Les sessions RDP sont une surface d'attaque à part entière, exploitée une fois qu'un attaquant dispose déjà d'un accès privilégié à un serveur de terminaux ou à un hôte multi-utilisateurs. Windows permet à un compte suffisamment privilégié de se connecter à la session d'un autre utilisateur : le détournement prend le contrôle d'une session déconnectée ou même active sans le mot de passe de la victime, et le shadowing observe une session en direct. Séparément, les canaux virtuels de redirection de périphériques de RDP, presse-papiers et mappage de lecteurs, déplacent des données entre le client et le serveur et les laissent fuiter vers quiconque contrôle l'une des extrémités. Ces techniques convertissent un accès à l'hôte en capture des sessions, identifiants et données des autres utilisateurs.
# enumerate sessions on a host you have privileged access to
query user # or: qwinsta (session IDs, states: Active/Disc)
Sous-thèmes#
- Détournement de session : prendre le contrôle de la session d'un autre utilisateur sans son mot de passe.
- Shadowing de session : observer une session en direct.
- Redirection du presse-papiers : capturer des données via le canal presse-papiers.
- Redirection de lecteurs : atteindre les lecteurs client mappés.