Windows系统基础安全
1. 操作系统
1.1 操作系统的定义
操作系统（Operating System，简称OS）是管理和控制计算机硬件与软件资源的系统软件，是计算机系统的核心，位于硬件和应用程序之间，充当“硬件与软件的桥梁”。其本质是一组程序的集合，主要作用是合理分配资源、协调系统运行、为用户和应用程序提供便捷的交互接口。
核心目标：提高系统资源利用率、提升系统吞吐量、方便用户使用、保证系统安全性和可靠性。
（图 电脑组件） （图 操作系统定义）
2. 操作系统的分类
2.1 主流操作系统简介
-
Windows
微软开发的桌面操作系统，单用户多任务，图形界面友好，应用软件丰富，是个人电脑最常用系统。
（图 Windows11）
-
macOS
苹果公司开发，运行于Mac系列电脑，界面美观、稳定性强，侧重图形设计、音视频处理。
（图 macOS）
-
Linux
一种自由和开放源代码的类Unix操作系统，安全稳定、性能强，广泛用于服务器、嵌入式设备，也是学习操作系统的经典平台。
（图 Linux）
3.Windows安全事件
3.1 Windows经典漏洞-MS17-010
永恒之蓝（EternalBlue）是美国国家安全局（NSA）开发的远程代码执行漏洞利用工具，核心针对 Windows 系统 SMBv1 协议的缓冲区溢出缺陷，对应微软安全公告MS17-010（含 CVE-2017-0143 至 0148 等编号）。2017 年 4 月被 “影子经纪人” 组织公开，次月便被用于 WannaCry 勒索蠕虫全球爆发，成为网络安全史上的标志性事件。（基于smb协议，端口号为445）
3.1.1 靶场复现
实验环境：
攻击方：Kali Linux
靶机：Windows7
- nmap工具扫描靶机，检测该主机是否存在。
（图 Kali Linux的nmap扫描结果）
- msfconsole工具攻击靶机（具体使用可参考这篇文章：https://www.cnblogs.com/Johny-zhao/p/19450533）
（图 Kali Linux的msfconsole启动并搜索模版）
（图 msfconsole使用模版（序号）并显示模版选项）
（图 设置目标主机IP并运行该模版）
（图 攻击成功）
- meterpreter操作
（图 获取win7的cmd）
3.2 其他攻击行为
3.2.1 远程登录
（注意：win7应开启远程桌面或在cmd窗口输入指令：regadd"HKLM\SYSTEM\CurrentControlSet\Control\TerminalServer"/v
fDenyTSConnections/tREG_DWORD/d0/f）
远程桌面连接是基于RDP协议在3389端口运行。
创建新用户lucy和密码123456。
(图 在win7中创建新用户)
在Windows server2003中，按win+R输入mstsc开启远程登录窗口，输入win7的IP，刚刚创建的用户名和密码，点击连接。
（图 winserver2003远程登录窗口）
发现权限不够。
（图 无权连接）
那么，我们将创建的lucy用户添加至权限够高的administrators组，进行提权。
（图 提权）
再次进行远程登录操作，点击继续连接。
（图 成功登录）
3.2.2 隐藏用户
Windows 隐藏用户是通过命名规则或注册表配置，让账户在登录界面、net user 等常规查询中不显示，但仍可正常登录与提权的特殊账户，常被用于后门持久化。
在创建新用户时在用户名后加一个$符，来创建隐藏用户，创建完成后，用net user 指令发现未显示lucy$。（但注意如果使用：使用net user lucy$和在计算机管理中的本地用户和组中可看到lucy$）
（图 创建隐藏用户）
影子用户：克隆管理员权限 + 注册表深度隐藏的 Windows 后门账户，也叫克隆用户、幽灵用户。
- win+R打开注册表，找到该路径：HKEY_LOCAL_MACHINE\SAM\SAM，然后修改SAM的权限，刷新便可看到Users和Names，如下图：
（图 需修改的路径）
（图 修改路径下SAM的权限）
（图 用户权限和用户的注册表）
- 分别导出lucy$和lucy$的权限以及admin的权限，具体操作如下图所示：
（图 admin权限）
（图 lucy$及lucy$的权限）
（图 导出的所需注册文件）
- 然后将lucy$从用户中删除
（图 删除lucy$）
- 修改lucy$权限注册文件中的F值与admin权限注册文件中的F值一致。
（图 修改lucy$权限注册文件）
- 最后双击lucy$和lucy$权限的导出的注册文件并点击确定，将其重新导入注册表中，即可完成影子用户创建。
4. Windows 用户和用户组
4.1 概念
用户：登录Windows系统的账号，是系统资源访问的主体，每个用户有独立的权限和工作空间。
用户组：具有相同权限需求的用户集合，用于批量分配权限，简化管理（不用逐个给用户设权限，给组设即可）。
核心关系：一个用户可属于多个用户组，一个用户组可包含多个用户；用户的总权限 = 其所属所有用户组的权限总和。
4.2 Windows用户
4.2.1 本地系统账户（System）—— 权限最高
-
非用户可登录账户，是系统自带的“后台账户”，供系统本身使用
-
核心作用：启动系统内核、驱动程序、系统服务、管理注册表和系统文件
-
权限特点：拥有系统全部权限，可访问所有资源（Administrator删不了的系统文件、改不了的注册表，System可以）
-
查看方式：任务管理器 → 详细信息 →用户名 ，可看到system。
4.2.2 管理员账户（Administrator）—— 用户可使用的最高权限
-
系统自带的管理员账号，可手动登录使用
-
权限特点：可安装/卸载软件、修改系统设置、管理其他用户、删除普通文件，但无法操作核心系统底层（受保护的系统文件、关键注册表）
-
注意：Administrator 属于 Administrators 组，权限低于 System
4.2.3 普通用户（标准用户/来宾用户）—— 权限最低
-
标准用户：日常使用账号，可打开软件、存储个人文件，无法修改系统设置、安装软件（需输入管理员密码）
-
来宾用户（Guest）：临时使用账号，权限最低，默认关闭，仅能进行简单操作（如浏览网页），无法存储个人文件
4.3 Windows核心用户组
4.3.1 常见组名
-
Administrators（管理员组）：组内用户拥有系统最高可操作权限（仅次于System），包含Administrator账号，可执行几乎所有系统操作。
-
Users（标准用户组）：默认的普通用户组，组内用户仅能进行日常使用操作，无系统修改权限。
-
Guests（来宾组）：来宾用户所属组，权限最低，仅提供临时访问权限。
4.3.2 实用操作
管理用户组
步骤：Win + R → 输入 lusrmgr.msc → 打开“本地用户和组”
可操作：查看所有用户/组、新建用户/组、将用户加入/移出组、修改用户权限。
5.排查后门用户
5.1 本地用户和组排查
在计算机管理的本地用户和组下，分别查看用户和组，查看是否有可疑名称。
5.2 注册表排查
按win+R，输入regedit打开注册表，在该路径：HKEY_LOCAL_MACHINE\SAM\SAM下，授权administrators组完全控制和读取权限。
（图 administrators授权）
然后刷新注册表在Users中查看用户名和对应用户权限值。
（图 排查目录）
5.3 Goby工具排查
操作如图所示：（注意：本操作是扫描的win7靶机，如若想要使用该工具扫描，请扫描自己主机或在授权情况下扫描其他主机，不可随意扫描他人主机，在未授权情况下扫描他人主机属于违法行为）
（图 扫描设置）
（图 扫描结果）
5.4 日志排查
查看Windows日志看是否有可疑事件。
（图 日志排查）
具体事件ID可参考该文：https://www.cnblogs.com/zhaolongisme/p/17546870.html
6.向日葵低版本漏洞复现
6.1 漏洞版本
- 向日葵个人版（Windows）<=11.0.0.33
- 向日葵简约版<=V1.0.1.43315
6.2 运行端口扫扫描
向日葵运行时，会随机开启一个40000-65535之间的端口。
所以，我们用nmap扫描安装低版本向日葵的主机IP，来获得主机开放的端口（这里我们扫描的是win7靶机）。
（图 nmap扫描指令及结果）
将扫描得到的开放端口复制下来，创建一个可以访问的地址，http://扫描的IP：端口，具体如下图所示：
（图 访问列表）
使用火狐插件pasty工具去批量访问，使用方法为：复制访问列表，然后点击pasty插件。（火狐的扩展需安装pasty）
（图 批量访问结果）
根据上图我们批量访问的结果，可知49236端口是访问成功的，然后使用攻击脚本对目标靶机进行攻击。（目标地址为访问成功的地址）
（图 攻击结果）
7.攻击者木马投放
7.1 木马攻击流程
这里我们使用kali中的msfconsole工具。
- 制作名为shell.exe的木马（注意:lhost=kali的IP，lport=kali的空闲端口）。制作好的木马在主文件夹的kali目录下。
（图 木马制作）
- 在root权限下，将kali目录下的shell.exe移动到Apache网站根目录www下的html中。
（图 移动shell.exe）
- 用win7靶机的浏览器访问192.168.117.141/shell.exe,并下载木马到靶机。
（图 下载木马）
- msfconsole开启监听模块，设置监听IP与端口（与木马制作时的一致），然后运行木马。
（图 msfconsole开启监听）
- 在靶机上点击运行刚刚下载的木马shell.exe，然后就可以看到msfconsole上显示攻击成功。
（图 攻击成功）
8.木马排查
8.1 进程排查
- 在计算机的任务管理器的进程查看是否有可疑程序在运行。
（图 进程排查）
- 但如果不确定该运行的程序是否是木马，可访问https://s.threatbook.com，将可疑程序放入该平台分析。
（图 分析结果）
8.2 资源监视器结束可疑进程
- 先打开资源监视器
（图 资源监视器）
- 然后在CPU栏中的关联句柄搜索可疑名称，就可查看到所有带该名称的可疑进程，直接右键结束即可。
（图 结束可疑进程）
8.3 netstat 指令查看
在cmd窗口下输入netstat -ano 查看是否有可疑的开放端口和外部地址。
（图 Windows网络状态）
也可在https://x.threatbook.com平台检测。在搜索框输入可疑外部IP，该平台就可帮你检测。
（图 可疑IP检测）
8.4 其他排查
启动项是系统开机 / 用户登录时自动运行的程序；
计划任务是按时间、事件触发执行程序 / 脚本的调度工具。
服务是：在后台默默运行、没有窗口、不需要用户登录就能跑的程序（隐蔽）。
- 启动项排查。打开任务管理器再启动应用中查看每个程序是否启用启动项，对自己不想让它自启动或可疑的程序点击禁用。
（图 启动项排查）
- 计划任务排查
在任务计划程序中，查看是否有可以的触发器。
（图 计划任务排查）
- 服务排查
在任务管理器的服务一栏或按win+R输入services.msc,打开服务查看是否有可疑后台服务。
（图 服务排查）
(特别注意：凡是Windows安全事件中所提到的内容均存在攻击行为，请自行搭建靶场操作，不可对真实主机测试，遵守网络安全法规)
（本人学习笔记，如有问题请博友指出）
openEuler 是由开放原子开源基金会孵化的全场景开源操作系统项目，面向数字基础设施四大核心场景（服务器、云计算、边缘计算、嵌入式），全面支持 ARM、x86、RISC-V、loongArch、PowerPC、SW-64 等多样性计算架构
更多推荐
17
0- 0
已为社区贡献2条内容
所有评论(0)