπτογραφούνται αυτόματα.
-Τα κρυπτογραφημένα αρχεία που αποστέλλονται μέσω του πρωτοκόλλου SMB/CIFS αποκρυπτογραφούνται πριν τη μετάδοση.
Αυτή η μέθοδος κρυπτογράφησης επιτρέπει την **άμεση πρόσβαση** στα κρυπτογραφημένα αρχεία για τον ιδιοκτήτη. Ωστόσο, η απλή αλλαγή του κωδικού πρόσβασης του ιδιοκτήτη και η σύνδεση δεν επιτρέπουν την αποκρυπτογράφηση.
Ελέγξτε αν ένας **χρήστης** έχει **χρησιμοποιήσει** αυτήν την **υπηρεσία** ελέγχοντας αν υπάρχει αυτή η διαδρομή: `C:\users\<όνομα_χρήστη>\appdata\roaming\Microsoft\Protect`
Ελέγξτε **ποιος** έχει **πρόσβαση** στο αρχείο χρησιμοποιώντας την εντολή `cipher /c \<αρχείο>\`
Μπορείτε επίσης να χρησιμοποιήσετε τις εντολές `cipher /e` και `cipher /d` μέσα σε έναν φάκελο γιανα**κρυπτογραφήσετε** και **αποκρυπτογραφήσετε** όλα τα αρχεία
Αυτός ο τρόπος απαιτεί τον **χρήστη θύμα**να**εκτελεί** ένα **διαδικασία** μέσα στον υπολογιστή. Αν αυτό ισχύει, χρησιμοποιώντας μια συνεδρία `meterpreter` μπορείτε να προσομοιώσετε το διαπιστευτήριο της διεργασίας του χρήστη (`impersonate_token` από το `incognito`). Ή μπορείτε απλά να`migrate` στη διεργασία του χρήστη.
Η Microsoft ανέπτυξε τους **Διαχειριζόμενους Λογαριασμούς Ομάδας Υπηρεσιών (gMSA)**γιανα απλοποιήσει τη διαχείριση των λογαριασμών υπηρεσίας στις υποδομές IT. Αντίθετα με τους παραδοσιακούς λογαριασμούς υπηρεσίας που συχνά έχουν ενεργοποιημένη τη ρύθμιση "**Ο κωδικός ποτέ δεν λήγει**", οι gMSA προσφέρουν μια πιο ασφαλή και διαχειρίσιμη λύση:
- **Αυτόματη Διαχείριση Κωδικού**: Οι gMSA χρησιμοποιούν έναν πολύπλοκο κωδικό μήκους 240 χαρακτήρων που αλλάζει αυτόματα σύμφωνα με την πολιτική του τομέα ή του υπολογιστή. Αυτή η διαδικασία χειρίζεται από την Υπηρεσία Διανομής Κλειδιών (KDC) της Microsoft, εξαλείφοντας την ανάγκη για χειροκίνητες ενημερώσεις κωδικού.
- **Ενισχυμένη Ασφάλεια**: Αυτοί οι λογαριασμοί είναι ανθεκτικοί στο κλείδωμα και δεν μπορούν να χρησιμοποιηθούν για διαδραστικές συνδέσεις, ενισχύοντας την ασφάλειά τους.
- **Υποστήριξη Πολλαπλών Υπολογιστών**: Οι gMSA μπορούν να κοινοποιηθούν σε πολλούς υπολογιστές, καθιστώντας τους ιδανικούς για υπηρεσίες που λειτουργούν σε πολλούς διακομιστές.
Επίσης, ελέγξτε αυτήν την [ιστοσελίδα](https://cube0x0.github.io/Relaying-for-gMSA/) σχετικά με το πώς να εκτελέσετε μια επίθεση **NTLM relay**γιανα**διαβάσετε** τον **κωδικό πρόσβασης** του **gMSA**.
Η**Λύση Τοπικού Διαχειριστή Κωδικού Πρόσβασης (LAPS)**, διαθέσιμη για λήψη από την [Microsoft](https://www.microsoft.com/en-us/download/details.aspx?id=46899), επιτρέπει τη διαχείριση των τοπικών κωδικών πρόσβασης του διαχειριστή. Αυτοί οι κωδικοί πρόσβασης, οι οποίοι είναι **τυχαίοι**, μοναδικοί και **αλλάζουν τακτικά**, αποθηκεύονται κεντρικά στο Active Directory. Η πρόσβαση σε αυτούς τους κωδικούς περιορίζεται μέσω των ACLs σε εξουσιοδοτημένους χρήστες. Με την απονομή επαρκών δικαιωμάτων, παρέχεται η δυνατότητα ανάγνωσης των τοπικών κωδικών πρόσβασης.
Η [**Λειτουργία Περιορισμένης Γλώσσας PowerShell**](https://devblogs.microsoft.com/powershell/powershell-constrained-language-mode/) **περιορίζει πολλές από τις λειτουργίες** που απαιτούνται για την αποτελεσματική χρήση του PowerShell, όπως ο περιορισμός των COM αντικειμένων, η επιτροπή μόνο εγκεκριμένων τύπων .NET, οι ροές εργασίας βασισμένες σε XAML, οι κλάσεις PowerShell και άλλα.
Η παράκαμψη είναι μια τεχνική που χρησιμοποιείται γιανα παρακάμψει τις ασφαλείς μηχανισμούς πιστοποίησης και πρόσβασης σε ένα σύστημα. Με την παράκαμψη, ο χάκερ μπορεί να αποκτήσει πρόσβαση σε προνομιακές λειτουργίες ή πληροφορίες χωρίς την απαιτούμενη πιστοποίηση.
Υπάρχουν διάφορες τεχνικές παράκαμψης που μπορούν να χρησιμοποιηθούν, όπως η εκμετάλλευση ευπαθειών στο λογισμικό, η χρήση κακόβουλου λογισμικού ή η απάτη των χρηστών γιανα αποκτήσουν πρόσβαση σε πιστοποιητικά ή διαπιστευτήρια.
Οι χάκερ μπορούν επίσης να χρησιμοποιήσουν τεχνικές παράκαμψης γιανα παρακάμψουν τον έλεγχο του χρήστη (UAC) ή το σύστημα αρχείων κρυπτογράφησης (EFS) σε ένα σύστημα Windows. Αυτό τους επιτρέπει να αποκτήσουν πρόσβαση σε προνομιακές λειτουργίες ή κρυπτογραφημένα αρχεία χωρίς την απαιτούμενη πιστοποίηση ή κλειδί αποκρυπτογράφησης.
Στα τρέχοντα Windows αυτή η παράκαμψη δεν θα λειτουργήσει, αλλά μπορείτε να χρησιμοποιήσετε το [**PSByPassCLM**](https://github.com/padovah4ck/PSByPassCLM).\
**Για να το μεταγλωττίσετε, μπορεί να χρειαστεί να** _**Προσθέσετε μια Αναφορά**_ -> _Περιήγηση_ -> _Περιήγηση_ -> προσθέστε `C:\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Management.Automation\v4.0_3.0.0.0\31bf3856ad364e35\System.Management.Automation.dll` και **αλλάξτε το έργο σε .Net4.5**.
Μπορείτε να χρησιμοποιήσετε το [**ReflectivePick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) ή το [**SharpPick**](https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerPick) γιανα εκτελέσετε κώδικα Powershell σε οποιαδήποτε διεργασία και να παρακάμψετε την περιορισμένη λειτουργία. Για περισσότερες πληροφορίες ανατρέξτε στο: [https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode](https://hunter2.gitbook.io/darthsidious/defense-evasion/bypassing-applocker-and-powershell-contstrained-language-mode).
Η SSPI έχει τον ρόλο να βρει το κατάλληλο πρωτόκολλο για δύο μηχανές που θέλουν να επικοινωνήσουν. Η προτιμώμενη μέθοδος για αυτό είναι το Kerberos. Στη συνέχεια, η SSPI θα διαπραγματευτεί ποιο πρωτόκολλο πιστοποίησης θα χρησιμοποιηθεί. Αυτά τα πρωτόκολλα πιστοποίησης ονομάζονται Πάροχοι Υποστήριξης Ασφάλειας (SSP) και βρίσκονται μέσα σε κάθε μηχάνημα Windows σε μορφή DLL και και οι δύο μηχανές πρέπει να υποστηρίζουν τον ίδιο πάροχο γιανα μπορούν να επικοινωνήσουν.
* **Digest**: Διακομιστές ιστού και LDAP, κωδικός πρόσβασης σε μορφή κατακερματισμένου MD5
* %windir%\Windows\System32\Wdigest.dll
* **Schannel**: SSL και TLS
* %windir%\Windows\System32\Schannel.dll
* **Negotiate**: Χρησιμοποιείται για τη διαπραγμάτευση του πρωτοκόλλου που θα χρησιμοποιηθεί (Kerberos ή NTLM, με το Kerberos να είναι το προεπιλεγμένο)
[Ο Έλεγχος Χρήστη Λογαριασμού (UAC)](https://docs.microsoft.com/en-us/windows/security/identity-protection/user-account-control/how-user-account-control-works) είναι μια λειτουργία που επιτρέπει ένα **παράθυρο συναίνεσης για αυξημένες δραστηριότητες**.
Χρησιμοποιήστε το [**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks) γιανα δημιουργήσετε και να αυτοματοποιήσετε ροές εργασίας με τα πιο προηγμένα εργαλεία της κοινότητας.\
<summary><strong>Μάθετε το hacking στο AWS από το μηδέν μέχρι τον ήρωα με το</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* Εάν θέλετε να δείτε την εταιρεία σας να διαφημίζεται στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF, ελέγξτε τα [**ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ**](https://github.com/sponsors/carlospolop)!
* Αποκτήστε το [**επίσημο PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Ανακαλύψτε [**The PEASS Family**](https://opensea.io/collection/the-peass-family), τη συλλογή μας από αποκλειστικά [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Εγγραφείτε** 💬 [**στην ομάδα Discord**](https://discord.gg/hRep4RUj7f) ή στην [**ομάδα telegram**](https://t.me/peass) ή **ακολουθήστε** μας στο **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Μοιραστείτε τα κόλπα σας για το hacking υποβάλλοντας PRs στα** [**HackTricks**](https://github.com/carlospolop/hacktricks) και [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) αποθετήρια του github.
