Schlagwort-Archive: Windows

Windows-Betriebssysteme sind vor allem auf Personal Computern und Servern verbreitet; daneben existieren Varianten für Geräte wie Smartphones oder PDAs .

SID Query in Command Prompt and PowerShell

Windows Benutzer SID abfragen

Für System Administratoren ist das abfragen von Informationen zur Umgebung und Konfiguration eine alltägliche Arbeit. Eine dieser Information ist die SID (Security Identifier), diese von Windows zur Identifikation von Benutzer und Gruppen verwendet wird. Benutzernamen in einem Netzwerk können doppelt vorhanden sein, damit es zu keinem Konflikt kommt, wird jedem Benutzer eine eindeutige SID zugewiesen.

Bei der zuwiesung der Benutzer Rechte, verwendet Windows die dafür definierte SID. Eine SID ist ungefähr so aufgebaut wie ein GUID (Globally Unique Identifier), das jedes Objekt bei Windows besitzt. SIDs erhalten aber ausschließlich sicherheitsrelevate Objekte, da die SID zur Echtheitsbestätigung verwendet wird.

Durch diese SID wird der Benutzer im ganzen Netzwerk identifiziert. Auch wenn der Name des Benutzer geändert wird, bleibt die SID bestehen, wird der Benutzer im Netzwerk gelöscht, wird seine SID aufgehoben.

Aufbau meiner SID

S-1-5-214147432549-3588766049-1627529166-1001

Die SID (Security Identifier) Token haben folgende Bedeutungen:

SEs handelt sich um eine SID
1Revisionsnummer
5Identifier Authority
18Systemprofile
19Localservice
20NetworkService
21Benutzerprofile
4147432549-3588766049-1627529166Domain ID, Computer ID
1001Benutzer ID (RID)

Tabelle mit SID der Systemkonten

SID Abfragen

Möchte man nun die SID aller Benutzerkonten abfragen, geht das mit folgendem Befehl in einem Command Prompt (cmd).

Es werden alle SIDs und Benutzernamen ausgegeben.

Hier die SIDs der lokalen Konten. Bei einer abfrage in einer Netzwerk Domäne können es einige mehr sein.

Computer- und Domänen-SIDs bestehen aus einer Basis-SID und einer relativen ID (RID), die an die Basis-SID angehängt wird. Wenn der Computer einer Domäne angehört, kommt eine andere SID ins Spiel. Der Computer verfügt weiterhin über eine eigene Computer-SID und eigene lokale Konten und Gruppen, ist jedoch auch Mitglied einer Domäne und verfügt daher über eine SID, die das Computerkonto in dieser Domäne darstellt. Die SID eines Computerkonto besteht aus der SID des Administratorenkonto, abzüglich der RID, die letzten 3 bit oder 4 bit (500) entfallen.

Soll gezielt die SID eines Benutzers abgefragt werden, so zum Beispiel seine eigene SID, kann dies mit folgendem Command abgerfagt werden.

Möchte man die SID eines anderen Benutzers wissen, kann anstelle von %username% ein Benutzer angegeben werden, zB, john.

Mit folgendem Befehl lässt sich die SID des mit dem gerade angemeldeten Benutzer in einer AD-Domäne feststellen.

In umgekehrter folge geht es auch, es soll der Benutzername einer SID abgefragt werden.

In der PowerShell sieht die abfrage wie folgt aus.

Es wird der Benutzername und die SID des in der Domäne company angemeldeten Benutzers ausgegeben.

Hiermit kann beispielsweise mit der SID der ProfileImagePath zum Benutzerprofil in der Registry gefunden werden, um Reparaturen oder Anpassungen vornehmen zu können. Auch wird die SID als ObjectID in SQL-Tabellen verwendet, um Benutzer aus Active Directory in einer Anwendung identifizieren und authorisieren zu können, so zum Beispiel bei Dynamics AX.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

RDS-Exploit BlueKeep (CVE-2019-0708) finden mit RDPScan

Exploit-Code für RDP-Leck BlueKeep in Windows aufspüren

Microsoft veröffentlichte am Patchday im Mai außergewöhnliche Sicherheitsupdates für eigentlich ausgelaufe Produkte wie Windows XP und Server 2003. Der Grund ist eine als „kritisch“ eingestufte Sicherheitslücke (CVE-2019-0708) in der Fernwartungsfunktion Remote Desktop Services (RDP). Windows 8.1 und 10 sind davon nicht betroffen.

Die Schwachstelle CVE-2019-0708 wird von Microsoft Corporation 137,08 -1,82 -1,31% als außer­ordentlich kritisch eingeschätzt, so dass der Hersteller sogar Security Updates (KB4500331 und KB 4499180) für Windows XP, Vista und Server 2003 bereitstellte, obwohl für sie der Support schon abgelaufen ist.

Mit dem Open-Source Tool rdpscan können Admins ihr Netzwerk nach PCs absuchen. Es ist ein Kommando­zeilen­programm, mit diesem man einzelne IP-Adresse oder einen IP-Bereich als Parameter übergibt, so zum Beispiel:

VULNERABLE – got appid bedeutet, dass das System CVE-2019-0708 verwundbar ist.

Die Ausgabe SAFE – CredSSP/NLA required bedeutet, dass auf dem Rechner die Network Level Authentication (NLA) aktiviert wurde, dabei der RDP-Scanner nicht eindeutig feststellen kann, ob die Schwachstelle wircklich geschlossen ist.

 

Windows Computername in der Taskleiste

Computername in Windows Taskleiste anzeigen

Für Helpdesk und Support oder für Administratoren ist es wichtig zu wissen, an welchem Computer der Mitarbeiter gerade ist. Windows bringt keine Anzeige mit Onboard, welche Arbeitsplatzname, oder den Computername auf dem Desktop anzeigt, ohne das ein Ausflug in die Systemeinstellungen nötig wird, oder man Befehle in der Eingabeaufforderung eingeben muss.

Eine einfache möglichkeit Computernamen in der Taskleiste anzeigen zu lassen, gibt es über das anlegen einer neuen Symbolleiste, zuvor muss aber noch ein Ordner angelegt werden, dieser durch ausführen folgender Befehlszeile in einem Command Prompt erstellt wird.

Nun klickt man in der Taskleiste die rechte Maustaste, und geht auf Symbolleisten und Neue Symbolleiste.

In der Adresszeile geben wir %APPDATA% als Pfad ein und wählen den Ordner mit dem Computername und klicken auf Ordner auswählen.

Nun ist der Computername schon in der Taskleiste, wenn die Taskleiste nicht fixiertist ist, mit rechtsklick Taskleiste fixieren, kann die Symbolleiste mit dem Computername an die gewünschte Position gebracht werden.