PowerShell: Blocca computer

Tramite PowerShell è possibile accedere alle funzioni API di basso livello utilizzando le firme in stile C#. Le funzioni API importate vengono aggiunte come nuovi tipi. In questo breve articolo verrà esposta proprio tale funzionalità mediante PowerShell.
Nel seguente codice viene mostrato come, tramite DllImport, viene importata la funzione di Win32 LockWorkStation() che, aggiunta come nuovo tipo nell'istruzione successiva, è richiamata per bloccare il computer.

$firma = '[DllImport("user32.dll",SetLastError=true)]
public static extern bool LockWorkStation();'
$nt = Add-Type -memberDefinition $firma -name api -namespace stuff -passthru
$null = $nt::LockWorkStation()

FIG 1 - PowerShell, Blocca computer tramite Win32 LockWorkStation()

Clicca Qui per scaricare il file .PS1.

Aggirare il Blocca computer di Windows tramite screensaver in Flash

Windows consente di bloccare la postazione impedendo ad altri utenti di utilizzarla. L'operazione può essere effettuata in Windows sia tramite GUI (in tal caso l'operazione da effettuare varia in base alla versione del Sistema Operativo) oppure tramite la comoda combinazione di tasti Win + L.

Tale funzione è utile quando ci si allontana momentaneamente dalla postazione, ad es. durante la pausa pranzo, e ci permette di bloccare la sessione impedendo ad altri utenti (o malintenzionati) di operare sulla workstation con le nostre credenziali.

In molte aziende le workstation sono configurate in modo da eseguire uno screensaver animato quando il computer è bloccato. Spesso lo screensaver è realizzato in Flash e il file swf risultante viene compilato al fine di ottenere un file eseguibile (con estensione .exe) e quindi rinominato in .scr. Questo può rappresentare una grave falla di sicurezza.

All'interno della seguente chiave di registro è possibile verificare (o specificare) il file .scr dello screensaver
HKEY_USERS\.DEFAULT\Control Panel\Desktop\SCRNSAVE.EXE

Quando lo screensaver realizzato in Flash è in esecuzione è possibile aggirarlo procedendo nel seguente modo:

• Senza muovere il puntatore del mouse, cliccare con il tasto destro.
• Dal menu che appare selezionare Impostazioni globali...

FIG 1 - Impostazioni globali...

• Dalla scheda Avanzate cliccare su Impostazioni posizioni attendibile...

FIG 2 - Impostazioni posizioni attendibile...

• Nella schermata successiva cliccare su Aggiungi

FIG 3 - Impostazioni posizioni attendibile... Aggiungi

• All'interno della finestra di dialogo Aggiungi sito cliccare su Aggiungi file...

FIG 4 - Aggiungi sito

• Cliccare, con il tasto destro del mouse, su una cartella qualsiasi e dal menu contestuale selezionare Apri in una nuova finestra

FIG 5 - Apri in una nuova finestra

A questo punto si apre una nuova finestra di Esplora file (esplora risorse) ed è possibile aprire i file dell'utente che ha bloccato la postazione oppure eseguire programmi. Un malintenzionato, quindi, può prendere il controllo della postazione ed operare con gli stessi permessi/abilitazioni dell'utente loggato.


Come rimediare alla vulnerabilità
Un metodo per porre rimedio alla vulnerabilità consiste nel modificare il codice sorgente del file SWF al fine di disabilitare il menu contestuale che appare cliccando con il tasto destro del mouse. Avviare il file SWF con il parametro menu=false non risolve il problema in quanto il menu Impostazioni globali... rimane attivo.
Nel caso non fosse possibile mettere mano al codice sorgente è consigliabile non utilizzare lo screensaver realizzato in flash.

Windows Quick Tip: Blocca computer

In Windows molte operazioni possono essere portate a termine seguendo percorsi diversi. La funzione Blocca computer non fa eccezioni.
É possibile bloccare il computer:

• tramite CTRL+ALT+CANC e selezionando Blocca computer;
• tramite la combinazione WIN+L;
• creando un file .bat con all'interno le seguenti righe
  

  @echo off 
  rundll32.exe user32.dll,LockWorkStation
  

• creando un collegamento sul desktop

Per creare un collegamento sul desktop per bloccare la postazione:
Cliccare con il tasto destro del mouse sul desktop, quindi selezionare Nuovo e successivamente Collegamento. Verrà richiesto di inserire il percorso del collegamento: inserire rundll32.exe user32.dll, LockWorkStation e cliccare su Avanti. Specificare il nome del collegamento ed ecco che la procedura è terminata. Sul desktop comparirà il nuovo collegamento appena creato e cliccandoci su con il mouse verrà bloccato l'accesso al sistema.

FIG. 1 Collegamento Blocca computer