Microsoft ve GPO Açiklari

Bu döküman özellikle Microsoft ailesi isletim sistemi kullanan sirketlerde group policy’lere bagli olarak sinirlandirilmis yetkilerle köseye sikistirilmis kullanicilarin bu utanç duvarlarini nasil aldatabileceklerini ve geçeceklerini anlatacaktir.

Ev kullanicisi veya pc’lerinde admin yetkisinden baska bir sekilde çalismayan arkadaslarin bu dökümandan pek birseyler anlamasi mümkün degildir. Malum nasreddin hocamizin dedigi gibi damdan düsenin haline ancak baska bir damdam düsmüs biri bilebilir. Bende uzun bir müddet bu sinirkli policy’lerde bogulmus olan bir user olarak deneyimlerimi benim durumumda olan arkadaslarla paylasmak istedim.

Sirket admin’leri çogunlukla GPO(Group Policy Objects)leri olustururken domain user’larinin mümkün oldugunca kisitlanmasi gerektigini bununda sebebi sorulunca çogu saldirinin sirket içi ag’dan geldigini veya PC’ler ile is konusu harici eylemlerde bulunulmasinin sakincalari oldugunu söylemektedirler.

Evet hakli olabilirler ancak bu bir user’in üstün yeteneklere sahip bir pc’yi sadece Ms Office araçlarini veya Sirket için satin alinan paket programlari kullanmaya mecbur olduklari anlaminada gelmez. Bir kullanicinin masa üstü resmini degistirmesi, saatini degistirmesi veya ekran koruyucusunu kapatmak istemesi,çözünürlügü ile oynamak istemesi bu kisitlamalarin hangisini hakli hale getirir? Zaten hali hazirda isletim sisteminin user kapsamina aldigi kullanici bir çok risk içeren komutun çalismasini engellemektedir.

Yanlis anlasilmasin ben GPO’lara karsi olan biri degilim ama fazlaca abartildigini düsünenler arasindayim. Her neyse zaten su anki konumum itibari ile policylerle artik isim yok.

Evet biraz sitem’den sonra gelelim bu adi gpo’lardan bazilarini nasil alt edebilecigimize. Ben su ana kadar bir kaçini bulabildim ve onlari sizlerle paylasmak istiyorum.

1- Donatilar-Oyunlar :)

Sorun: Oyunlar - En çok kisitlanan nesnelerdir. User’inin is vakti oyun oynamasindan nefret eden patronlarin adminlere zorla yaptirdigi policy’lerin basinda gelir. Kullanici her oyun açma denmesinde . Erisim engellendi ibaresi ile karsilasir.

Denemeler:

1- Magdur Kullanici öncellikle Baslat menüsünden sag tiklayip aç komutunu vermeyi dener ama basaramaz. Zaten çogu gpo’larda taskbar için sag click çalismaz.

2- Kullanici c:\\Windows\\system32\\ altindan dogrudan oyunun exe’sine tiklayip çalistirmayi dener. Aslinda hiç bir manasi yoktur bunu yapmanin ama magdur adam bu :) hirs yapmis.Bundada basarisiz olur.

3- Kullanici ayni exe’ye sag tiklayip farkli çalistir degip baska arkadaslarinin sifresiyle açmayi dener ve bundada basarisiz olur. Ve zaten çogu GPO’da Run As çalismaz.

Çözüm:

Command prompt açilir ve oraya istediginiz oyunun exe’si yazilir örnek
[code]
C:\\spider.exe

Hayirli olsun :)
[/code]

Sebep:

Adminimiz gpo’a da oyunlari kisitlarken sadece oyun isimleri ve patchine göre kisitlamistir ve windows’ta bunlari registry içinde unicode seklinde muhafaza etmistir. Windows gui’si altinda yapilan her islem dogrudan registry’den karsilastirma yapilarak gerçeklestiginden command prompt islemleri bu olaydan mahfuz kalmaktadir.

2- Command Prompt Kisitlamasi

Sorun: Yukarida da bahsettigimiz gibi command prompt’da bir çok adminimizin ve patronumuzun istemeyecegi seyler yapilabilir. Ve adminlerimizin gözünde command-prompt mutlaka kisitlanmalidir.

Denemeler:

Magdur kullanicimizin aslinda gui altinda bunu çözebilmesi için hiç bir yolu yoktur. Yukarida oyunlar için anlatilan kisimda ki tüm seyleri denemesine ragmen Erisim Engellendi faciasindan kaçamaz.

Çözüm:

Çözüm çok basittir gui’den kurtulun. Yani bu is ne mouse tiklamiyla ne de klavye hileleri ile olmaz.
Her pc’de ki siz zaten bir isyerinde çalisiyorsaniz yüklü olmasi farz olan Ms Office paketiniz mutlaka vardir . Ki zaten olmayanlarda çözümü yazacagimda bunu nereden yapabileceklerini hemen anlayacaklar(VbScript) :)

Evet öncelikle excel açilir ve vbasic için gereken butonlar taskbar’a alinir ardindan excel’de bir buton veya stege göre tepki vermesi istenen obje çizilir. Ardindan bu obje’ye iki kere tiklayarak kod penceresi açilir ve asadgidaki kod aynen copy paste edilir.

[code]
Dim i As Integer
Private Sub CommandButton1_Click()
i = Shell("c:\\windows\\system32\\cmd.exe", vbNormalFocus)
End Sub
[/code]

DOS’tunuz hayirli olsun :)

Registry

Sorun:

Herhalde Registry’nin user’lara neden kisitli oldugunu yazmama gerek yok. Adminlerin en korkulu rüyasidir registry’nin gizliklerinin ifsa edilmesi. Tüm sizin adiniza yapilan her kisitlama ve özel ayar sizin user profilinize ait registry anahtarlarinizda saklanir.Bazi merakli user’larda bunlari görmek isteyebilirler.

Denemeler: Merakli kullanicimizin registry editörleri olarak regedit.exe ve regedt32.exe ’nin varligindan haberdar oldugunu varsayiyoruz. Öncelikle kullanicimiz yukarida bahsedilen; oyunlar için olsun msdos için olsun verilen trcikleri buralarda deneyecektir ancak sonuç "Erisim Engellendi" olacaktir.

Çözüm:

Çözüm biraz garip olacak derecede basittir. Regedit veya regedt32 uygulamalari farkli kullanici ile çalistir parametrelerinde her defasinda farkli sinirli hesap kullanan user’larin sifreleri girilse hatta kullanici kendi username’ini ve sifresini tekrar girse bile "Erisim Engellendi" hatasi alacaktir. Ancak ne gariptirki kullanici bahsedilen programlara farkli kullanici parametresini verdigi anda çikan penceredeki hiç bir sekilde degisiklik yapmdan default ayarlar ile dogrudan tamam butonuna basarsa registry editörlerimiz açilabiliyor. Bir microsoft klasigi :) Registry’niz hayirli olsun.

Aslinda daha yazacak bir çok açik var Windows ve Gpo ’lar ile alakali ancak simdilik sanirim bunlar isinizi görecekir. Zaten bu 3 açikta verdigim trickleri kullanarak daha bir çok kisitli alana erisim saglayabilirsiniz. simdilik benden bu kadar.