リモートデスクトップを使用してローカルホストに接続してUACをバイパスしますか？

リモートデスクトップ（RDP）を使用して、パスワードを入力せずにコンピューターAからコンピューターBに接続できます。この2台のコンピューターで同じアカウントを使用するため、その逆も可能です。さらに、リモートデスクトップセッションでは、リモートコンピューターのUACプロンプトボタンをクリックできます。

RDPを使用してリモートコンピューターに接続し、RDPを使用して（または単にRDPを使用してに接続するlocalhost）、UAC yesボタンをクリックして、マルウェアがUACをバイパスするのを阻止しているのは何ですか？

マルウェアはRDPプロトコル自体を簡単に実装するか、RDPセッションを開始してRDPセッションでマウスカーソルを移動するだけでした。

間違った質問をしている

UACは、管理者権限を持つユーザーに（悪意のある可能性のある）プロセスがローカルマシンで実行を開始することを拒否するオプションを提供することにより、悪意のあるコードから保護するのに役立つことを忘れないでください。

とはいえ、簡単な言葉で言うと、シナリオの例では、RDPを利用してUACをバイパスし、ローカルコンピューターに対する攻撃を開始するコンピューター上のマルウェアについて説明しています。この攻撃が機能するには、マルウェアがコンピューター上で既に実行されている必要があり、 UACを完全に無意味にバイパスする努力が必要になります。

したがって、最初に質問する正しい質問は、悪意のあるプロセスがコンピューターAでUACをバイパスする方法でした。

コンピューターBはどうですか？

投稿の直接的なクエリではありませんが、シナリオはコンピューターBに対する攻撃で動作する可能性があります。コンピューターAが既に侵害されていると、悪意のあるプログラムがRDPセッションを開始し、マウスの動きやキーストロークをコンピューターBに送信する可能性がありますUACをバイパスするために必要です。

しかし、これは正当なセキュリティ脆弱性でもありません。

まず、以下はWindowsのデフォルトの動作ではありません。

RDP（リモートデスクトップ）を使用して、パスワードを入力せずにコンピューターAからコンピューターBに接続できます。

これは、次のいずれかがある場合にのみ可能です。

1. リモートコンピューターの保存された資格情報（資格情報マネージャーに保存されます）、または
2. デフォルトクレデンシャルの委任を許可するグループポリシーが設定されています。

これらのどちらもデフォルト構成にはありません。これらの両方を「資格情報の保存」と呼びます。

したがって、マルウェアによるコンピューターBへのRDP接続は、コンピューターAに資格情報を保存した場合にのみ可能です。コンピューターAのアカウントのコンテキストで実行されているコードは、保存された資格情報にアクセスできるため、保存する行為は「マルウェアを含め、ユーザーアカウントのコンテキストで実行される現在または将来のコードを明示的に信頼する」と宣言するのと同じです。

コンピューターAにコンピューターBのアクセス資格情報を保存することにより、コンピューターBへのアクセスを制御するためのアクセス制御メカニズムを無効にします（少なくともコンピューターAから）。この事実を活用するコードは、OSレベルの脆弱性ではなく、ユーザーが作成した脆弱性を利用しています。