Windows 10: Verificare quali processi vengono eseguiti con privilegi elevati

Alcuni processi in ambiente Windows hanno la necessità di essere eseguiti con privilegi elevati per poter operare.
Un processo può essere avviato manualmente con privilegi elevati o come amministratore oppure autorizzato dal UAC (Controllo Account Utente). Uno sviluppatore può fare in modo, tramite una tecnica di sviluppo nota come embedded manifest, che la sua applicazione richieda il token di accesso come amministratore. In queste situazioni interviene il UAC.

Per visualizzare velocemente quali processi sono in esecuzione con privilegi elevati o autorizzati dal UAC è possibile procedere nel seguente modo:

• Premere la combinazione di tasti CTRL+ALT+CANC e selezionare Gestione Attività;
• Posizionarsi sulla scheda Dettagli;
• Cliccare, con il tasto destro del mouse, sull'intestazione di una colonna e selezionare, dal menu contestuale, l'opzione Seleziona colonne;
  

  

  FIG 1 - Gestione attività, Seleziona colonne

• Nell'elenco selezionare Con privilegi elevati e Virtualizzazione controllo dell'account utente quindi confermare cliccando su OK;
  
  

  

  FIG 2 - Seleziona colonne, Con privilegi elevati e Virtualizzazione controllo dell'account utente

In Gestione attività, all'interno della colonna Con privilegi elevati troviamo valori Si e No che indicano se il processo è stato eseguito con privilegi elevati o meno.
Nella colonna Virtualizzazione controllo dell'account utente possiamo trovare uno dei seguenti valori:
Non consentito - Processo in esecuzione come amministratore (privilegi elevati);
Abilitato - Processo soggetto alla virtualizzazione UAC;
Disabilitato - Processo non soggetto alla virtualizzazione UAC.

FIG 3 - Gestione attività, Con privilegi elevati e Virtualizzazione controllo dell'account utente

Office: Installare Office Picture Manager in Office 2016/365

Microsoft Office Picture Manager è incluso in Office 2003, 2007, 2010 ma a partire da Office 2013 tale applicazione è stata rimossa dal pacchetto.
L'applicazione è stata rimossa in quanto Microsoft ritiene che Windows Photo Gallery disponga delle stesse funzionalità, tuttavia molti utenti abitudinari preferiscono ancora utilizzare Picture Manager.
In quest'articolo verrà mostrato un workaround per installare Picture Manager su Office 2013, 2016 e 365. Picture Manager è un componente di Sharepoint Designer 2010 che è possibile scaricare gratuitamente dal sito Microsoft.

Vediamo in dettaglio come procedere.

• Scaricare Microsoft SharePoint Designer 2010 da uno dei seguenti link in base alla versione di Office installata
  Microsoft SharePoint Designer 2010 per Office a 32-bit
  Microsoft SharePoint Designer 2010 per Office a 64-bit 



FIG 1 - Download Microsoft SharePoint Designer 2010

• Eseguire il file scaricato, rispondere affermativamente all'eventuale finestra di dialogo del Controllo dell'account utente quindi accettare le condizioni di licenza e cliccare su Continua;
  

  

  FIG 2 - Condizioni di licenza Microsoft SharePoint Designer 2010

• Cliccare su Personalizza;
  

  

  FIG 3 - Personalizza installazione

• Nella schermata successiva, cliccare su ogni sezione e selezionare la voce Escludi dall'installazione;
  

  

  FIG 4 - Escludi dall'installazione

• Espandere la sezione Strumenti di Office, cliccare su Microsoft Office Picture Manager e selezionare Esecuzione dal computer locale;
  

  

  FIG 5 - Microsoft Office Picture Manager, Esecuzione dal computer locale

• Cliccare su Installa per avviare l'installazione del prodotto;
  

  

  FIG 6 - Microsoft Office Picture Manager, Avvio dell'installazione

• Al termine dell'installazione verrà visualizzata la finestra di FIG 7, cliccare su Chiudi.
  

  

  FIG 7 - Microsoft Office Picture Manager, installazione completata

Adesso Microsoft Office Picture Manager è correttamente installato sulla postazione.

FIG 8 - Microsoft Office Picture Manager

Windows 10: Disabilitare l'anteprima delle schede del browser Edge tramite registro

Edge, il nuovo browser Microsoft introdotto in Windows 10, presenta un'interessante novità: l'anteprima delle schede. Sostando per qualche secondo con il cursore del mouse sull'etichetta di una scheda non attiva, viene visualizzata una piccola anteprima della pagina. 

FIG 1 - EDGE, anteprima schede

La miniatura è troppo piccola per distinguerne il contenuto e può risultare inutile se le pagine presenti nella varie schede sono simili. Se si intende disabilitare tale funzionalità è possibile agire tramite il registro di sistema:

• Avviare l'editor del registro di sistema (WIN+R e digitare regedit seguito da invio);
• Posizionarsi su
  HKEY_CURRENT_USER\SOFTWARE\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\TabbedBrowsing
• Se non presente, creare un nuovo valore DWORD (32 bit) assegnargli il nome TabPeekEnabled e valorizzarlo a 0.

Per rendere effettiva la modifica è necessario riavviare il browser Edge mentre per ripristinare lo stato iniziale basta eliminare il valore TabPeekEnabled.

Per chi non volesse mettere mano al registro può scaricare, dal seguente link, i file .reg per abilitare/disabilitare l'anteprima delle schede in Edge.
DOWNLOAD

Windows Quick Tip: Verificare quale processo sta utilizzando una determinata periferica

Nell'articolo Identificare il processo che utilizza un file tramite Monitoraggio Risorse è stato mostrato come individuare quale processo utilizza un determinato file/cartella.
In modo del tutto analogo è possibile verificare quale processo utilizza una determinata periferica.
In giro esistono numerosi esempi di codici malevoli in grado di attivare il microfono e la webcam in maniera invisibile e spiare la vittima. Questo metodo può essere utile nell'individuare l'uso di una periferica all'insaputa dell'utente.


Supponiamo di voler identificare quale applicazione ha preso il controllo della nostra webcam:

• Avviare Gestione computer (WIN+R e digitare compmgmt.msc seguito da invio);
  

  

  FIG 1 - Gestione computer, compmgmt.msc

• All'interno di Utilità di sistema selezionare Gestione dispositivi;
• La lista dei dispositivi è organizzata per tipologia. Selezionare il dispositivo che si intende verificare:le webcam si trovano all'interno di Dispositivi di acquisizione immagini.
  
  

  

  FIG 2 - Gestione computer, Gestione dispositivi

• Cliccare 2 volte sul dispositivo e posizionarsi sulla scheda Dettagli;
• All'interno della casella a discesa Proprietà selezionare Nome oggetto dispositivo fisico;
• Nella casella Valore, cliccare con il tasto destro sul valore e selezionare Copia dal menu contestuale per copiare il nome dell'oggetto negli appunti.
  

  

  FIG 3 - Proprietà dispositivo

I passaggi appena eseguiti servono ad individuare la denominazione dell’hardware nel formato utilizzato dal computer in modo da permetterci di identificare in maniera univoca la nostra periferica. A questo punto dobbiamo verificare da quale processo è utilizzata tramite Monitoraggio risorse:

• Avviare Monitoraggio risorse (WIN+R e digitare resmon seguito da invio);
• Selezionare la scheda CPU;
• Nella casella Cerca Handle, presente sulla barra del titolo Handle associati, incollare il testo copiato nei passaggi precedenti (CTRL+V);
  
  

  

  FIG 4 - Monitoraggio risorse, Handle associati

Tra i risultati della ricerca verrà visualizzato il nome del processo che sta utilizzando la periferica.

Kali Linux: Eseguire un attacco MITM utilizzando XEROSPLOIT

In questo articolo verranno mostrati alcuni degli attacchi MITM (man in the middle) possibili tramite l'utilizzo del framework XEROSPLOIT.

ATTENZIONE:

Danneggiare o violare un sistema informatico (anche da remoto) rappresenta un reato penale. Le informazioni presenti in quest'articolo vanno utilizzate solo per testare/verificare sistemi di cui si è titolari. Declino ogni responsabilità civile e penale derivante da un utilizzo non legale delle informazioni presentate in questo articolo a solo scopo didattico.

Prima di procedere assicurarsi che la propria distribuzione di Kali Linux sia aggiornata. I passaggi da seguire per aggiornare la distribuzione sono indicati nell'articolo Kali Linux: Messaggio "Something went wrong, printing the error: name 'src' is not defined" nell'utilizzo di SET presente su questo blog.

Installazione del framework Xerosploit

• Avviare il terminale;
• Digitare ed eseguire git clone http://www.github.com/Lionsec/xerosploit.git e attendere il download;
  

  

  FIG 1 - Xerosploit, download da github

• Terminato il download accedere alla directory xerosploit digitando cd xerosploit;
• Installare xerosploit eseguendo il comando python install.py;
• All'avvio dell'installazione viene richiesto di specificare il sistema operativo per il quale installare il framework. Selezionare l'opzione relativa al proprio sistema. Nel nostro caso, lavorando in Kali Linux, digitare 1 seguito da invio.
  

  

  FIG 2 - Xerosploit, selezione del sistema operativo

• Al termine dell'installazione un messaggio indica se l'operazione è terminata con successo.
  

  

  FIG 3 - Xerosploit, installazione completata con successo

Avviare il framework Xerosploit

• Dal terminale avviare il framework lanciando il comando xerosploit
  

  

  FIG 4 - Avvio di Xerosploit

• Eseguire la scansione della rete tramite il comando scan
  
  

  

  FIG 5 - Xerosploit, Scansione della rete

• Individuato l'indirizzo IP della vittima, digitiamolo seguito da invio. Ad es. in figura FIG 6 prendiamo di mira la postazione con IP 192.168.1.10
  

  

  FIG 6 - Xerosploit, indirizzo IP della macchina da attaccare

• Digitando help è possibile visualizzare tutti i moduli a disposizione. Ciascun modulo corrisponde ad un'operazione/attacco che è possibile eseguire.
  

  

  FIG 7 - Xerosploit, moduli

  I moduli inclusi nel framework sono:
  

  pscan	Consente di effettuare la scansione delle porte della workstation remota.
  dos	Effettua un attacco DoS (Denial of Service) verso la workstation specificata.
  ping	Esegue un ping verso la macchina che si sta attaccando.
  injecthtml	Permette di eseguire l'inject di codice HTML all'interno delle pagine visualizzate dal browser della vittima.
  injectjs	Permette di eseguire l'inject di codice javascript all'interno delle pagine visualizzate dal browser della vittima.
  rdownload	Permette di sostituire qualsiasi file scaricato tramite il browser della vittima con uno a propria scelta.
  sniff	Esegue lo sniffing dei pacchetti di rete.
  dspoof	Permette di dirottare tutto il traffico http su un indirizzo IP specifico.
  yplay	Esegue un suono in background nel browser della vittima.
  replace	Sostituisce tutte le immagini visualizzate nel browser della vittima con una a propria scelta.
  driftnet	Visualizza tutte le immagini visualizzate dal browser della vittima.
  move	Il contenuto delle pagine web visualizzate dalla vittima iniziano a tremare.
  deface	Sostituisce l'intero contenuto della pagina web visualizzato dalla vittima con codice HTML a propria scelta.

  
  Non resta che digitare il nome del modulo che si intende caricare e lanciare il comando run per eseguirlo. 

Vediamo qualche esempio di utilizzo.

Esempio 1: Uso del modulo Replace per sostituire le immagini visualizzate dal browser
Una volta avviato Xerosploit come indicato nei passaggi precedenti, caricare il modulo replace quindi digitare run per mandarlo in esecuzione.
Verrà richiesto di indicare l'immagine, comprensiva di path, che andrà a sostituire tutte quelle visualizzate dal browser della vittima (ad es. in figura FIG 8 viene indicata l'immagine /root/Desktop/wile-e-coyote.jpg )

FIG 9 - Xerosploit, modulo replace

A questo punto quando la vittima andrà ad aprire una pagina web, tutte le immagini in essa contenute verranno sostituite da quella da noi indicata.
Per interrompere l'attacco basta premere la combinazione di tasti CTRL+C.



Esempio 2: Uso del modulo move per far vibrare il contenuto della pagina web
Caricare il modulo move ed eseguirlo tramite run. Da questo momento quando la vittima aprirà una pagina web il suo contenuto inizierà a vibrare rendendo difficile la lettura.

FIG 10 - Xerosploit, modulo move

Anche in questo caso, per terminare l'attacco, è necessario premere la combinazione di tasti CTRL+C.

Windows: Modificare le impostazioni del proxy di Internet Explorer tramite registro di sistema

In alcune circostanze può essere utile procedere alla modifica delle impostazioni del proxy di Internet Explorer agendo tramite il registro di sistema.

Per disabilitare l'opzione Rileva automaticamente impostazioni:

• Avviare l'editor del registro di sistema (WIN+R e digitare regedit seguito da invio); 
• Posizionarsi su HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 
• Rimuovere o impostare a 0 il valore DWORD AutoDetect per disattivare l'opzione Rileva automaticamente impostazioni. Per ripristinare l'opzione basta valorizzare AutoDetect ad 1.

Per impostare un determinato proxy e relativa porta:

• Avviare l'editor del registro di sistema (WIN+R e digitare regedit seguito da invio); 
• Posizionarsi su 
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 
• Impostare il valore DWORD ProxyEnable ad 1 per abilitare l'opzione Utilizza un server proxy per le connessioni LAN. Queste impostazioni non verranno applicate alle connessioni remote o VPN.
• All'interno del valore ProxyServer specificare il proxy e la relativa porta (ad es. proxy.dominio.ext:80).

FIG 1 - Impostazioni Proxy

Per automatizzare l'operazione è possibile creare un piccolo script batch con le seguenti righe 

@ECHO OFF
ECHO Configurazione proxy
TIMEOUT /T 3 /NOBREAK
ECHO Disabilitazione opzione Rileva automaticamente impostazioni
REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoDetect /t REG_DWORD /d 0 /f
ECHO Impostazione proxy e relativa porta
REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d "proxy.domain.ext:PortNumber" /f
ECHO Impostazione proxy terminata. Riavviare Internet Explorer
pause:

Cliccando sul seguente link è possibile scaricare lo script batch e il file .reg

DOWNLOAD

Aprendo il file ImpostaProxy.bat o ImpostaProxy.reg con un editor di testo come Blocco Note, sostituire proxy.domain.ext:PortNumber con il proxy desiderato e relativa porta.

Windows: Gestire il ripristino di sistema tramite PowerShell

La funzione ripristino di sistema ha fatto il suo debutto con Windows XP. Tale funzionalità risulta molto utile nel caso si riscontrino problemi con Windows, permettendo il ripristino dell'intero sistema ad una data antecedente a quella in cui si è presentato il problema.

In quest'articolo verrà mostrato come gestire tale funzionalità tramite i seguenti comandi PowerShell:

Enable-ComputerRestore

Disable-ComputerRestore

Checkpoint-Computer

Get-ComputerRestorePoint

Restore-Computer

Per poter utilizzare tali cmdlet è necessario eseguire PowerShell come amministratore:

Dal menu Start ricercare PowerShell, quindi cliccare sul collegamento con il tasto destro del mouse e selezionare Esegui come amministratore. All'eventuale richiesta di conferma visualizzata dal UAC (Controllo dell'account utente), confermare cliccando su SI.

FIG 1 - Windows 10: Avviare PowerShell come amministratore

I cmdlet indicati permettono di abilitare/disabilitare la protezione ripristino di sistema, creare nuovi punti di ripristino ed eseguire il restore. Vediamoli in dettaglio.

Enable-ComputerRestore

Enable-ComputerRestore consente di abilitare il ripristino di sistema e specificare su quali dischi attivare la protezione. I dischi su cui va abilitata la protezione da parte del ripristino di sistema vanno specificati separati da virgola come indicato di seguito 
Enable-ComputerRestore "C:\", "D:\"

Sui dischi/partizioni non specificati esplicitamente all'interno del comando, la protezione verrà disabilitata. Impostazioni più dettagliate, come la percentuale del disco da utilizzare, possono essere settate tramite il Pannello di Controllo oppure agendo sulle chiavi di registro presenti in 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore

Disable-ComputerRestore

La sintassi del comando Disable-ComputerRestore è del  tutto analoga a quella vista per Enable-ComputerRestore con la differenza che in questo caso la protezione viene disabilitata per i dischi/partizioni specificati.
Disable-ComputerRestore "C:\", "D:\"

Checkpoint-Computer

Checkpoint-Computer consente di creare un nuovo punto di ripristino. La sintassi è molto semplice, basta far seguire al comando una breve descrizione, contenuta tra apici, da assegnare al punto di ripristino. Ad es.

Checkpoint-Computer "Punto di ripristino antecedente ad Office 2016"

Get-ComputerRestorePoint

Il cmdlet Get-ComputerRestorePoint visualizza tutti i punti di ripristino disponibili e basta eseguirlo senza alcun parametro
Get-ComputerRestorePoint
Oltre alla data/ora e la descrizione del punto di ripristino viene riportato anche il relativo numero sequenziale (SequenceNumber).

Nel caso in cui sia già stato eseguito un ripristino di sistema è possibile verificare il punto di ripristino utilizzato tramite il comando 
Get-ComputerRestorePoint -LastStatus

Restore-Computer
Per ripristinare il sistema si utilizza il cmdlet Restore-Computer indicando il relativo SequenceNumber del punto di ripristino che si intende utilizzare:
Restore-Computer -RestorePoint <SequenceNumber>
Ad esempio, supponendo di voler ripristinare il punto di ripristino avente come SequenceNumber 10 il comando è il seguente
Restore-Computer -RestorePoint 10
Per conoscere il SequenceNumber del punto di ripristino più recente si utilizza il comando 
(Get-ComputerRestorePoint)[-1].sequencenumber
Combinando i 2 cmdlet Restore-Computer e Get-ComputerRestorePoint, come indicato di seguito, possiamo automatizzare il restore al punto di ripristino più recente:
Restore-Computer -RestorePoint (Get-ComputerRestorePoint)[-1].sequencenumber
Il cmdlet Restore-Computer viene eseguito senza richiedere alcuna conferma all'utente. Per visualizzare un messaggio di conferma bisogna aggiungere al cmdlet il parametro -confirm:$true
Restore-Computer -RestorePoint (Get-ComputerRestorePoint)[-1].sequencenumber -confirm:$true

FIG 2 - Cmdlet PowerShell per la gestione dei punti di ripristino