RDP - השתלטות על מחשב מרוחק

השתלטות על מחשב מרוחק

v     מגרסה ביתית ניתן להתחבר למחשב אחר אך לא ניתן להתחבר אילו

v     בגרסה עסקית

o        ניתן מ2 הצדדים

o         רק משתמש יחיד (משתמש אחד יכול לעבוד על המערכת)

o       בשרתים – מספר שתמשים בו"ז – נקרא חיבור טרמינל

הגדרות נדרשות לביצוע התחברות

1.     מחשב > מאפיינים > הגדרות מחשב מתקדמות > אפשר חיבור מרוחק

2.     פתיחת פורט 3389 – הפעלת השירות פותחת את הפורט באופן אוטומטי

3.     יוזר חייב להיות עם סיסמה

4.     משתמש מנהל או חבר בקבוצת Remote Desktop Users

5.     שירות פעיל - SessionEnv - Remote Desktop Configuration -  .  כברירת מחדל השירות מוגדר "הפעלה ידנית"

החל מוויסטה נוספה אפשרות חדשה – לאפשר התחברות רק למחשב עם אבטחה גבוהה – למנוע ממחשבים מגרסאות ישנות יותר משלי להתחבר אלי כיוון שבגרסה ישנה האבטחה של התעבורה יותר נמוכה

הוספת משתמש\קבוצה

·        חלון מאפייני מערכת > מרוחק

·        ניהול מחשב > קבוצות \משתמשים

·        GPO – Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment > Allow log on through Remote Desktop Services

שמירת הגדרות מחשב מרוחק

פתיחת חלונית השתלטות > show opstions > בחירת הגדרות > save = ישמר קובץ בסיומת rdp שלחיצה עליו תפתח את החלון השתלטות למחשב המבוקש.  ניתן לפתוח את הקובץ בכתבן ולהוסיף שם משתמש וסיסמה  - ע"י הוספת ש2 השורות הבאות בקובץ

UserName:s:abc

Password:s:1234

Tasklist – מציג את כל התהליכים שרצים במערכת

Taskkill – להרוג (לסגור) תהליך

אבטחת המחשב בפתיחת הרשאה ל-RDP

האקרים משתמשים בתוכנות שסורקות את הרשת ומחפשות פורט 3389 וככה יודעים ששם יש שירות של השתלטות פתוח ומנסים להתחבר לכן יש לשנות את מספר הפורט בregistry

o       כניסה לנתיב הבא HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

o       משנים את הערך PortNumbe ל – cecimal > מזינים מספר חדש

o       להפעיל את המחשב מחדש

o       בהתחברות למחשב המרוחק לאחר הכתובת IP רושמים את המספר פורט החדש "1234:" -  כיוון שכברירת מחדל בהשתלטות פונה לפורט 3389 וצריך להודיע לו לפנות לפורט הנכון

בנוסף יש לבצע את ההקשחות הבאות בGPO-

·        שינוי שם הadministrator /guest  - להקשות על הפריצה (עוד נתון שצריך לנחש)

·        שינוי תצוגה שלא יראו איזה מערכת הפעלה יש במחשב 

·        שלא יראו את שם המשתמש האחרון

telnet

התקשרות עם מחשב מרוחק

צריך שירות מותקן ומופעל  - telnet  - פורט 23

השירות עובד ב2 הפרוטוקולים ולכן ב XP צריך להגדיר 2 רולים נפרדים בחומת אש

בווינדוס 7 השירות לא מותקן – התקנת השירות דרך לוח בקרה > תכניות  > הפעל או בטל תוכנות ווינדוס

הערה – service  = המחשב שאילו מתחברים הווי אומר נותן השירות client – מהחשב המבקש השירות – המתקשר ללא קשר למערכת ההפעלה

-        בעת הפעלה התוכנה נוצרת קבוצה חדשה בשם telnet clients  ורק מי שחבר בקבוצה הזאת יוכל להתחבר

-        בשביל להתחבר מרחוק חייבים סיסמה – יוזר ללא סיסמה לא יוכל להתחבר

הרשאת מנהל – החל מוויסטה גם מנהל כשהוא עושה פעולות רבות הוא יקבל התראה של בקרת משתמש בשביל למנוע מווירוסים לשנות דברים הקשורים לניהול כמו לדוג' הפעלת cmd  רגיל שהוא מוגבל גם עבור מנהל והפעלת cmd כמנהל

לכן גם כשמתחברים ב telnet   עם משתמש מנהל לא ניתן לבצע פעולות של ניהול בשביל להתחבר כמנהל יש להשתמש בפקודה הבאה Runas /user:xxx cmd.exe  <   <  יבקש סיסמה ויכנס לחלון cmd כמנהל

Ocsetup – פקודה להתקנה\הסרה תוכנות אופציונליות של ווינדוס (בוויסטה\ 7 \שרתים)

התקשורת בין המחשבים אינה מאובטח ולכן יצא משימוש – ביוניקס ולינוקס משתמשים SSH   שנותן תקשורת מאובטחת ומוצפנת. ובווינדוס  RDP– פורט 22

Firewall

 חומת אש (Firewall), היא מערכת לניטור וחסימת התקשרויות בלתי רצויות למחשב.

לכל מחשב יש כתובת IP לצורך גישה אל המחשב מהכתובת נכנסים דרך כמה דלתות\יציאות (port) שמאחורי כל דלת יש שירות (serves)

למעשה ישנם 65.355 ports וכל מידע שמגיע למחשב בנוסף לכתובת מופיע גם השם של השירות שאילו המידע צריך להגיע וכשהמחשב מחזיר את המידע הוא מצרף גם את שם הפורט המתאים

בהדלקת המחשב הדלתות נפתחות לקבלת מידע – אך בשביל שהמידע יוכל להיכנס שצריך שירות פתוח מאחורי הדלת

חומת אש – יושב לפני הדלתות ושומר. כל מידע שמגיע הוא בודק אותו

·        דור ראשון – כל הפורטים סגורים וחלקם נפתחים לפי הגדרות המחשב.  והתפקיד של חומת האש רק לבדוק עם הדלת המבוקשת פתוחה ובמידה וכן המידע נכנס

·        דור שני – פילטר בודק את המידע האם עומד בכללים. לדוגמה האם הIP של השולח מאושר \ האם היוזר מאושר \ רק בכרטיס מסוים

·        דור שלישי - מלווה את המידע בדרך ליעד עד היציאה ומוודא שהולך למקום הנכון ומבצע מה שצריך 

דור ראשון - xp\ server03  - בserver 2003  כברירת מחדל חומת האש לא פעילה

שם השירות   SharedAccess - Internet Connection Sharing (ICS)  - שירות שאחראי על החומת אש ייתכן מצב שהחומת אש מגדרת כעובדת אך השירות לא פעיל ולכן לא תעבוד

דור שני -    server 2008- ברגע שיצרים רוול מסויים המערכת פותחת את כל פורטים שקשורים

שם השירות   MpsSvc - Windows Firewall  - שירות חומת אש בserver 2008

רמות של חומת אש

XP - 3  רמות

o       Off – ביטול חומת אש

o       On – חומת אש פעילה וכל הפורטים שמוגדרים כפעילים יעבדו

o       אל תאשר חריגים – נועד להתחברות לרשת במקום ציבורי שלא מעוניינים שהפורטים היו פתוחים במקום לבטל אחד אחד יוצרים רשימת חריגים ובסימון אחד כל החריגים לא פעילים

Win 7  

o       רשת ביתי – חומת אש פעילה וכל הפורטים שהוגדרו כחריגים היו פתוחים

o       ציבורית – כל החריגים לא פעילים (בחלון חומת אש נראה שהם פעילים אך בפועל ברשת ציבורים הם לא פעילים)

o       עבודה

לאחר שבוחרים את סוג הרשת החל מווינדוס 8 לא ניתן לשנות בממשק הגרפי – ניתן לשנות באמצעות הGPO בהגדרות מחשב > הגדרות ווינוס > הגדרות אבטחה > אבטחת רשת = כל הרשתות יופיעו וניתן לשנות את ההגדרות

PORTS

0-1024 – קבועים ולא ניתנים לשינוי 

1025-4915 – פורטים ידועים. (ווינדוס מכיר אותם)

מספר הפעילים - Windows  הגבילה את המחשבים שיעבדו עד 5K פורטים – ניתן לשנות את ההגדרה ברגיסטרי לקבל ביצועים יותר טובים (ע"מ לפתוח יותר Socket)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

65534 = " MaxUserPort"

פורטים לדוג'

  67-68עבור קריאה לשרת HDCP לקבלת IP

מספר היציאה 67 משמש את השרת כדי לקבל בקשות הלקוח ומספר היציאה 68 משמש את הלקוח לקבל תגובות השרת

22 – telnet  

23 – SSH מוצפן

3389 RDP -  השתלטות על מחשב מרוחק

80 – דפדפן אינטרנט

Socket = מצב של חיבור פתוח בתקשורת.

בשליחת פקט בנוסף לפורט המתאים החומת אש פותחת פורט עם מספר רנדומלי ומצרפת אותו למידע הנשלח, הפורט נפתח לזמן מוגדר וכשהמידע חוזר המערכת בודקת את מספר הפורט ויודעת האם הוא מאושר ולאיפה מיועד במערכת. וכך יוצא שרק תקשורת יזומה תתקבל במערכת

Netstat – פקודה להצגת החיבורים פתוחים (התקשרויות) שיש במערכת

נתונים מוצגים – סוג החיבור (TCP\UDP) \ כתובת מקור+מס' פורט רנדומלי \ כתובת יעד \ סטאטוס

פורטים שמתחילים ב0.0.0 זה פורטים למחשב עצמו – (ככה ניתן לדעת מה הפורטים שפתוחים להאזנה)

A- מציג גם חיבורים מוסתרים

-b מציג את שם האפליקציה שפתחה את ההתקשרות

Nbtstat –A 192.168.1.1 - במידה ומצליח להתחבר למחשב שבכתובת המבוקשת הוא יציג את הנתונים של המחשב 

הגדרות שרת

Server manager - חלון ניהול של השרת

Roles – הגדרת תפקיד לשרת

 DHCP

הערה – שרת חייב לקבל כתובת IP קבועה ע"מ ששאר הרכיבים ידעו לאיפה לפנות

 Scope

הגדרה של טווח כתובות להקצאה

o       ניתן להגדיר מספר סקופים עם כתובות\הגדרות שונות

o       ניתן לכבות את כולם ביחד מראש ההיררכיה או כל אחד בנפרד

חשוב לדעת – לא ניתן להגדיר את הכתובת הראשונה והאחרונה בטווח מכיוון שהם שמורות ל Broadcast

הגדרות Scope

address pool - הטווחים של הכתובות שניתן לחלק. ניתן להגדיר טווח בתוך הטווח שהוגדר ביצירת השרת שאותו לא ניתן להקצות

לאחר יצירת השרת לא ניתן להגדיל את הטווח ולכן במידה וחושבים שיצטרכו יותר בהמשך אזי ניתן להגדיר ביצירה מספר גבוהה ואח"כ לחסום חלק ובהמשך לפתוח

במידה ואחד המשתמשים הגדיר לעצמו ידנית את הכתובת החסומה זה יעבוד מכיוון שההגדרה היא שהשרת לא יקצה אבל בפועל הכתובת קיימת

Address leases – יוצגו כל הכתובות שהשרת השכיר (כתובת שהוגדרה ידנית לא תוצג)

Reservations – שמירת IP קבוע עבור מכשיר ספציפי. דוג' – לשמור כתובת עבור מדפסת שהיה לה כתובת קבועה.  בכל פעם שהשרת יקבל את ה Mac הזה הוא יקצה לו את הכתובת השמורה. מכיוון שהכתובת מוקצת היא תופיע תמיד ב Address leases

המלצה – במשאבים ברשת למניעת תקלות נגדיר כתובת קבועה משני הצצים לדוג' במדפסת נגדיר כתובת קבועה מהשרת וכן מהמדפסת עצמה (את אותה הכתובת)

Lease duration – לכמה זמן השרת מקצה (מחכיר) את הכתובת עבור משאב 

בכל התחברות של משאב השכירות מתחדשת לזמן המוקצה – לדוג' בארגון שהגדירו הקצאה לשבוע בכל התחברות ההקצאה מתחדשת ולכן הכתובת לא תשתנה אך במידה והעובד יחסר יותר משבוע השרת ישחרר את הכתובת

 Options - הגדרות תצורה של השרת מקש ימני >  configure Options לדוג' כתובת ראווטר.  כל מחשב שיקבל כתובת מהשרת יקבל גם את ההגדרות המצורפות

מניעת התנגשויות

בארגון גדול ע"מ לקבל שרידות נשים 2 שרתים לכן נצטרך לסנכרן בניהם ע"מ שלא יקצו אתו IP ל2 מחשבים  עד SERVER 2008 לא היה לווינדוס רעיון להתגבר על זה

לכן ע"מ להימנע מבעיות אפשר להגדיר בהגדרות של השרת – advanced שהשרת יריץ בדיקה על כל הכתובות ברשת לפני שהוא מקצה כתובת שהיא לא קיימת  (conflict detection attempts = X )

טיפ – אבחון כרטיס רשת – עדיף לנתק את הכרטיס ואח"כ לבצע דיאגנוזה מכיוון ש צורה הזאת האבחון יותר מעמיק ומבצע יותר פעולות

מושגים ברשתות

Network notepad תוכנה לאיור מפת רשת

Servis – מערכת הפעלה של ווינדוס שנותנת שירותים עבור מחשבים אחרים בשרת ישנם מגוון שירותים הנקראים roll. לכל שרת מגדירים את התפקיד המבוקש

DHTP – שרת לניהול רשת. אחראי על חלוקת כתובת IP וכן על מדיניות הרשת                            DYNAMIC HOST CONFIGURATION PROTOCOL

LAN – רשת פנימית. בהעברת מידע ברשת פנימית השרת משתמש בכתובת Mac (בפועל מטעמי נוחות גם ברשת פנימית משתמשים בIP)

WAN – רשת חיצונית. בהעברת מידע מחוץ לרשת הפנימית משתמשים בכתובת ip

Mac address

כתובת רשת ייחודית – מזהה ייחודי שמופיע על הכרטיס רשת. הכתובת מוטבעת בזמן היצור על הציפ ולא ניתן לשינוי (מופיע בכל מחשב עם כרטיס רשת)  

מבנה הכתובת – לכל יצרן יש כתובת משלו    לדוג' Intel – תמיד יתחיל 00- 0C – F1   

שינוי כתובת – כשמפעילים 2 מכונות ווירטואליות שאחד הוא שיכפול של השני צריך לשנות את הכתובת ע"מ למנוע התנגשות ברשת.

o       דרך הregistry - המחשב לא ניגש בכל פעם לרישום של הציפ' אלא שהכתובת נשמרת בregistry  וניתן לשנות את הכתובת ידנית  

HL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4d36e972-e325-11ce-bfc1-08002be10318}\0007  > להוסיף מפתח בשם MAC ולהזין כתובת (דיקסימאלית)

o       בממשק הגרפי – ניהול מחשב > מנהל התקנים > סימון כרטיס > מאפיינים > קביעת תצורה > מתקדם 

חשוב לדעת !!! השינויים יחולו רק לאחר ניתוק הכרטיס וחיבורו מחדש

Communications Protocol

פרוטוקול תקשורת – נוהל לתקשורת כלומר אוסף כללים המגדירים את אופן בקשת \קבלת הנתונים במערכת תקשורת בדיוק כמו שכל שיחת טלפון נפתחת ב"הלו" > אימות של הצד השני ואח"כ עובר המידע ומסתיימת ביי\ להתראות  כך ברשת יש אוסף כללים מדויקים ע"מ שהצדדים יבינו זה את זה ויוכלו לספק שירותים זה לזה מאפיינים לדוג' איתות\אימות\תיקון שגיאות\מבנה ההודעה

סוגי תקשורת

 UDP– שולח מידע בלבד

 ICP– שולח חבילה ומחכה לאישור מהיעד שהמידע התקבל ואז שולח את החבילה הבאה   או שלוח שוב במידה ויש כשל

אתרים מאובטחים ישתמשו ב Icp לעומת זאת צפייה באינטרנט לא מעניין את השולח האם התקבל או לא והעדפה היא לשליחה יותר מהירה וכן ששולחים ברודקס לכל המחשבים ברשת אין עדיין לקבל אישור קבלה

Ipconfig

פקודה לניהול הרשת

/all – מציג את כל הכרטיסים של המחשב  + הגדרות הכרטיס 
חלק מההגדרות המוצגות - 

o       Description – תיאור הכרטיס. חברה\דגם

o       Physical Address – כתובת Mac

o       DHCP Enabled – האם יש חיבור לשרת

o       כתובת IP

o       תאריך תחילת החכירה

o       תאריך סיום החכירה

Release – שינוי הכרטיס ללא פעיל (release6 עבור v6) – מודיע לשרת להתנתק ולשחרר את הכתובת

Renew – להפעיל את הכרטיס -מקבל IP

Arp – פקודה להצגת כל המחשבים שאיתם דיברתי ברשת

IP ADDRESS

  Internet protocol - כתובת מחשב ברשת. מתקבל בצורות הבאות

·        בצורה ידנית – ע"י מנהל הרשת

·        ע"י שרת DHCP  שמקצה כתובות למחשבים בצמוד ל Mac (השרת מקבל Mac ומנפיק ip)

כתובת ip פנימיות יהיה אחד מהכתובות הבאות 192.168.X.X  -   172.16.X.X -  10.X.X   

PING

פרוטוקול לבדיקות תקשורת בין מחשבים

כותבים מתגים ואח"כ יעד

PING 192.168.1.1 – שולח 4 פאקטים ליעד ומחזיר תשובה האם מחובר או לא

מתג

o       A -  להציג את שם המחשב ביעד

o       T – שליחת פינג רציף עד לקבלת תשובה

חומת אש כברירת מחדל לא עונה לping ע"מ למנוע מתקפה של עשרות מחשבים ששולחים פינג ותוקעים את המערכת  לכן אם רוצים לבדוק אם הוא אכן מחובר ניתן להשתמש בפקודה arp –a  במידה ויש ip  ו Mac זה אומר שהמחשב מחובר

Broadcas

כשהמחשב נדלק ומזהה שיש כרטיס רשת הוא מבצע פעולה הנקראת Broadcast (צעקה) מכיוון שהוא לא יודע מי השרת אז הוא זורק צעקה לרשת וכולם מקבלים את זה. בכתובת היעד מופיע ff:ff:ff:ff:ff  ובכתובת מען יופיע ה  Mac addressשל השולח כשהשרת מקבל את ההודעה הוא מקצה ip ומחזיר הודעה לכל המחשבים ברשת והמחשב ששלח מזהה שזה בשבילו ע"י הכתובת מאק שמצורפת  

X.XX.XX.169

מחשב ללא כתובת IP מקבל את הכתובת .XXX.169 – לדוג' כשהשרת נפל והמחשב חיפש ולא מצא אותו אז הוא יציג את כתובת שמתחילה ב169

הערה -  מחשבים המחוברים ברשת פנימית יכולים לדבר בניהם גם ללא שרת ע"י הכתובת הנ"ל

127.0.0.1 – כתובת IP של המחשב לעצמו. בגישה לכתובת המחשב מבצע לולאה וניגש לעצמו

 דוג' לשימוש – בדיקה האם המחשב שלי עונה לPING = שולח פינג לכתובת הזאת

DHCP Client - SERVIS   - שירות שאחראי על הקשר עם השרת במידה והשירות כבוי לא ניתן לבצע התקשרות עם השרת

DHCP server  - שירות בשרת  DHCP שאחראי על הממשק עם ה Client