התחברות מאולצת לסשן

מספר פעמים לא קטן נתקלתי בסשן RDP פעיל של טכנאי או קולגה שנשאר פתוח למרות שאין באמת איש מחובר. באחת הפעמים רציתי לוודא כי קובץ טקסט שהתבצעו בו שינויים- נשמר.
על מנת להשיג זאת השתמשתי בדרך פשוטה שאציג כאן.

קצת רקע

אי שם בשנת 2017 התגלתה “פרצת אבטחה” זו ע”י חוקר אבטחה ישראלי בשם: Alexander Korznikov ומאז היא עדיין פעילה.

מתחילים

ראשית יהיה עלינו להוריד את הכלי החינמי של מיקרוסופט PsExec
לאחר שהורדנו את קובץ הזיפ נחלץ ונעביר את אחד הקבצים: PsExec או PsExec64
לנתיב נגיש כמו: C:\Temp

כעת, נפתח חלון CMD כמנהל – וניגש לנתיב שהעברנו את הקובץ בעזרת הפקודה:

CD C:\Temp

על מנת לדעת אלו משתמשים מחוברים על השרת נזין בשורת הפקודות (CMD) את הפקודה: query user

נוכל לראות שכרגע מחוברים שני משתמשים.
כפי שניתן לראות בתמונה המשתמש שאיתו אני מחובר קיבל את המזהה 4 (ID)
ואם ארשום את הפקודה whoami אוכל לוודא זאת.

כעת השלב המעניין והמשמעותי בתהליך.
נזין את הפקודה הבאה בשורת הפקודות:

PsExec.exe /s \\127.0.0.1 /i 4 taskmgr.exe

פרמטרים:
S – חיבור לכתובת או שם המחשב
i – שימוש במזהה המשתמש (ID) שמצאנו בפקודה הקודמת

אם נתרגם זאת לשפה שנבין: מה שקורה זה שאנחנו מבצעים חיבור למחשב המקומי,
בעזרת הסשן של משתמש 4 לטובת פתיחת “מנהל משימות” עם הרשאות מערכת גבוהות.

מיד לאחר שנאשר את הסכם השימוש יפתח מנהל המשימות.
במנהל המשימות נעבור ללשונית משתמשים ונלחץ קליק ימני על סרגל הפרמטרים.
נסמן להוסיף את הפרמטר ID כמו שמופיע בתמונה.

נלחץ קליק ימני על המשתמש הרצוי להתחברות לסשן ונבחר ב-התחבר (Connect)

ברכות! מיד תעברו לשולחן העבודה של המשתמש שבחרתם.
ניתן כעת לראות כי המשתמש בקצה השני קיבל הודעה שהסשן שלו נסגר.

מספר דגשים חשובים:

• רק משתמש שמוגדר בקבוצת Administrators יכול לבצע את הפעולה.
• על מנהל משימות להיות סגור לפני הרצת הפקודות.
• ניתן להשיג את ה-ID באחת משתי הדרכים שציינו למעלה.

בהצלחה!