Как получить права администратора в windows
Приветствую, уважаемые читатели.
Сегодня я бы хотел поговорить с Вами о простой - в некотором роде даже банальной, - но очень насущной проблеме многих российских граждан - о получении прав локального администратора в windows-системах. Они, как известно, бывают страшно необходимы простому представителям пролетариата на их рабочих местах для исполнения самых разнообразных желаний. Останавливаться на преимуществах, которые предоставляют админские права, я не буду: все, кто сталкивается с компьютером на работе, хорошо это знает. А остановлюсь я на другом...
В частности, на том, как же получить права локального администратора, имея изначально пользователя с ограниченными привиллегиями. В числе всего прочего будет обсуждаться вопрос сброса паролей пользователей Мы рассмотрим несколько наиболее удобных и простых подхода, которые вполне неплохо работают во всех системах от Win XP до Win 10.
Способ №1 (брутальный).
Его суть заключается в загрузке компьютера с некоего внешнего носителя - в простонародье просто LiveCD. Как же это сделать?
Шаг 1. Записываем LiveCD.
LiveCD - это CD/DVD-диск, флешка (наиболее удобно) или другой USB-накопитель, на котором установлена сильно урезанная версия нашей операционной системы, т.е. WIn 7/8. Сделать такой диск несложно. Просто скачиваем сборку WIndows PE или же ERD Commander. Первое - жто урезанная версия WIn 7 (PE - pre-installation evironment) с широким функционалом по восстановлению уже неработающей системы (в случае жуткой вирусни, сбоях на низком уровне или же сильной забывчивости хозяина админских учёток :)). Более подробно о них можно почитать тут и здесь. Итак, скачиваем образ WinPE или ERD Commander-а и записываем его на диск или флешку. Как сделать загрузочный диск знают все. А вот на USB-накопитель образ диска записать не так просто, как кажется. О том, как создать загрузочную флешку, можно почитать, к примеру, в этой статье.
Шаг 2. Загружаемся с LiveCD.
Итак, флешка создана. Теперь загружаемся с неё. Для этого нам может понадобиться войти в параметры BIOS и поменять там порядок загрузки накопителей. Разумеется, вначале надо выключить компьютер, потом воткнуть флешку, после чего включить и войти в BIOS. Очень повезёт, если при входе у Вас не спросят пароль. Если спросят, дела плохи: это значит, что Ваш работодатель не такой дурак, как Вы думали. Но спешу Вас утешить: в 99% случаев никакого пароля на BIOS-е не стоит, и Вы спокойно поставите Вашу флешку первой в списке BOOT-загрузки. А если повезёт, она там и так будет стоять первой. Далее просто сохраняем параметры, перегружаемся и наблюдаем процесс загрузки WIndows PE.
Шаг 3. Модифицируем реестр снаружи.
Итак, загрузились с внешнего носителя и видим примерно такое окно.
Окно может быть и другим: простой рабочий стол и обычная кнопка "Пуск". Это зависит от Вашей конкретной сборки с Windows PE. Кстати, есть ещё Windows RE (Recovery environment). Она тоже подойдёт для наших целей. Важно лишь, чтобы в ней была возможность запустить командрую строку (cmd) и возможность работы с внешним реестром. А эти две фичи есть практически в любой сборке win PE / RE / ERD Commander. Итак, увидели стартовое окно (никаких паролей тут, к счастью, у нас не спрашивают). Далее, нажимаем Command prompt (если окно типа того, что на рисунке) или же комбинацию Win+R и вводим cmd. В появившейся консоли вводим regedit. Жмём Enter и получаем окно реестра. Теперь заходим в HKEY_LOCAL_MACHINE (далее - HKLM) и переходим в Файл => Загрузить куст.
Далее в открывшемся диалоговом окне ищем диск с нашей истинной системой (в которой хотим обрести права локального админа) и ищем файл <диск>:\Windows\System32\config\SYSTEM. Жмём "Открыть" и вводим любое название куста. К примеру, test. В итоге, в HKLM у нас появился новый элемент - test - это отрезок реестра (одна из нужных нам веток) нашей искомой системы. Мы можем её менять, как вздумается и сохранять обратно в искому систему, что даёт нам просто безграничный просто для фантазии. :)
Теперь переходим в test-е в директорию Setup, там меняем параметр CmdLine: ставим туда "cmd.exe". Также меняем параметр SetupType на 2 (по умолчанию там стоит 0). Это позволит системе при загрузке подумать, что сейчас происходит первый запуск и потому надо выполнить то, что указано в CmdLine (обычно там указывается путь для установки низкоуровневых драйверов на этапе загрузки ОС), т.е. - в нашем случае - запустится консоль с правами SYSTEM, что не просто гуд - это всё, о чём мы могли мечтать (конечно, не права доменного админа, но всё же).
Теперь выделяем test и жмём Файл => Выгрузить куст. Всё, реестр в системе-жертве обновлён. Теперь перегружаемся.
Шаг 4. Сброс пароля локального админа.
В процессе перезагрузки заходим в BIOS и меняем все BOOT-параметры на прежние. Далее, в процессе загрузки ОС Вы увидите консольное окно, замущенное от SYSTEM. В нём Вы можете делать с Вашей ОС что угодно. Можете создать нового пользователя, можете сбросить пароль к имеющемуся, можете подредактировать группу Администраторы и т.д.
Пойдём наиболее простым путём - сделаем пользователя локального админа активным и сбросим ему пароль.
Итак, исполняем: net user и видим список всех локальных пользователей системы. Это гуд. Из них методом напряга интеллекта выбираем того, который по логике вещей должен являться локальным админом. Если юзеров типа Администратор, Administrator, Admin в списке нет (иногда злобые сисадмины переименовывают их, думая, что это сделает систему безопаснее: какая наивность :)), то есть другой способ: net localgroup - список групп. Там точно будет либо Administrators, либо Администраторы. Далее, пишем net localgroup Administrators (если в списке групп была Administrators, иначе - Администраторы). И видим список юзеров-админов.
Теперь выполняем простой набор:
net user Administrator Newpass - смена пароля для юзера Administrator (у Вас может быть свой) на Newpass.
net user Administrator /active:yes - делаем пользователя-админа активным (незаблокированным, ибо часто они заблокированы).
Вот, собственно и всё. Этот метод нехорош тем, что Вы меняете пароль и разблокируете локального админа, а этот факт может быть без особого труда вычислен нашими злейшими врагами - сисадминами. Потому можно сделать иначе:
net user superuser Superpass / add - создаём юзера superuser.
net localgroup Administrators Superuser /add - помещаем superuser в локальную группу админов.
Метод хорош тем, что позже, загрузившись с данным пользователем, Вы сможете без труда поместить своего доменного пользователя в группу Администраторы, после чего удалить временно созданную учётную запись.
Шаг 5. Чистка следов или что делать дальше.
Итак, мы создали или сбросили пароль на пользователя-админа. Загрузились с него, но не работать же всё время из-под него: риск не просто велик - он феноменально огромен. Есть два пути: можете работать из-под учётки с ограниченными правами, периодически пользуясь такой вещью, как "Запуск от имени". А можно просто поместить своего доменного пользователя в группу админов. Как это сделать, думаю, объяснять никому не надо (в cmd исполняем compmgmt.msc, переходим в управление локальными пользователями и группами, далее в Группы и там уже редактируем группу админов в красивом графическом интерфейсе).
А вот после всех этих манипуляций я настоятельно рекомендую почистить журнал событий: в cmd исполняем eventvwr.msc, далее идём по всем журналам и жмём справа очистить. В результате, все следы будут уничтожены. Делать это лучше под учёткой нового (созданнного) локального админа, который уже удалён (т.е. в системе его нет, но Вы ещё под ним залогинены), а после действий перегрузиться жёстким способом: через волшебную кнопочку reset (юзер-админ при этом будет уже уничтожен). В итоге, в локах останется запись о том, что такой-то юзер всё стёр, однако не будет ничего больше об этом пользователе: ни его входы-выходы, ни другие действия, ни даже его удаление кем-то, т.е. пользователь-фантом. В случае тщательного расследования каких-либо инцидентов, которые произойдут с Вашим участием, это вполне может спасти Вашу судьбу. :)
Конечно, есть ещё более надёжный способ: логи системы, дабы там не было записи о том, когда и кто их чистил, можно просто уничтожить, таким образом, чтобы они не запускались вообще. В простом варианте для этого достаточно удалить сам вьювер логов: eventvwr.msc, находящийся в директории <disk>:\windows\system32, однако делать это придётся либо под тем же LiveCD, либо с использованием консоли с правами SYSTEM (как её получить описано в способе 2 ниже). Но просмотрщик можно восстановить при сильном желании (хотя мало кто уже будет этим заниматься, и если Вы не собираетесь с этого компьютера хакерить банки, то можно не опасаться проблем). О том, как уничтожить саму базу логов, я в данной статье рассказывать не буду (тот, кому это реально может быть нужно, знает, как это сделать и сам :)).
Способ №2 (подмена seth.exe).
Данный способ, на самом деле, мало отличается от предыдущего. Шаги 1-3 первого способа полностью повторяем. Кстати, в качестве LiveCD в данном случае вполне можно использовать стандартный установочный диск / установочную флешку от Windows 7/8/10, выбрав после загрузки с онной пункт "Восстановление работоспособности системы" (ибо сейчас нам с реестром работать не придётся). А вот на шаге 4, когда получаем консоль, мы не сбрасываем пароли и не создаём новых юзеров, а делаем вот что:
copy <диск>:\windows\system32\sethc.exe seth2.exe - делаем резервную копию оригинального файла стандартной функции залипания клавиш seth.exe.
copy <диск>:\windows\system32\cmd.exe c:\windows\system32\sethc.exe - далее подтверждаем замену. Заменяем оригинальный seth на командную строку (cmd). Чуете, чем пахнет? :)
Теперь после загрузки системы - на любом этапе, когда Вы захотите, начиная с экрана входа, Вы можете вызвать консоль с правами SYSTEM, что очень гуд. Прсто быстро нажимаете 5 раз подряд Shift и всё.
А дальше хоть меняйте пароль, хоть создавайте пользователей, хоть чистите логи, хоть копируйте SAM-базы (для последующего брутфорса (перебора и узнавания) текущих паролей пользователей), хоть что-либо ещё, на что у Вас фантазии хватит, но делать всё это я не рекомендую, ибо суть тут в другом. Преимущество данного подхода в том, что Вы не меняете никаких паролей, никаких пользователей новых не создаёте, а просто вызываете системную консоль тогда, когда Вам реально нужны права, и запускаете при помощи неё что-либо, что требуется.
При таком подходе в логах системы не останется абсолютно никаких упоминаний о Вашей активности. Иногда могут встречаться запуски странных приложений / установщиков и т.д., на которые у Вашей доменной учётки вроде как не должно быть прав, но ведь прав у Вас действительно нет и никогда не было. :) А все подозрительные запуски происходили от имени системы (SYSTEM), так что Вы остаётесь абсолютно чисты.
Заключение
Вот, собственно, два основных подхода, которые в числе всех прочих мне довелось использовать в своей обыкновенной практике. Они вполне сгодятся для цели облегчения жизни на работе путём снятия разного рода ограничений, которые так любят современные работодатели. Главное, не показывайте другим, что можете и не пользуйтесь этими правами без реальной надобности.
А вот если Вам хочется большего - например, права доменного админа или есть желание залезть в бухгалтерию Вашей компании, то тут нужны совсем другие подходы. Действуя на своей машине от своего доменного или локального пользователя Вы в любом случае рискуете, потому что работаете с сетью со своего компьютера, и все переданные Вами пакеты жёстко фиксирует в логах firewall и/или SIEM-системы, потому следует соблюдать некую осторожность. Для соблюдения анонимности в этом случае, к сожалению, совсем не достаточно почистить или уничтожить локальные логи: всё равно Вас вычислят очень быстро.
О том, как обеспечить анонимность высшей категории, а также о более продвинутых и аккуратных способах получения админских прав, включая способы получения прав доменного админа, я рассказал в своём недавно вышедшем в свет курсе по личной информационной безопасности.
С уважением, Лысяк А.С.
