Esiste un modo per sovrascrivere un file utilizzato da un servizio senza autorizzazioni di gestione del servizio?

In generale, i binari possono essere rinominati mentre sono in esecuzione, a meno che il processo (o qualche altro processo) non preveda esplicitamente questo. Basta rinominare il file binario e quindi rilasciare uno malevolo con il vecchio nome. Quando il computer si riavvia (o il servizio si riavvia), verrà eseguita la tua versione.

Un altro approccio è l'impianto di DLL. Trova una DLL che l'app utilizza (idealmente non una DLL di sistema, e sicuramente non una che viene caricata solo come file di risorse) che non viene caricata dal percorso esplicito e sostituiscila con una versione malevola. Puoi utilizzare il trucco di rinomina sopra menzionato, o semplicemente prendere una DLL che viene normalmente caricata da un'altra posizione (come System32) e inserire la tua copia dannosa nella directory di installazione del servizio (o nella directory di lavoro, se diversa è scrivibile).

In realtà questo tipo di arma è lasciato al lettore, naturalmente, ma penso che sia importante pubblicare questa risposta perché molte persone non si rendono conto che l'esecuzione di un binario di Windows non NON impediscono intrinsecamente che il binario venga rinominato.

Da una prospettiva infosec, sì, ci sono diversi modi per farlo a seconda del livello di accesso al server. Non è possibile considerare attendibili i binari per rimanere statici una volta installati e quindi HIPS / HIDS o whitelisting sono importanti livelli di difesa.

Le autorizzazioni errate sull'eseguibile consentono già a chiunque di sovrascriverlo se il servizio si arresta normalmente o si arresta in modo anomalo.

Poiché questo sito scoraggia domande / risposte che facilitano l'uso inappropriato, non entrerò nei dettagli su altri metodi. Questa domanda è un eccellente esempio del perché la difesa in profondità e la minaccia da insider sono principi di sicurezza di base.

Bene, hai bisogno di sovrascrivere il file in primo luogo?

• Il percorso binario ha spazi e ampli; è non quotato?
• Il servizio ti consente di eseguire il dirottamento delle DLL?

È possibile arrestare il servizio, il sistema operativo o eseguire un ripristino del sistema in modo che le opzioni sopra elencate siano ancora valide?