Физические атаки
Восстановление паролей BIOS и безопасность системы
Сброс настроек BIOS можно выполнить несколькими способами. В большинстве материнских плат установлена батарейка, которая, если ее вынуть примерно на 30 минут, сбросит настройки BIOS, включая пароль. Кроме того, на материнской плате можно установить перемычку, которая сбросит эти настройки путем подключения определенных контактов.
В ситуациях, когда аппаратные настройки невозможны или нецелесообразны, можно воспользоваться программными инструментами. Запуск системы с Live CD/USB с помощью таких дистрибутивов, как Kali Linux, обеспечивает доступ к таким инструментам, как killCmos и CmosPWD, которые могут помочь в восстановлении пароля BIOS.
В тех случаях, когда пароль BIOS неизвестен, его неправильный ввод три раза обычно приводит к появлению кода ошибки. Этот код можно использовать на таких сайтах, как bios-pw.org, чтобы восстановить пароль.
Безопасность UEFI
Для современных систем, использующих UEFI вместо традиционного BIOS, можно использовать инструмент chipsec для анализа и изменения настроек UEFI, включая отключение Secure Boot. Это можно сделать с помощью следующей команды:
Анализ оперативной памяти и атаки на холодную загрузку
Оперативная память сохраняет данные после отключения питания недолго, обычно в течение 1-2 минут. Этот период можно продлить до 10 минут, применив холодные вещества, например жидкий азот. В течение этого длительного периода можно создать дамп памяти с помощью таких инструментов, как dd.exe, и использовать его для анализа.
Атаки на прямой доступ к памяти (DMA)
INCEPTION - это инструмент, предназначенный для манипулирования физической памятью через DMA, совместимый с такими интерфейсами, как FireWire и Thunderbolt. Он позволяет обходить процедуры входа в систему, подстраивая память так, чтобы она принимала любой пароль. Однако он неэффективен против систем Windows 10.
Live CD/USB для доступа к системе
Замена системных двоичных файлов, таких как sethc.exe или Utilman.exe, копией cmd.exe может обеспечить командную строку с системными привилегиями. Такие инструменты, как chntpw, могут использоваться для редактирования SAM-файла установки Windows, позволяя изменять пароль. Kon-Boot - это инструмент, который облегчает вход в систему Windows без знания пароля путем временной модификации ядра Windows или UEFI. Дополнительную информацию можно найти на сайте raymond.cc.
Работа с функциями безопасности Windows
Ярлыки загрузки и восстановления
Supr: Доступ к настройкам BIOS.
F8: Вход в режим восстановления.
Нажатие клавиши Shift после появления баннера Windows может обойти автологин.
Устройства BAD USB
Такие устройства, как Rubber Ducky и Teensyduino, служат платформами для создания "плохих" USB-устройств, способных выполнять заданную полезную нагрузку при подключении к целевому компьютеру.
Теневое копирование тома
Привилегии администратора позволяют создавать копии конфиденциальных файлов, включая файл SAM, с помощью PowerShell.
Обход шифрования BitLocker
Шифрование BitLocker можно обойти, если найти пароль восстановления в файле дампа памяти (MEMORY.DMP). Для этого можно использовать такие инструменты, как Elcomsoft Forensic Disk Decryptor или Passware Kit Forensic.
Социальная инженерия для восстановления ключей
Новый ключ восстановления BitLocker может быть добавлен с помощью тактики социальной инженерии, убеждая пользователя выполнить команду, которая добавляет новый ключ восстановления, состоящий из нулей, тем самым упрощая процесс расшифровки.
Last updated