Введение
Защита компьютеров от злоупотреблений в корпоративной среде всегда была непрерывным процессом. Предоставление прав администратора пользователям всегда злоупотреблялось и пользователи устанавливали неутвержденное программное обеспечение, изменяли конфигурации и тд. Не предоставляй права локального администратора и они утверждают, что не могут выполнять свою работу. Если малварь скомпрометировала машину с полными правами администратора, то вы, скорее всего, попытаетесь переоборудовать ее.
Контроль учетных записей (UAC) дает нам возможность работать со стандартными правами пользователя вместо полных прав администратора. Таким образом, даже если ваша стандартная учетная запись находится в группе локальных администраторов, ущерб ограничен. То есть установка служб, драйверов, запись в безопасные места и тд запрещены. Для выполнения этих действий пользователям потребуется взаимодействовать с рабочим столом, например, щелкнув правой кнопкой мыши и запустив их с правами администратора, или принять запрос на повышение прав от UAC. UAC был представлен начиная с Windows Vista и содержит ряд технологий включая виртуализацию файловой системы и реестра, учетную запись защищенного администратора (PA или Protected Administrator), запросы на повышение прав UAC и уровни целостности Windows.
UAC работает регулируя уровень разрешений нашей учетной записи, поэтому действия программ выполняются из под обычного пользователя, даже если у нас есть права локального администратора на компьютере. Когда будут внесены изменения требующие разрешения на уровне администратора, UAC уведомит нас. Если у нас есть права локального администратора, мы можем нажать «Да», чтобы продолжить, в противном случае нам будет предложено ввести пароль администратора. Однако это будет зависеть от того, какие политики были определены в вашей среде.
В этой статье показано, как легко можно обойти запросы на повышение прав UAC и какие действия можно предпринять для уменьшения этой угрозы.
Обход UAC
Эксплуатация UAC является тривиальным процессом. Есть два этапа которые необходимо пройти для достижения обхода, чтобы подняться от стандартных прав пользователя до прав администратора. Эти шаги широко опубликованы, так что в этом нет ничего нового, хотя на этапе 2 документированы еще некоторые уязвимости связанные с захватом (hijacking) DLL.
Запиcь в безопасное место Эксплуатация DLL hijacking уязвимости
Для того чтобы наш обход был успешным, мы должны начать с:
Стандартный пользователь в группе администраторов Исполняемый файл Windows который должен быть подписан сертификатом подписи кода Microsoft Исполняемый файл Windows должен находиться в безопасном каталоге Исполняемый файл Windows также должен указывать свойство автоматического поднятия прав (Elevate) в своем манифесте.
Запись в безопасное место
Есть несколько способов, которыми мы можем записать файл в безопасное место.
Использовать IFileOperation COM Object Использование автономного установщика Центра обновления Windows (Windows Update Standalone Installer/wusa.exe)
IFileOperation COM Object
COM Object в IFileOperation имеет метод, который мы можем использовать для копирования файлов в наше безопасное место, так как операция автоматически поднимется в правах и сможет сделать копию привилегий. Для использования мы можем внедрить нашу вредоносную DLL в процесс средней целостности для выполнения операции. Поскольку для COM-объекта установлено автоматическое повышение уровня, внедренный процесс не нужно отмечать для автоматического повышения в своем манифесте.
В Windows 7 внедрены процессы которые могут быть успешно скопированы, это:
Во время тестов taskhost.exe срабатывает только один раз после загрузки, и wuauclt.exe не всегда работает, что оставляет только explorer.exe надежным процессом.
On Windows 8 внедрены процессы которые успешно скопированы, это:
И снова только explorer.exe надежный процесс, и единственный который работал в Windows 8.1
Основная часть кода ниже взята из MSDN с некоторыми незначительными изменениями. Используемые значения SetOperationFlags были взяты из опубликованного кода обхода UAC здесь.
Windows Update Standalone Installer
Другой способ копирования в наше безопасное место, это использовать Windows Update Standalone Installer (wusa.exe). Wusa.exe запускается как процесс высокой целостности тк. настроен на авто-подъём прав в своем манифесте. Для автоматического повышения прав, исполняемый Windows файл должен быть подписан, находиться в безопасном каталоге, таком как C:\Windows\System32, и должен быть с правильно прописанным свойством autoElevate в своем манифесте.
Мы используем wusa.exe для распаковки CAB файл (cabinet archive file или файл кабинетного архива) в наше безопасное место
Эксплуатация уязвимости DLL hijacking
При эксплуатации уязвимости перехвата DLL, исполняемый файл который мы собираемся запустить снова должен быть подписан; находится в безопасном каталоге; и должен указывать свойство autoElevate в своем манифесте для загрузки в качестве процесса с высокой степенью целостности.
В Windows 7 есть три исполняемых файла которые можно эксплуатировать и связанные с ними библиотеки DLL перечисленны ниже:
На malwr.com вредоносная программа выложенная 25 Июня прошлого года, уже использовала Mcx2Prov.exe для обхода UAC, а днем позже эксплойт был опубликован.
Тот же хэш был также отмечен на VirusTotal (38/54), был представлен более четырех месяцев назад.
В Windows 8 также есть три исполняемых файла которые можно эксплуатировать и связанные с ними библиотеки DLL перечислены ниже:
Наконец, в Windows 8.1 есть также три исполняемых файла которые можно эксплуатировать и связанные с ними библиотеки DLL перечисленны ниже:
Вызов исполняемого файла pwcreator.exe (создание рабочей области Windows To Go) вызывает vds.exe (служба виртуальных дисков), которая затем загружает нашу DLL и даёт нам целостность системы работает из под SYSTEM аккаунта.
Вызов этих исполняемых файлов sysprep.exe, cliconfg.exe и pwcreater.exe приводит к появлению окна с графическим интерфейсом, но так же должен легко запуститься в фоновом режиме, а затем завершиться после эксплуатации. Это то что я не изучал слишком глубоко, поэтому тут я вас оставлю в неведении.
Смягчение
Лучший способ смягчить этот обход — просто не предоставлять пользователям права локального администратора для своих компьютеров. Большинство учетных записей пользователей в корпоративной среде и вы должны быть в состоянии сделать это, уменьшая поверхность атаки. Это, однако, не распространяется на домашних пользователей, которые по умолчанию имеют права локального администратора.
Фактически, обход работает только при двух средних выставленных настройках UAC, которые позволяют автоматически подниматься. Чтобы увидеть настройки вам нужно перейти в Панель управления — Учетные записи пользователей — Изменить настройки контроля учетных записей.
Уведомлять меня только когда приложения пытаются внести изменения в мой компьютер (по умолчанию)
Таким образом, мы могли бы установить “Всегда уведомлять”, но это вернуло бы его к тому, как это было в Windows Vista с постоянными уведомлениями и не очень практично, так же пользователь в конечном итоге установит его на “Никогда не уведомлять”, что определенно не является хорошей идеей.
Microsoft предоставила нам 10 политик UAC с которыми стоит поиграть, поэтому стоит потратить некоторое время на их понимание и тестирование прежде чем внедрять их в среде своего домена. Чтобы увидеть, что применено на вашем локальном компьютере, введите secpol.msc в Start-Run, чтобы открыть окно «Локальная политика безопасности» и развернуть папку «Параметры локальной политики безопасности». Запустите rsop.msc для просмотра групповых политик, применяемых на компьютерах в доменной среде.
Вот так выглядят в реестре значения UAC по умолчанию
Когда ползунок перемещается вверх до «Всегда уведомлять меня», он меняет это значение.
Когда ползунок перемещается вниз до «Уведомлять меня только когда приложения пытаются внести изменения в мой компьютер (не изменяя настройки рабочего стола)», он меняет это значение.
Ну и когда ползунок перемещается в «Никогда не уведомлять», измененные значения это
Обратите внимание, что EnableLUA полностью отключен. Это чрезвычайно опасное значение, и его никогда не следует отключать, поэтому настоятельно рекомендуется включить эти параметры в групповых политиках чтобы они всегда применялись, если параметры сбрасываются/изменяются пользователями или ранее удаленными вредоносными программами.
Контроль учетных записей: запуск всех администраторов в режиме одобрения администратором.
После отключения, не только вредоносный процесс сможет переходить прямо в режим высокой целостности, но и Internet Explorer будет работать в режиме средней целостности. UAC предоставляет нам защищенный режим (песочницу) в Internet Explorer, обеспечивая дополнительную безопасность. Обычно Internet Explorer работает в процессе с низким уровнем целостности, поэтому если он скомпрометирован каким-либо эксплойтом IE то ущерб сводится к минимуму, так как при низкой целостности существует только несколько мест в которые он может быть записан в системе.
Эти изменения, упомянутые выше, были замечены в Windows 7, в Windows 8/8.1 EnableLUA не изменяется на отключенный. Поэтому, когда ползунок перемещен в «Никогда не уведомлять», измененные значения приобретают только такой вид
Поскольку значение “EnableLUA”=dword:00000001 не изменяется, UAC не полностью отключен и Internet Explorer по-прежнему будет работать с низким уровнем целостности.
Однако, если пользователь вошел в систему с учетной записью локального администратора (администратором, или любым другим переименованным в вашей корпоративной сборке властителем), настройки UAC не применяются, поскольку все процессы работают с высокой степенью целостности. Это относится к Windows 7/8 и 8.1, поэтому всегда следите за тем чтобы пользователи НЕ входили в систему с использованием учетной записи локального администратора, если требуются права локального администратора, лучше добавьте свою учетную запись домена в группу локальных администраторов.
Если по какой-либо причине необходимо войти в систему с использованием учетной записи локального администратора, лучше всего включить эту политику UAC.
Контроль учетных записей (UAC): режим одобрения администратором (Admin Approval Mode) для встроенной учетной записи администратора
Другой вариант — это переименование или удаление исполняемых файлов Mcx2Prov.exe, sysprep.exe, cliconfg.exe и pwcreator.exe, если это не требуется в системе, чтобы второй этап эксплуатации DLL hijacking провалился.
Наконец, если пользователям требуются права локального администратора тогда стоит установить политику UAC своего компьютера на «Всегда уведомлять» и позволить им жить с постоянными уведомлениями.
Контроль учетных записей (UAC): поведение запроса на повышение прав для администраторов в режиме одобрения администратором (Admin Approval Mode), 2-й запрос согласия на защищенный десктоп
Заключение
Этот обход работает только в случае когда удовлетворятся все требования для их эксплоинга. Не достаёт одного требования и обход не удастся. Офисные документы открываются в средней целостности, поэтому они являются идеальными целями для обхода UAC. Поскольку эти обходы осуществляются без особых усилий, единственным реальным способом противо-действий было бы установить для UAC «Всегда уведомлять» или удалить права локального администратора для пользователя. В конце концов, использование таких агентов как Microsoft EMET или MalwareBytes Anti-Exploit, было бы наилучшим решением для смягчения урона на ранних стадиях проведения атаки.
UAC Bypass и вариации на тему детектирования. Часть 1
Сегодня мы хотим рассказать о возможных вариантах обхода контроля учётных записей пользователей (UAC) и способах их детектирования.
Если коротко, UAC (User Account Control) – механизм, поддерживаемый всеми последними версиями Windows, который призван предотвратить несанкционированные административные действия, потенциально опасные для системы. UAC Bypass является достаточно распространённой атакой среди вредоносного ПО. Из последних ярких примеров – червь Raspberry Robin, который использует утилиту fodhelper.exe. Малварь, обнаруженная Microsoft, может обходить User Account Control (UAC) в зараженных системах с помощью легитимных инструментов Windows. Поэтому мы решили не проходить UAC Bypass стороной, а подробно его изучить.
В данном цикле статей мы проведем подробный разбор большого числа рабочих способов по обходу UAC и классифицируем их в категории, которые наиболее точно отражают возможный вариант выполнения атаки. После чего рассмотрим потенциальные способы детекта UAC Bypass.
Но для начала предлагаем ознакомиться с самим механизмом работы UAC немного глубже. Если для вас UAC не нуждается в представлении, то можете сразу переходить к разделу Способы обхода UAC.
Что такое UAC
Рисунок 1. Окно UAC (UAC Promt)
User Account Control (UAC) – контроль учётных записей пользователей, который является одним из механизмов безопасности ОС Windows.
При отсутствии данного механизма, если пользователь запустит вредоносное программное обеспечение из-под своей сессии, то оно получит административные привилегии. В тоже время, при наличии включенного UAC в системе, пользователь по-прежнему будет обладать административными привилегиями, но его основной токен будет пользовательским. Поэтому все процессы, включая вредоносное ПО, запустятся с токеном обычного пользователя. По крайней мере в теории это выглядит так.
Единственный, по изначальной задумке разработчиков, способ получить административный токен – выполнить функцию «Запустить от имени администратора», а затем во всплывающем окне подтвердить необходимость выполнения действия или действий с административными привилегиями нажатием на кнопку «Да». Либо ввести учетные данные пользователя, обладающего административными привилегиями. При этом выполнить данную операцию пользователь может только интерактивно.
Данный механизм впервые появился в Windows Vista, как способ смягчить переход от подхода «Чтобы пользоваться ПК, нужно быть администратором» к подходу «Чтобы пользоваться ПК, можно быть обычным пользователем». До этого момента практически любому пользователю для комфортной работы в ОС Windows необходимо было обладать правами администратора. И, как следствие, зачастую это приводило к быстрой компрометации ОС, так как не соблюдалось базовое правило ИБ – принцип минимальных привилегий. Поэтому разработчики ОС Windows взяли курс на упрощение работы из-под обычного пользователя.
Настройки UAC
После выпуска ОС Windows Vista многие пользователи остались недовольны лишними действиями, которые им нужно было совершать, поэтому Microsoft решила добавить 2 дополнительные опции в настройках UAC, сильно снижающие его защиту:
1. Always notify / Всегда уведомлять
2. Notify only when apps try to change settings, use the secure desktop (Новая опция) / Уведомлять только при попытках приложений изменять настройки, использовать secure desktop
3. Notify only when apps try to change settings, don’t use the secure desktop (Новая опция) / Уведомлять только при попытках приложений изменять настройки, не использовать secure desktop
4. Never notify / Никогда не уведомлять
Опция №2 по умолчанию включена в настройках системы. Несмотря на обилие опций на практике следует рассматривать только два варианта: всегда включена, либо не работает. Более подробно о работе опций можно узнать здесь.
Также были добавлены программы и функции, которые могут повышать свои привилегии при запуске, но без открытия окна UAC Prompt. Они содержат специальное свойство auto-elevate, которое применяется только если не включена опция Always notify. Но стоит отметить, что это справедливо не для всех программ, так как существуют и те, что работают даже если UAC включён в Always notify.
Способы обхода UAC
Обход UAC или UAC Bypass – это запуск процесса с полным административным токеном без необходимости выполнять подтверждение в интерактивном окне. Зачастую обход UAC используется вредоносным ПО, так как у последнего чаще всего отсутствует интерактивный доступ к машине.
Существуют несколько основных способов для обхода UAC, которые как по отдельности, так и в комбинации формируют методы обхода. Далее рассмотрим основные из этих способов.
Исполняемые файлы со свойством Auto-Elevate
Как было сказано ранее, у некоторых программ есть свойство auto — elevate. Оно позволяет выполнить запуск с полными правами администратора без необходимости спрашивать разрешения у пользователя. Свойство указывается в файле manifest.xml и оно присутствует у достаточно большого количества стандартных программ Microsoft. Здесь есть интересный момент: иногда в процесс выполнения кода можно вмешаться и без административных прав. Например, исполняемый файл msconfig.exe имеет встроенный функционал запуска других программ, которые будут наследовать его высокие привилегии.
Рисунок 2. Обход UAC с помощью утилиты msconfig.exe и «мышки»
На картинке выше показано, что с помощью msconfig.exe можно перейти во вкладку Tools и выбрать запуск cmd.exe. Запущенный от msconfig.exe, cmd.exe будет иметь полные административные права, хотя сам msconfig.exe запускался из-под процесса с низкими правами.
Проверить наличие свойства можно с помощью утилиты sigcheck из стандартного набора SysInternals. Помимо явного запуска исполняемых файлов, также используются DLL Hijacking, подмена переменных, аргументов и другие способы, чтобы выполнить произвольный код от имени исполняемых файлов такого рода.
COM-интерфейсы со свойством Auto-Elevate
Второй способ, позволяющий повысить права до административных – COM-интерфейсы. Для каждого интерфейса в реестре содержится запись: может ли он автоматически повышать права до административных.
Рисунок 3. CLSID IFileOperation в реестре
Каждый COM-интерфейс имеет уникальный CLSID. На рисунке выше мы видим запись в реестре для интерфейса IFileOperation. Наличие записи Enabled со значением 1 в ключе Elevation подсказывает нам, что такой COM-интерфейс может запускаться с административными правами даже без UAC Prompt.
Комбинируя несколько COM-интерфейсов с разным функционалом, мы можем выполнять действия как администратор. Например, перемещать файлы в системные директории. Это предоставит нам возможность выполнить в дальнейшем DLL Hijacking и автоматически повысить свои привилегии.
Отметим, что не каждый процесс способен повысить свои права через COM-интерфейс: ОС выполняет проверку Command Line процесса, который вызывает этот интерфейс и повышает привилегии, только если он является доверенным. Тем не менее, данный момент достаточно легко обойти, если процесс решит изменить собственную переменную и представиться, например, explorer.exe. Для этого используется способ под названием Masquerade PEB, который олицетворяет изменение PEB (Process Environment Block) структуры, содержащий информацию о процессе.
Рисунок 4. Masquerade PEB
Модификация реестра
Еще одна возможность внедрения в процесс исполнения кода auto-elevate программ заключается в модификации веток реестра, доступных для записи обычному пользователю. Некоторые из которых могут проверяться на наличие в них записей динамически подгружаемых библиотек, необходимых для импорта.
Возьмём fodhelper.exe. Исполняемый файл проверяет при запуске следующие ветки реестра:
Как можно увидеть, HKCR\ms-settings\shell\open\command содержит ссылку на другую ветку реестра:
Рисунок 5. Ссылка на другую ветку для fodhelper.exe
А она уже содержит путь до DLL, которая будет подгружена fodhelper.exe.
Рисунок 6. Импортируемая DLL fodhelper.exe
Так как у пользователя есть права на запись первой (HKCU) ветки реестра, то можно подделать запись, которая ведёт на другую ветку и заставить fodhelper.exe загрузить зловредную DLL.
Заметим, что в текущем примере можно увидеть, что модификация реестра является промежуточным этапом для выполнения атаки DLL Hijacking. Эту ситуацию можно и нужно детектировать с помощью событий, отражающих изменение реестра. Но существуют способы, которые не опираются ни на что кроме подмены библиотек.
Категории для детектирования UAC Bypass
После проведенного анализа большого числа рабочих методов UAC Bypass мы выделили следующие категории с точки зрения их характера атаки и последующего детектирования:
1. Подмена DLL (DLL Hijacking)
2. Использование COM интерфейсов (COM)
3. Модификация реестра (Registry)
В качестве базы для анализа методов нами был использован ресурс UACMe, который содержит информацию по 70+ методам обхода UAC. Многие из которых комбинируют несколько способов обхода, поэтому могут входить в две группы. Чтобы легче было разобраться приведем визуальную картинку в виде диаграммы по количеству методов в разных или смежных группах:
Рисунок 7. Визуализация категорий детектирования UAC Bypass с указанием количества методов
Проводя классификацию, мы постарались обобщить все методы, присутствующие в UACMe. Однако, 3 из них – являются исключениями и не попадают ни в одну из обозначенных групп. Это методы – 38 (APPINFO command line spoofing), 55 (UIPI bypass with token modification), 59 (AppInfo LRPC). Подробнее про них будет рассказано в следующей статье.
Разобрав способы обхода UAC и классифицировав методы, перейдем к процессу детектирования UAC Bypass. Для этого рассмотрим какие возможности для детектирования существуют.
Возможные варианты детектирование UAC Bypass
Источники для детектирования
Для возможного детектирования UAC Bypass в качестве источника детекта мы будем рассматривать:
Журналы Windows и System Access Control List (SACL)
У каждого из этих источников есть особенности, выражающиеся как в плюсах, так и в минусах. Рассмотрим подробнее:
Журналы Windows и SACL
Windows (EventLog) является стандартным механизмом аудита в ОС Windows и относительно прост в настройке. Некоторые методы обхода UAC можно детектировать с его помощью почти также эффективно, как и другими источниками. Еще с помощью EventLog можно и нужно проверять события, которые поступают от Sysmon. Нам это понадобиться для детектирования использования Masquerade PEB.
System Access Control List (SACL) – это права, которые могут быть выставлены на любой объект ОС с целью фиксирования попытки обращения к защищаемому объекту. При подготовке правил детектирования на основе EventLog мы будем использовать SACL на файлы и ветки реестра. Здесь стоит уточнить важное «НО»: данный источник событий очень часто бывает ненадёжен. По двум причинам:
Во-первых, событие 4663 (An attempt was made to access an object) можно обойти, если использовать системные вызовы (SysCalls). Например, создать файл с помощью функции NtCreateFile. Тогда в событиях будут присутствовать только события 4656 (A handle to an object was requested).
Во-вторых, ОС Windows не применяет наследованные права автоматически, если новый файл перемещён в папку. Так как SACL – тоже права доступа, то они не будут применены автоматически. Это значит, что если мы выставим SACL на директорию С: \Windows\System32\ и на все подпапки и файлы, а после атакующий внесет туда свою DLL, то нужных нам событий мы не получим.
Sysmon
Sysmon (System Monitor) отлично работает с тем, чтобы детектировать DLL Hijacking и изменения, выполняемые в реестре. При логировании импорта DLL файлов событие с Event ID 7 предоставляет информацию о подписи этих самых DLL файлов. Таким образом, это будет основой для детектирования многих способов из группы DLL Hijacking, так как при штатной работе системы атакуемый исполняемый файл импортирует подписанные DLL.
При этом перемещение файлов – это на самом деле не только проблема SACL. Sysmon также не показывает данные действия, потому что у него отсутствует данный тип событий для логирования.
Вспомним еще тот факт, что остается трюк с Masquerade PEB: подменой собственных переменных в процессе, который мы рассматривали в разделе про COM-интерфейсы. Если процесс представится explorer.exe, то его действия будут фиксироваться так же, как действия explorer.exe, что отобразиться в логах Sysmon. Однако, у событий из EventLog нет подобного недостатка, поэтому мы будем использовать их для проверки такого рода логов.
Еще отметим, что Sysmon практически ничего не показывает в отношении вызовов COM-интерфейсов.
ETW (Event Tracing for Windows) лучше всего использовать для детектирования вызова COM-интерфейсов, так как провайдер CombaseTraceLoggingProvider фиксирует вызовы вместе с процессом, который этот вызов совершает.
У ETW есть один минус: технологию почти никто не использует в рамках детектирования на SIEM. Это делает настройку сложной и персонализированной, так как мало вендоров включают эти логи в свои продукты. Но если разработчики не увидят в этом проблемы, то ETW станет прекрасным средством, чтобы детектировать атаки, связанные с COM- интерфейсами.
Детектирование UAC Bypass для COM-объектов
Учитывая все плюсы и минусы описанных выше источников событий, мы предлагаем свой подход к детектированию обхода UAC для COM-объектов.
Эта категория была выбрана нами не случайно. В отличие от других способов UAC Bypass, COM-объекты являются одними из корневых объектов системы и применяются практически везде. В свою очередь методы UAC Bypass опирающиеся на COM-интерфейсы так же имеют общие черты указывающие на атаку. Таким образом, при логировании вызовов COM- объектов можно найти и выделить универсальную логику возможного детектирования, применимую ко всем методов из группы COM.
Итак, при запросе на использование COM-интерфейса, исполняемый файл обычно выполняет запрос к реестру, используя путь HKCR\CLSID\ для определения местоположения динамической библиотеки (DLL). Библиотека содержит информацию о COM-интерфейсе и другие вспомогательные данные. Зная этот факт, мы можем выявить COM-интерфейс, который собирается вызвать исполняемый файл через наблюдения за обращениями к реестру.
Рисунок 8. Обращения эксплоита к реестру
Заметим, что атакующий не сможет исключить обращение к легитимной DLL, которая содержит нужный COM-интерфейс. Например, с помощью предварительной загрузки DLL в собственную память. В таком случае не будет автоматического повышения привилегий с помощью DllHost.exe (суррогатного хост-процесса для COM-объектов).
При обычной работе системы с возможностью auto-elevate COM-интерфейсы вызываются либо легитимными приложениями, либо при выдаче разрешения со стороны пользователя (UAC Prompt). Информацию о вызове легитимного приложения можно проверить с помощью информации из события 4688 (A new process has been created), в котором будут отражены данные об его месторасположении. А вот при участии пользователя не все так просто, но выход тем не менее есть. Мы можем детектировать наличие вызова окна UAC Promt, так как при атаке оно не вызывается. В этом нам может помочь consent.exe: он отвечает за вызов UAC Prompt, и при его отрисовке он импортирует C:\Windows\System32\credui.dll, который содержит в себе функции для конфигурации и вызова Credential UI.
Рисунок 9. Импортирование creui.dll
Импорт происходит только в случае вызова UAC Prompt, что может косвенно подтвердить нам, имел ли пользователь возможность выдать разрешения или нет.
Правило детектирования
Выше мы описали маркеры, на основании которых теперь мы составим правило для возможного детектирования всех методов из группы COM. В данный момент используется ограниченный список COM-интерфейсов для обхода UAC. Именно поэтому только они будут фигурировать в правиле:
Как обойти контроль учетных записей пользователей: способы
Потребность в том, чтобы обойти контроль учетных записей администраторов, возникает в современных версиях ОС Windows. UAC (User Account Control) призван предостерегать администратора компьютера о всех трансформациях, которые могут наблюдаться на ПК, и поэтому админу постоянно приходи тся принимать решение: «Разрешить» или «Не разрешить».
Контроль учетных записей — это безобидная функция, но хочется знать , как ее обойти в случаях интенсивной работы на компьютере. Потому что постоянно всплывающие окна с вопросами — это очень сильно раздражает и отвлекает от основной работы.
Но в то же время роль этой функции — обезопасить ваш ПК от самопроизвольной инсталляции программ, влияющих на работоспособность компьютера и вносящих трансформации прямо в систему.
Как обойти контроль учетных записей пользователя Windows
- Раскрыть меню «Пуск», потом там вам нужно будет найти «Поиск».
- В поисковой стро к е впишите: «UAC». Вам будет предложен URL: «Изменение параметров контроля учетных записей». Жмите на нее.
- Вам будет предложено окошко : «Параметры управления учетными записями пользователей».
- В открывшемся окошке слева вы найдете ползунок, переместив который можно настроить , какие уведомления об изменениях вам будут приходить. Тут же можно сместить ползунок в самый низ , и никакие оповещения вам приходить не будут.
- Выбер и те нужный уровень контроля и нажмите «Ок», чтобы преобразования вступили в силу.
Другие способы обойти контроль учетных записей пользователя
- Используя командную строку.Откройте командную строку. И для того , чтобы обойти контроль учетных записей , нужно ввести следующий код: «C:\Windows\System32\cmd.exe /k %windir%\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f». После ввода кода нужно будет перезагрузить компьютер, чтобы преобразования вступили в силу.
- Используя реестр. Откройте редактор реестра сочетанием кноп «Windows+R». Далее пройдите по пути: «HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Policies\ System» . Нужно будет отредактировать три ключа: «PromptOnSecureDes k top», «EnableLUA», «ConsentPromptBehav i orAdmin». Кликайте по ним двойным кликом, чтобы отредактировать. Чтобы обойти UAC , нужно ввести следующее значение: «0-1-0». Как сделаете э то , нужно будет перезагрузить ПК.
Заключение
В нашей статье вы ознакомились с тем , как обойти контроль учетных записей вашего компьютера. Если в этом есть острая необходимость, то этот шаг должен быть сделан осознанно. Ведь обход UAC — это хоть и небольшой, но минус в безопасности системы компьютера. Если в этом нет острой необходимости, то можно остановиться лишь на ограничении уровня контроля.
В любом случае ответственность за состояние вашего компьютера будет лежать только на вас — помните об этом.
Мы будем очень благодарны
если под понравившемся материалом Вы нажмёте одну из кнопок социальных сетей и поделитесь с друзьями.
Отключение контроля учетных записей для конкретного приложения в Win 7-10
Недавно столкнулся со следующей проблемой: при выключенном UAC (контроль учетных записей) не работает Win Store и встроенные стандартные приложения Win 10(которые по большому счету не очень то и нужны, но тем не менее хочется полный функционал).
При включении UAC при запуске стороннего приложения (рассмотрим на примере HWMonitor) вылазит следующее окно, вы с ним встречались:
Вроде и вовсе не напрягает? А если пользоваться Total Commander’ом, который открываешь/закрываешь каждые 2 минуты? Можно его не закрывать, а сворачивать. Выход? Да!
(TCmd у меня уже настроен, поэтому пример на HWMonitor) Но тут уже спортивный интерес))
Итак. Такой запрос происходит потому, что некоторые программы не имеют сертификата, удостоверенного в центре сертификации мелкософта. При запуске программы происходит сверка параметров запуска исполняемого файла (.exe).
Для решения всего навсего нам нужно повысить права для программы до INVOKER навсегда, чтобы система считала её своей, родненькой. Прав администратора в винде очень часто бывает недостаточно, чтобы обойти этот нюанс.
Существуют определенные параметры, которые отвечают за тот или иной уровень совместимости (читай доступа) программ: RunAsAdmin, RunAsInvoker, RUNASADMIN WIN7RTM, RUNASADMIN VISTARTM и множество других.
С Technet: Исправление совместимости RunAsInvoker обеспечивает запуск приложения с помощью маркера, наследуемого от родительского процесса. Исправление RunAsInvoker отменяет как обнаружение установщика, так и обработку манифеста и определяет состояние повышения прав для всего приложения после его применения.
В WIN10, да и во всеми любимой семерке, в которой также используется Windows Registry Editor Version 5.00, существует куст реестра, который содержит в себе слои совместимости программ — Application Compatible Flags/Layers. Располагается он по пути
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers].
Зная это, мы может добавить нужный нам ключ реестра, необходимый для запуска программы с правами INVOKER, а именно эти права нам и нужны для обхода докучающего сообщения. В нашем случае в общем виде он будет выглядеть так:
Здесь необходимо создать строковый параметр с именем, совпадающим с путем к исполняемому файлу:
Вписываем значение строкового параметра RunAsInvoker
Жамкаем ОК. Параметр сохранен.
Теперь программа будет запускаться с повышенными правами, запрос UAC выходить не будет.
Для упрощения задачи можно применить следующие действия: Создаем текстовый документ со следующим содержимым:
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
«C:\\Program Files\\CPUID\\HWMonitor\\HWMonitor.exe»=»RUNASINVOKER»
Где «C:\\Program Files\\CPUID\\HWMonitor\\HWMonitor.exe» — путь к исполняемому файлу вашей программы, скопированный из свойств ярлыка, но с дублированными бэкслешами, к примеру.
Сохраняем документ, меняем расширение файла на .reg
Получаем файл ключа реестра. Запускаем, разрешаем слияние. Profit.
Таким образом можно обойти запрос UAC для любой программы, при этом сохранив контроль учетных записей включенным, возможность запускать встроенные приложения и общую безопасность системы на надлежащем уровне.
Извините за сумбурность изложения.
Надеюсь кому-нибудь поможет))) Похожего не нашел.
Автор, я даже специально зарегистрировался, чтобы сказать — СПАСИБО!
Спасибо за статью, помогла. В тексте есть одна неточность: «Теперь программа будет запускаться с повышенными правами, запрос UAC выходить не будет.» — нет, программа теперь будет запускаться с правами текущего пользователя без повышения привилегий. Это можно увидеть в диспетчере задач в колонке «С более высоким уровнем разрешений».
Автор, спасибо! Отличный способ!
Друг, спасибо. С Новым годом!))
Спасибо за файл!! Всё еще иногда актуально)
Реанимируем Proton VPN при помощи OpenVPN
Здравствуйте уважаемые пикабушники. Недавно Р.К.Н. заблокировал много ВПН сервисов и в том числе авторитетный Proton VPN. Но, не всё потеряно.В прошлом посте я рассказал, как запустить Proton и Windscribe «c толкача», при помощи программы v2RayNG. Сегодня я подробно покажу/опишу, как обойти блок при помощи ПО Open VPN.
Делаем всё на Виндовс 10.
Для Андроид, Айфона, всё делается аналогично, а внизу есть линки на скачивание приложений.
С официального сайта скачаем и установим программу для Винды ТЫЦ выбрав свою разрядность
Какой файл качать – 32 или 64? Кликаем правой кнопкой мыши на рабочем столе по значку «Мой компьютер» — Свойства. Тут всё очевидно
Заходим в свой аккаунт Протона на страницу ВПН КЛИК и тыкаем в OpenVPN/IKEv2
Далее мотаем вниз.
Имя пользователя OpenVPN / IKEv2 **********
Пароль OpenVPN / IKEv2 ••••••••••••••••
Скопируйте в блокнот на рабочий стол. Потом пригодятся.
Прокрутим вниз и по пунктам
1. Выберите платформу — Windows (можно любую на выбор)
2. Выберите протокол — За нас уже выбрано UDP. Потом, то же самое, можно проделать и TCP
3. Выберите файл конфигурации и скачайте. У Вас бесплатный аккаунт? Выбор очевиден — Настройки бесплатных серверов. Выбор из трёх стран: Япония, Нидерланды, США.
Вы прикупили подписку? У Вас выбор намного больше).
Я беру Нидерланды и ищу наименее загруженный бесплатный сервер и скачиваю конфигурацию
Запускаем программу OpenVPN GUI (мы же её уже установили)) и кликаем правой кнопкой мыши (ПКМ) по иконке в трее. Идём в Настройки.
Особо ничего менять не надо, разве что убрать прогу из автозапуска.
Далее, там же в трее – Импорт – Импорт файла конфигурации – выбрать наш скачанный конфиг от Proton VPN.
Или в проводнике двойной клик по файлу и согласится на импорт.
Теперь клик ПКМ по иконке в трее – Подключиться – У нас выскакивает вот такое окно.
В самом начале мы сохранили в блокноте Логин и Пароль. Вот они и пригодились.
Идём на сайт https://2ip.ru/ или https://ipinfo.io/json и убеждаемся, что мы в Голландии. ))
Но. Конфиг может и не подключится. Есть выход – отредактируем его с помощью текстового редактора. Как на скрине меняем значения на 51820. Увы, проверить не могу — у меня и неотредактированный работает и отредактированный.
Таким образом качаем себе на комп/смартфон файлы для Open VPN поболее , и когда одни серверы перегружены, мы просто подключаемся к другим.
Где взять ещё бесплатных конфигов для Open VPN?
Идём на сайт https://www.vpngate.net/en/ Прокручиваем ниже, и скачиваем любой с отмеченного столбца. Конфигов там много.
И вот ещё сайт, где раздают конфигурации Open VPN
_____ А теперь _________
Переходите по ссылке на сайт Антизапрет ТЫК
Промотать до VPN, Пункт 2 и скачиваете файл конфигурации.
Импортируем его в OpenVPN.
Теперь мы сёрфим в сети без проблем, причём ВПН срабатывает только на заблокированных сайтах. Остальной трафик идёт на прямую.
Для пикабушников Украины есть конфиг на сайте Заборона Хелп
На Андроид и IOS всё протоновские файлы формируем аналогично — Также протоновские конфиги скачиваем, но в меню выбираем для Андроид или IOS. либо для МакОС и т.п.
PS. А ещё из Протона можно вытащить конфиги для WireGuard. Примерно так же, как и с OpenVPN
Казалось бы, к чему все эти телодвижения?
Отвечаю — Протоновские сервера надёжны и в «сливе» не замечены. А если у Вас ещё и подписка платная и Вы ей не можете воспользоваться, ответ очевиден.
Сейчас должны появиться комменты, что свой сервер за бугром надёжнее всех ваших ВПНов. Да, я знаю. Кто интересуется этой тематикой, Вам сюда https://pikabu.ru/@HolderN/saved/1659157
SteamOS — Консоль из любого устройства
SteamOS — это, операционная система, основанная на Arch Linux, разрабатываемая корпорацией Valve специально для сервиса Steam. SteamOS была ориентирована для запуска игр на экране телевизора. Она стала доступна в качестве бесплатной операционной системы для пользователей и свободно лицензируемой для разработчиков.
Steam в режиме BIGPICTURE:
Консоль из любого устройства
Если вы посмотрите в интернет, то многие устанавливают Linux через особую прошивку на мобильные телефоны, так-как SteamOS тоже считается unix системой, то установка его на мобильные устройства не будет проблемой. Правда проблемой окажется недостаток, а если быть точнее — то полное отсутствия USB-портов. Так-же не все будет работать идеально на мобильном устройстве.
Многие умельцы устанавливали SteamOS на платы Rasbery pi, медиацентры, телевизоры и компьютеры. Linux в таком случае запускается заранее с включенным клиентом Steam и для взаимодействия системой, можно использовать геймпад, мышь или клавиатуру.
Системные требования
Зайдя на официальный сайт, мы увидим следующие системные требования:
Процессор: 64-битный совместимый процессор Intel или AMD
Память: 4 ГБ ОЗУ или больше
Жесткий диск: 3,7 ГБ для установки
Видеокарта: NVIDIA, AMD (RADEON 8500 и позже), Intel
А также: USB-порт для установки, поддержка UEFI (рекомендуется)
Как установить SteamOS?
Существует несколько способов установки SteamOS. Рекомендуется использовать автоматическую установку, при которой диски настраиваются по заранее заданной схеме. Другой способ использует установщик Debian, который позволяет провести настройку после автоматической начальной установки.
Переходим на официальный сайт из заходим в раздел «Steam OS», этапы установки выборочной и автоматической установки были взяты с официального сайта Steam, поэтому можете даже не переходить по ссылке.
Автоматическая установка
Выборочная установка
Использование
SteamOS имеет готовые и установленные драйвера для геймпадов и других устройств, имеет заранее и автоматически запускаемый клиент Steam, который запускается в режиме Bigpicture и тем самым делает его консольным и удобным для использования на телевизорах, или через геймпад. SteamOS используется в их портативных консолях Steam Deck, SteamMashine что обеспечивает его стабильность в работ. Среди пользователей, ужасной работы не наблюдалось!
Мы можем купить любую плату которая поддерживает работу как компьютера, установить на неё SteamOS, подключить 1-2 геймпада и играть в любимые с друзьями, нося эту консольку с собой прямо в кармашке, как это сделали с платами Rasbery pi. Сам SteamOS настроенный, стабильный и имеет на борту Proton для запуска большинства игр которые были написаны исключительно на Windows.
И снова про VPN или Shadowsocks/Vmess/Vless/Trojan, как подарок от китайских друзей
Здравствуйте уважаемые Пикабушники. Продолжу серию постов про обход блокировок.
Но сначала напомню, что самый надёжный VPN — тот, который вы поднимаете на
арендованном виртуальном сервере. В прошлом посте я давал ссылки на инструкции от пикабушников.
Недавно появился ещё один очень толковый гайд в этой тематике от @nayk и VPN для Youtube, Instagram и пр Рекомендую ознакомится.
Наверняка многие столкнулись с тем, что традиционные способы обхода блокировок перестают работать на смартфонах и ПК. Всё ожидаемо, РКН тоже не дремлет. Однако есть решения и вот одно из них.
В 2012 году для доступа к контенту и обхода Великого Китайского Файервола , китайским программистом с ником «Clowwindy«, была придумана технология Shadowsocks. Эта технология работает по принципу прокси, но с шифрованием. Она маскируется под https трафик, поэтому использование этого протокола сложно вычислить и заблокировать.
Не буду больше «грузить» теорией. Кому интересно история разработки и разработчика — ТЫК СЮДА Скажу лишь кратко — с разработчиком связалась китайская полиция и проект был закрыт, но. Идея была подхвачена энтузиастами и получила развитие. На данный момент есть различные Shadowsocks клиенты для Android, Windows, Mac OS, Linux, iOS и OpenWRT (для роутеров) В том числе и Outline VPN, о котором был пост на Пикабу
А ещё, разработаны новые, не менее крутые решения — Vmess, Vless, Trojan и т.п. Что это за «звери» такие, при желании можно прочитать ТУТ, а я расскажу об одном из клиентов для этих протоколов, который носит название v2RayNG.
Для продвинутых и не боящихся ставить приложения из сторонних источников, есть 4pda и мод с русским переводом
Сперва добавляем конфиги Shadowsocs. Переходим на сайт https://outline.community/servers/, прокручиваем вниз и выбираем сервер нужной страны. Выберу нынче Францию.
Тыкаем понравившийся сервер. Не заморачиваюсь и выбираю в первый.
Получаем готовый конфиг Shadowsocs. Копируем его в буфер обмена.
Открываем приложение v2RayNG, тыкаем ПЛЮСИК вверху справа, вставляем в скопированный конфиг. Запускаем (стрелкой указано), даём разрешения, пользуемся.
Так можно делать много раз
Импортировать конфиги можно и при помощи встроенного в прогу сканера QR кода — открываем сайт на компе и сканируем смартфоном с монитора.
И так, мы загрузили кучу конфигов, надо выбрать нерабочие и удалить. Жмём 3 точки в верхнем правом углу и всё как на скрине, на раз-два-три.
Внимание! Дождитесь результата теста. Много «носочков» — дольше тест.
Ещё конфиги Shadowsocs (носочки) можно брать в Телеграмм канале сообщества Outline t.me/OutlineVpnOfficial
Главное неудобство — бесплатные «носочки» надо «освежать». Некоторые работают месяц, другие меньше, некоторые больше.
Пока создам запас, а ниже расскажу где их ещё брать.
Просто открыть ссылку, скопировать и вставить в клиент
О настройке «носочков» на Винде и клиенте v2RayN для ПК будет ниже, а пока.
На будущее. Идём на просторы инета актуальными «носочками» Есть много ресурсов раздающих их (и не только) бесплатно.
Зайдём ка мы, к примеру, на https://akunssh.net/за VMESS
Выбираем как на скрине — VMESS
Выбрал Германию. Премиум на 7 дней
Быстро изготовим аккаунт без смс и регистрации. Просто ввести в форму какой-нибудь URL.
Пусть будет google.com
Добавляем в буфер обмена v2Ray
Теперь небольшое редактирование
Внизу тыкаем в надпись allowlnsecure и меняем значение на TRUE
Сменили на TRUE, не забудем СОХРАНИТЬ
А ещё можно просто зарегистрироваться на форуме 4pda, подписаться на VPN Club. Именно там хорошие добрые люди ежедневно закидывают рабочие конфиги для v2Ray
===== А теперь, для Windows =====
Прога портативная, ничего устанавливать не надо.
Скачиваем архив v2rayN-Core.zip =Тык=, распаковываем и запускаем файл v2RayN.
1. Сменим язык с китайского на английский
2. Импортируем конфиги (носочки) из буфера обмена.
3. Ctrl+A — Выбрать всё.4. Удаляем дубликаты, если такие окажутся.
5. Ctrl+A — Выбрать всё и Проверим конфиги на работоспособность — Test Servers Real delay (Ctrl+R)
6. Отсортировываем результаты удаляем нерабочие.
7. Теперь ПКМ по иконке в трее и выбираем РАЗ
В интерфейсе проги кликаем по нужному серверу и жмем на «ВВОД» (Enter)
Проверяем заблокированный сайт. О как. Вася Ложкин картинку закинул. 😉
Пост «пилить» помогал Ричард, поддерживая постоянную температуру кресла и вообще.
=== Всё! Всем мира и добра! ===
Продолжение поста «Как развернуть свой VPN сервер»
Многие в комментариях резонно указали, что сервер не настроен, его взломают, и будет он трудится в каком-нибудь ботнете. На что я отвечу:
1. Убирать рут не вижу смысла. На сервере нет никаких важных данных и рут нужен почти всегда.
2. Вход с помощью ключей. Можно установит, но это добавляет проблем с настройкой и подключением. Ради защиты большого ничего, также не вижу смысла этим заниматься.
Что необходимо сделать:
Для защиты сервера имеет смысл изменить SSH порт на какой-нибудь другой, это отсеет большинство атак ботов, установить fail2ban, для защиты от перебора паролей и настроить Firewall. Как это сделать расписано ниже.
Изменяем порт SSH:
Вводим в терминал
Управление стрелочками. Удаляем # перед Port и вместо 22 вводим любой от 1024 до 65535.
Нажимаем Ctrl+X потом Y и Enter.
Перезапускаем ssh командой:
Теперь при подключение используйте новый SSH порт
Устанавливаем fail2ban командой:
Для наших целей настройка из коробки сгодится.
Установим и настроим Firewall
Нажимаем Y и Enter
Всё. Дальнейшую настройку для данного сервера, я считаю избыточной.
Как развернуть свой VPN сервер
Стоимость: 14$ в год.
Инструкция очень подробная и рассчитана на начинающих.
В свете последних событий растет потребность в VPN для обхода разных блокировок.
Можно использовать какой-нибудь VPN сервис
+ Проще(Но не сильно)
— Ненадежно(Уже сейчас забанены популярные VPN сервисы и РКН планирует заблокировать ещё больше. Есть обходы этих блокировок, но это танцы с бубном, что убирает главный плюс данного варианта)
— Небезопасно(Если использовать малоизвестные сервисы, то безопасность и анонимность ваших данных будет находится под большим вопросом, а о надежности и речи быть не может)
— Низкая скорость(Относится к малоизвестным сервисам)
Можно использовать свой VPN на арендованном сервере
+Безопасность(Только вы знаете, что происходит на вашем сервере)
+Надежность(IP вашего сервера никогда не забанят, ведь пользуетесь им только вы)
+Высокая скорость(Сервером пользуетесь только вы и ваша семья)
—Возможные проблемы с арендой VPS сервера
1.Покупка VPS
Первым делом нам нужно купить VPS(Виртуальный приватный сервер).
В данной статье я покажу как купить VPS на примере RackNerd, так как в апреле у них можно купить VPS по цене 14$ в год c 2500 GB трафика в месяц, да и без скидок у них дешевые и качественные VPS. Другие дешевые VPS можно найти здесь. Нам сгодится самый дешевый. Ориентируйтесь на скорость и количество трафика в месяц.
Выбираем операционную систему Ubuntu 20 и нужное вам расположение сервера
Нажимаем Continue => Checkout
Дальше вводим свои данные, насколько правдивыми они будут решать вам, но email должен быть настоящим.
Способов оплаты много. Выбирайте наиболее удобный для вас. Я выбрал webmoney, так как для меня он единственный рабочий.
После оплаты на email придёт письмо с данными для подключения к серверу. Также в письме будет ссылка и логин, пароль к панели управления сервером. В ней можно настраивать сервер. но в дальнейшем она нам не понадобится, но иногда после всех установок может потребоваться перезагрузка сервера, она делается именно в панели управления.
2.Подключение к VPS
Скачиваем и устанавливаем PuTTY
Открываем и в поле Host Name вводим IP адрес из письма. В поле Port вводим SSH port из письма.
Нажимаем Open
Далее нажимаем Accept
Вводим имя пользователя, в нашем случае root, нажимаем Enter
Далее копируем Root Password из письма, вставляем его в с помощью ПКМ и нажимаем Enter.(Пароль не отображается при вводе)
3.Установка и настройка VPN сервера.
Есть много разных VPN серверов. Я буду использовать Wireguard, так как он современный, лёгкий и быстрый. Устанавливать и настраивать его вручную не вижу смысла, если вы хотите обычный VPN сервер. Вместо этого, мы будем использовать скрипт, который очень упростит весь процесс.
Копируем и вставляем(ПКМ для вставки в терминал) данную команду.
Вводим нужный вам порт, если вам без разницы просто нажмите Enter.
Придумываем и вводим имя клиента который будет подключаться к VPN.
Выбираем нужный DNS сервер, если вам без разницы просто нажмите Enter.
Нажимаем Enter ещё раз.
Мы создали и конфиг файл(нужен для подключения), также в терминале появится его QR-code для подключения с телефона(подробнее в разделе 4.Подключение к VPN).
Для каждого пользователя нужно создавать свой конфиг файл. Для этого вводим эту команду и проделываем предыдущие действия.
3.5 Скачивание конфиг файла
Для того чтобы скачивать файлы с сервера нам понадобится программа WinSCP
Скачиваем, устанавливаем и запускаем.
Вводим те же данные, что мы вводили в PuTTY и нажимаем войти.
Далее просто переносим конфиг файл(имя клиента.conf) на свой пк.
4.Подключение к VPN
Устанавливаем, открываем, нажимаем Добавить туннель, выбираем наш конфиг файл и нажимаем кнопку Подключить.
Скачиваем WireGuard из Google.Play или F-Droid
Открываем, тапаем по плюсику, выбираем либо импорт из файла или архива, тогда выбираем наш конфиг файл, либо сканируем QR-код из терминала.
Надеюсь данная инструкция окажется для кого-нибудь полезна.
Спасибо за прочтение.
P.S. Извините, что забыл открыть.
Немного техновщины. Восстановление данных с полумёртвого аппарата на Android.
Я ни чуть не гуру в Android и информационных технологий в целом, но где-то по чуть-чуть что-то цепляю.
Прилетел сегодня аппарат: Lenovo S860. Девайс на MediaTek 6582. Робот древний (вроде v4.4) и не знаю, будет ли эта инструкция работать с Android 5+ (по крайней мере говорили, что начиная с 5-ой версии данные зашифрованы). Так что делайте на свой страх и риск. Данные вряд ли потеряете, но какое-то время это всё-таки займёт.
Симптомы: висит на лого «Lenovo» и больше ничего. В recovery заходит, но обновление из update.zip, закинутого в корень в бородатые года, не загружает и вываливается с ошибкой. Трэба: вытащить данные. Ну, что ж, мой первый опыт по выуживанию данных с зелёных вёдер (просто речевой оборот, ничего против Android не имею, если что). Приступим.
Первое, что нужно сделать: установить драйвер устройства. Заходим на 4pda, страница «Прошивки» конкретного девайса, и обычно там есть раздел «Драйвера и утилиты». Качаем драйвера (или автоустановщик драйверов). У меня Windows 10, и это основная проблема. Драйвера идут, как правило, на версии Windows XP, Vista и 7. Выше нет, как и ниже (олдфаги на Win95 негодуэ).
Скачали драйвер, а там вместо EXE-шника лежит какой-то непонятный INF. Лезем в диспетчер устройств (в W10 – ПКМ по «Пуску» – Диспетчер устройств»), тычем снизу на имя компьютера или название любого из разделов и сверху нажимаем «Действие» – «Установить старое устройство».
Далее – Установка оборудования выбранного из списка вручную – Далее – Показать все устройства – Далее – Установить с диска – *выбираем *.inf файл из папки с драйвером для последней версии ОС*
Дальше «Открыть» – ОК – Далее – Далее. Внимательно смотрим, установилось ли. Если ошибка а-ля «Драйвер не подписан, иди на йух«, придётся заморочиться: нажимаем на «Пуск», зажимаем и не отпускаем Shift на клавиатуре – Жмём на иконку выключения компьютера – Так же не отпуская Shift жмём на «Перезагрузка», теперь отпускаем Shift – Выбираем «Дополнительные параметры» – «Параметры загрузки» – Перезагрузить.
После перезагрузки появляются варианты выбора. Ищем глазами «Отключить обязательную проверку подписей драйверов» (пункт 7). Жмём F7. Шиндоус загружается в обычном режиме. Повторяем действия с установкой драйверов. После этого драйвера должны встать. Если не встали – ищите более новые, с поддержкой хотя бы W8 (как показывает практика, в большинстве случаев они совместимы с W10). Если не нашли – ебаште молотком по мобиле и говорите, что так и было.
Продолжим. Дальше нам нужна софтина SP Flash Tool (прошивальщик для смартфонов на процессоре MTK). Можно найти в свободном доступе на любом сайте вроде 4pda. Желательно версию поновее, так как в старых нет возможности скопипиздить данные с смартфона. Так же нужна прошивка от данного девайса, желательно оригинальная, можно взять с того же 4pda (нам оттуда нужен scatter-файл – эдакая штуковина, в которой записано «откуда и до куда» находятся определённые разделы с данными).
В разделе Download указываем scatter (как правило, он идёт единственный в архиве с расширением *.txt, и его можно найти, немного пошароёбившись по папкам из архива с прошивкой. Кроме того, как правило, у него в названии есть слово «scatter».
Дальше переходим на вкладку «Memory Test» и оставляем галки только напротив «RAM Test» и «Data Bus Test». Тычем «Start». Телефон к этому моменту должен быть выключен. Подключаем смартфон кабелем к компьютеру и идём пить чай, потому что процесс тестирования займёт минут 5-10 времени. Если процесс не пошёл (а это зелёная полоса снизу), попробуйте включить телефон (зажать кнопку питания на 3 секунды) или зайти в рекавери (обычно это сочетания кнопок громкости с кнопкой питания, вроде «громкость+ и питание», или «громкость- и питание», или же «обе громкости и питание». ну иногды бывает учавствует кнопка «меню», если она не сенсорная) и потыкаться там (мне помогла попытка загрузки обновления, ошибка и перезагрузка).
В результате получаем что-то вроде этого (нужно подняться чуть выше в окне результатов):
Нас интересует строка «EMMC_PART_USER», а точнее её значение (в HEX-виде). Выделил его. У каждого процессора оно может быть разное, так что вариант «перепишу, что на скрине написано», не прокатит. Копируем в буфер обмена. Отключаем кабель от телефона.
Переходим на вкладку «Readback» и жмём «Add». Выбираем, куда сохранить файл. «Start Address» оставляем каким он и был, а в «Length» вставляем значение, скопированное из вкладки «Memory Test». В результате получаем а-ля такое:
Тычем «Read Back» и снова подключаем телефон. Начинается процесс копирования данных с смартфона на кампухтир. Идём глушить вискарь с колой, потому что размер файла выглядит приблизительно как количество памяти в телефоне (в моём случае это 14.6Гб), и копирование, лично у меня, заняло 44 минуты. Получаем вот такой вот файл без расширения.
Дальше трэба программа R-Studio. Видел где-то софтину DiskInternals Linux Reader, но у меня она не взлетала с ошибкой «Unallocated image». Переразмечать разделы я не решился, потому что в линуксовых разделах я, мягко говоря, кусог ковна ничтожество «моя твоя не понимать». Возможно есть какие-то аналоги, но я в этом профан, так что готов выслушать конструктивные комментарии на эту тему.
Полная версия (network edition) стоит 180 бачей (по текущему курсу – 11300 русских деревянных). Но со мной всё понятно:
Не пиратствуйте! Це плохо, дорогие мои. Хех. Аж самому смешно.
Заходим в софтину. Тычем «Открыть образ». В поле «Тип файла» выбираем «Все файлы». Выбираем наш образ.
*евпаторий, сколько на скрине компромата на одного меня*
Дружно смотрим в левое окно «Диски», а конкретно в раздел «Файлы образов». Тычем на файл только что открытого образа и жмём «Сканировать».
Некоторое количество времени длится сканирование образа (у меня заняло 2 минуты и 16 секунд, как видно на скрине). Ниже образа появляются разделы «Recognized0», «Recognized1», «Recognized2» и «Raw Files». Разделы (количество и имена) могут меняться в зависимости от устройства, процессора и прошивки.
Самое вкусное (разумеется, с целью восстановления) хранится в самом большом разделе (в данном случае – «Recognized2»). Базы данных можно открыть софтиной SQLite Browser.
Root > Data > com.android.providers.telephony > databases > mmssms.db – база данных СМС/ММС. Самая «вкусная» таблица – «sms»:
Контакты хранятся в Root > Data > com.android.providers.contacts > databases > contacts.db (или contacts2.db). Их оттуда можно выудить тем же SQLite Browser, вкладка «Данные», таблица «data», поля «data1», «data2», «data3» и «data4». Придётся долго ломать голову, кто и где есть кто и где, потому что зелёное ведро записывает данные хуй пойми в каком формате очень непонятно.
Root > media > 0 – тут хранится всё, что открывается в проводнике, если подключить смартфон к компьютеру. Фото, сделанные стандартным приложением фотокамеры, обычно хранятся в DCIM > Camera
Сейв-пикчи и некоторые данные ВКонтакта хранятся в «.vkontakte» и «VK». Viber – в «viber». WhatsApp аналогично. Телега вроде как тоже – просто в «Telegram». Тут её не было, просто на память пишу.
Ёптамать, хотел уже отправить пост, а главное – забыл. Как восстановить данные: тычете на файл или папку ПКМ – Восстановить.
В окне выбираете в поле «В папку» – куда сохранится этот файл, галочки оставляете «как есть». Тычете «Да» и немножко ждёте.
Ну.. Вроде всё. Буду очень рад, если три часа написания инструкции (при учёте получаса, на который забрали электричество и я всё переписывал заново) хотя бы кому-нибудь помогут. Удачи карочи.
З.Ы. @admin, поправь уже баянометр, он показывает два поста с 100% совпадением изображения и два с 94% совпадением. Посты вообще никак с темой не связаны.
UPD: Опробовал данный способ на другом аппарате: Lenovo A7010 (MT6753) и установленной Resurrection Remix OS (Android 7.1.2). Так же в системе был установлен графический ключ и вход по отпечатку. Никаких лишних манипуляций производить не пришлось, а даже наоборот: разделы отобразились сразу же после открытия образа, даже не пришлось его сканировать.
Самое «вкусное» в разделе «userdata» (на скриншоте всеми любимые фотографии с камеры). Всё прекрасно восстанавливается, не запрашивая ни паролей, ни графических ключей.
Контакты сохранены в Root > data > com.android.dialer > databases > dialer.db . Возможно, другое расположение контактов – это частный случай, так как система – не оригинальный Android, а модифицированный, но если не найдёте файла базы в com.android.providers.telephony > databases, то посмотрите ещё и в com.android.dialer. База точно так же открывается нашим любимым SQLite Browser, и конкретно в этом случае вид вполне себе приятный: номер телефона и имя контакта в читаемом виде.
Если была установлена другая «звонилка», то, вероятно, база данных контактов лежит в папке с названием этой самой «звонилки». Название таблицы, в которой лежат номера, зависит уже непосредственно от самой «звонилки».
Ну и кусок ненужной информации под конец. Немного по теме первого телефона, с которого всё это и началось: после восстановления данных заметил, что часть фото «побито», то есть не открывается: порядка 10-20 штук из 250 фото. Последующая попытка прошивки устройства поставила всё на свои места: умерла память. Возможность считать с себя данные ещё дал, а вот залить новые – уже нет. Менять нецелесообразно: телефон сам по себе старый, на замену уже куплен новый, новая память обойдётся примерно в 3-5 тысяч, замена (если не самостоятельно) ещё 1-2 тысячи. Так что выпьем же за упокой. Ну, вроде всё: история закончена. Такие дела, малята.