微软JEA技术被攻破，攻击者将借此获得系统管理权限

       安全研究人员Matt Weeks发现一种新途径，能够通过微软Just Enough Administration（简称JEA）技术逐步提升用户权限
Just Enough Administration——简称JEA——是微软推出的一项技术方案，旨在以委托方式利用管理权限执行部分PowerShell操作任务。
        在存在JEA的前提下，用户能够正确配置管理员角色，确保其有能力访问完成任务所必需的所有命令，同时无法使用其它与职能无关的操作。
       然而安全研究人员Matt Weeks发现了一种对微软PowerShell Just Enough Administration（简称JEA）进行滥用的方式，其能够将用户配置逐步提升为系统管理员级别。
        这位专家发布了一项有趣的分析，旨在解释JEA配置并不会在攻击者将自身逐步升级为系统管理员的过程中造成任何阻碍。
        “尽管开发这些操作系统的专家进行了严格的代码审查与仔细核对，但问题仍然不免存在，”这位专家在一篇博文当中指出。
       “根据我发现的情况，每个由微软发布的JEA配置文件都可被绕过，这意味着恶意人士能够借此获取完整的系统管理权限，其中大部分立即生效、相当可靠且无需任何特殊配置。系统管理员们在创建了自己的自定义配置文件之后，亦无法对这种情况做出有效应对。”
        Weeks展示了利用JEA技术的多种方法。在JEA Helper配置文件攻击当中，这位安全专家解释了如何利用Add-Cimputer “cmdlet”（用于向域中添加一台计算机，或者切换某计算机的对应域）“突破JEA安全屏障，并逐步提升权限以实现不受限制的系统控制能力。”
         另外需要强调的是，Weeks并没有利用JEA当中的任何零日漏洞，他只是添加/切换设备与域，而后从受到攻击的域控制器内提取组策略，最终逐步让自己的配置文件获得不受限制的系统管理控制能力。
         “大家的计算机将被添加至该域当中。而下一次重启时，该计算机会从新服务器处提取组策略设置，这意味着我们能够通过组策略配置实现对任意设置的修改、关闭防火墙、通过startup脚本执行任意系统命令或者计划任务，甚至能够直接作为域管理员查看日志记录。”Weeks进一步补充称。“到这里，大家已经成功突破了‘安全屏障’，且能够对系统施以不受限制的管理控制。”
        Weeks解释称，微软方面管理一套更为全面的JEA配置文件库。通过对GitHub上JEA说明文档的详尽查看（请注意，Weeks并没有使用http://aka.ms/jeadocs处的说明文档，他是以手动方式在github.com上对JEA进行搜索），他发现了位于https://github.com/PowerShell/JEA的一套秘密库。这套库中包含4种示例角色功能：“level 1”与“level 2”代表着常规服务器管理角色。
        经过分析，他确定了现有4套示例角色功能; 其中“level 1”与“level 2”为常规服务器管理角色，另外还包含IIS特殊level 1与level 2。

        攻击者能够执行New-Service cmdlet以利用完整SYSTEM权限执行任何命令。其中Get-WinEvent与Get-EventLog cmdlet则允许攻击者以管理员方式访问事件日志，这无疑会带来严重的后果。
        Weeks确认称，微软方面将更新其JEA说明文档以提供更多与JEA配置文件的细节描述，其中亦将包含获取管理访问权限的具体信息。