vjj 1. Impersonation. server service account vs. client account

Transkript

1 vjj 1 Impersonation server service account vs. client account

2 vjj 2 Identity server identity (IIS, SQL, ) Administrator Local System (IIS webové stránky) Local Service Network Service (ASP.NET, SQL) custom user identity (local) domain internet (anonymous)

3 vjj 3 delegation When a service is trusted for delegation, that service can impersonate a user to use other network services The computer account can be set to Trusted for delegation to any service or Trusted for delegation to specified services only Domain Computers computer Properties Delegation An administrator must have the Enable computer and user accounts to be trusted for delegation privilege on the computer in order to enable delegation Security Settings Local Policies User Rights Assignment The account that the service is delegating for must not have the Account is sensitive and cannot be delegated option chosen Security Settings Local Policies User Rights Assignment guest or temporary account error: Account cannot be delegated

4 vjj 4 impersonation administrator Enable computer and user accounts to be trusted for delegation Server Trusted for delegation to any service or Trusted for delegation to specified services only impersonation user Account is sensitive and cannot be delegated Server

5 vjj 5 IIS + ASP.NET sample impersonating applications

6 vjj 6 pro koho jsou určeny...?... IIS / ASP.NET stránky... data zpřístupňovaná těmito stránkami Internet Internet Intranet - pro každého - jen pro vyvolené - jen pro vyvolené

7 vjj 7 úkol identifikovat autora každé žádosti - autentizace definovat pravidla, podle kterých se rozhoduje, kdo má přístup k té které stránce,... - autorizace IIS ASP.NET autentizace a autorizace autentizace a autorizace

8 vjj 8 IIS + ASP.NET IIS.NET Framework HTTP request (ASPX / ASMX) INETINFO.EXE ASPNET_ISAPI.DLL W3WP.EXE ( ASPNET_WP.EXE ) Application domain SQL server

9 vjj 9 Klient není přihlášen ve stejné doméně Windows Klient je přihlášen ve stejné doméně Windows IIS Anonymous Windows integrated Impersonation IUSR_machinename user domain account ASP.NET None Form Windows IUSR_machinename web account user domain account Impersonation Default IUSR_machinename mapped account user domain account Network Service

10 vjj 10 IIS impersonation IIS - běží pod účtem Local System (NT AUTHORITY\SYSTEM) k souborům/stránkám přistupuje pod účtem IUSR_servername - anonymní přístup (NT AUTHORITY\ANONYMOUS LOGON) domain user nastavení v MMC snap-in \windows\system32\inetsrv\iis.msc

11 vjj 11 IIS autentizace Anonymous Authentication ASP.NET Impersonation Forms Authentication Windows Authentication

12 vjj 12 authentication - web.config <configuration> <system.web> <authentication mode="none" /> <authentication mode="forms" /> <authentication mode="windows" /> <authentication mode="passport" /> <identity impersonate="false" /> </system.web> </configuration>

13 None vjj 13

14 vjj 14 Anonymní přístup IIS impersonates the IUSR_servername account before executing any code IIS checks NTFS file and directory permissions (for IUSR_servername account) before returning a page to the client

15 Form vjj 15

16 vjj 16 Form - mylogin.aspx 1/2 <asp:textbox ID="UserName" RunAt="server" /> <asp:textbox ID="Password" RunAt="server" /> <asp:checkbox Text="pamatovat si přihlášení" ID="Persistent" RunAt="server" /> <asp:button Text="LogIn" OnClick="OnLogIn" RunAt="server" />

17 vjj 17 Form - web.config <configuration> <system.web> <authentication mode="forms"> <forms loginurl="mylogin.aspx" timeout="30"> </forms> </authentication> </system.web> </configuration> <credentials passwordformat="clear"> <user name="bob" password="heslo1" /> <user name="alice" password="heslo2" /> </credentials>

18 vjj 18 Form - mylogin.aspx 2/2 <script language="c#" runat="server"> void OnLogIn( Object sender, EventArgs e ) { if( FormsAuthentication.Authenticate ( UserName.Text, Password.Text )) } FormsAuthentication. RedirectFromLoginPage (UserName.Text, Persistent.Checked); else Output.Text = "Invalid login"; </script>

19 vjj 20 requested page protected void Page_Load(object sender, EventArgs e) { if (User.Identity.IsAuthenticated) { Page.Title = "Home page for " + User.Identity.Name; } else { Page.Title = "Home page for guest user."; } }

20 Windows vjj 21

21 vjj 22 Windows integrated - web.config <configuration> <system.web> <authentication mode = "Windows" /> <identity impersonate = "true" > <authorization> <allow users = "win\vjj, win\admin" /> <allow roles = "admins" /> <deny users = "Alice, Bob" /> <deny users = "*" /> všichni ostatní <deny users = "?" /> neautentizovaní, anonymní </authorization> </system.web> </configuration>

22 vjj 23 Windows integrated - web.config <configuration> <location path="prvni.aspx"> <system.web> <authorization> <allow users="bob,alice" /> <deny users="*" /> </authorization> </system.web> </location> <location path="druha.aspx"> <system.web> <authorization> <allow users="mypc\bob" /> <deny users="*" /> </authorization> </system.web> </location> </configuration>

23 vjj 24 ASP.NET ASPX / ASMX aplikace.net runtime (ASPNET_WP.EXE Windows XP a 2000, W3WP.EXE Windows 2003) nejdříve ověří, zda účet, který dostal od IIS, má oprávnění požadovanou stránku číst dále pak přistupuje k souborům/stránkám pod účtem ASPNET default pro IIS 5.0 NETWORK SERVICE default pro IIS 6.0,... který dostal od IIS impersonifikace viz nastavení v souboru web.config

24 vjj 25 ASP.NET autorizace URL ACL - pravidla ve web.config - (Access Control List) nastavení přístupových práv pro jednotlivé soubory a adresáře

25 Run as vjj 26

26 vjj 27 Run as... CreateProcessWithTokenW ( htoken, dwlogonflags, lpapplicationname, lpcommandline, dwcreationflags, lpenvironment, lpcurrentdirectory, lpstartupinfo, lpprocessinfo );

27 vjj 28 Run as... CreateProcessAsUser ( htoken, lpapplicationname, lpcommandline, lpprocessattributes, lpthreadattributes, binherithandles, dwcreationflags, lpenvironment, lpcurrentdirectory, lpstartupinfo, lpprocessinformation );

28 vjj 29 LogonUser HANDLE htoken ; LogonUser ( lpszusername, lpszdomain, lpszpassword, LOGON32_LOGON_SERVICE, 0, &htoken );

29 vjj 30 zkratka BOOL WINAPI CreateProcessWithLogonW ( lpusername, lpdomain, lppassword, dwlogonflags, lpapplicationname, lpcommandline, dwcreationflags, lpenvironment, lpcurrentdirectory, lpstartupinfo, lpprocessinfo );

30 vjj 31 $cred = Get-Credential Get-Credential $cred = Get-Credential Credential "username" $cred.username [Runtime.InteropServices.Marshal]:: PtrToStringAuto( [Runtime.InteropServices.Marshal]:: SecureStringToBSTR($cred.Password))

31 Impersonation vjj 32

32 vjj 33 Impersonation vlákno procesu má standardně default Access Token svého procesu může ale získat Access Token určený pro zastupování jiného uživatele

33 vjj 34 podmínky a omezení Windows Server 2000,... proces musí mít přiděleno privilegium SE_TCB_NAME jinak GetLastError vrátí ERROR_PRIVILEGE_NOT_HELD toto privilegium musí být aktivováno pro aktivaci příslušného privilegia XP účtem "Run as administrator" Vista, musí dojít k elevaci procesu Win32 API.NET aplikace musí být spuštěna pod administrátorským lze dynamicky za běhu aplikace jen při spuštění aplikace "Run as..." účet zastupovaného uživatele musí být doménový

34 vjj 35 TCB Trusted Computing Base Group Policy : (Start Control Panel Administrative Tools Local Security Policy) Windows Security Settings Local Policies User Rights Assignment Act as part of the operating system místo přidělení tohoto privilegia konkrétnímu uživatelskému účtu je prý vhodnější spustit zastupující aplikaci pod účtem SYSTEM, který privilegium TCB standardně má

35 vjj 36 podmínky a omezení Windows Server 2000 SP4 (2009) proces musí mít přiděleno privilegium SeImpersonatePrivilege jinak GetLastError vrátí ERROR_PRIVILEGE_NOT_HELD local Administrators, local Service Services that are started by the Service Control Manager COM servers running under a specific account účet zastupovaného uživatele musí být doménový

36 vjj 37 Impersonate a client Group Policy : (Start Control Panel Administrative Tools Local Security Policy) Windows Security Settings Local Policies User Rights Assignment Impersonate a client after authentication

37 vjj 38 Windows Identity I. IntPtr token = IntPtr.Zero ; int ret = LogonUser (this.usernametextbox.text, this.userdomaintextbox.text, this.passwordtextbox.text, 2, 0, ref token); if (ret == 0) { MessageBox.Show ( System.Runtime.InteropServices.Marshal.... } GetLastWin32Error() ) ; WindowsIdentity wid = new WindowsIdentity (token) ;

38 LogonUser (P/Invoke: API ->.NET) [DllImport("advapi32.dll", SetLastError=true)] static extern int LogonUser (String UserName, String Domain, String Password, int LogonType, int LogonProvider, ref IntPtr Token) ; vjj 39

39 Windows Identity II. WindowsIdentity wid = new WindowsIdentity( "username" ); vjj 40

40 vjj 41 if( myadjustprivilege( Impersonation (string)"setcbprivilege", (bool)true ) ) using( WindowsImpersonationContext wic = { wid.impersonate( ) ) using( StreamWriter file = new StreamWriter( "WhoseFile.txt" )) { file.writeline("check the owner of this file"); file.close( ); } } // wic.undo ( ) ; // without use of "using"

41 myadjustprivilege (P/Invoke) [DllImport ( "myadjustprivilege.dll", CharSet = CharSet.Auto, EntryPoint = "myadjustprivilege", ExactSpelling = false, BestFitMapping = true, CallingConvention = CallingConvention.Winapi )] public static extern System.Boolean myadjustprivilege ( string lpprivilegename, System.Boolean benable ); vjj 44

42 myadjustprivileges.cpp -> dll BOOL WINAPI myadjustprivilege ( LPCWSTR lpprivilegename, BOOL benable) { TOKEN_PRIVILEGES Privileges; HANDLE htoken; BOOL bresult; if (!OpenProcessToken (GetCurrentProcess(), TOKEN_QUERY, &htoken)) { MessageBox(NULL,(LPCWSTR)L"OpenProcesToken failed", (LPCWSTR)L"AdjustPrivilege FAILURE", MB_OK); return FALSE; } Privileges.PrivilegeCount = 1; Privileges.Privileges[0].Attributes = (benable)? SE_PRIVILEGE_ENABLED : 0; vjj 46

43 myadjustprivileges.cpp -> dll if (!LookupPrivilegeValueW( NULL, lpprivilegename, { MessageBox (NULL, &Privileges.Privileges[0].Luid )) (LPCWSTR)L"LookupPrivilegeValueW failed", (LPCWSTR)L"AdjustPrivilege FAILURE", MB_OK); CloseHandle(hToken); return FALSE; } bresult = AdjustTokenPrivileges (htoken, FALSE, &Privileges, 0, NULL, NULL); } CloseHandle(hToken); return bresult; vjj 47

44 vjj 49 without TCB activation zastupování bez aktivace privilegia TCB slouží pouze pro identifikaci uživatele

45 vjj 50 without TCB activation using( WindowsIdentity wid = new WindowsIdentity( "username" ) ) { using(windowsimpersonationcontext wic = wid.impersonate( ) ) { MessageBox.Show("Impersonating: " + WindowsIdentity.GetCurrent().Name + "\n\nimpersonation Level: " + newid.impersonationlevel.tostring());... // exception: // Either a required impersonation level was not provided // or the provided level is invalid } } // wic.undo ( ) ; // without use of "using"