PersonalCorpus 版 (精华区)

发信人: Mainz (Guten Tag), 信区: Network
标  题: NT安全漏洞及其解决建议
发信站: 哈工大紫丁香 (2001年03月27日09:38:22 星期二), 站内信件

    Windows NT越来越受欢迎。Internet上采用NT平台作为服务器的站点越来越多
，同 时，众多企业已经采用NT平台作为企业计算和内部网Intranet的解决方案。
本文讨论 了Windows NT系统上的重大安全漏洞，包括两大部分：第一，NT服务器
和工作站的安 全漏洞；第二，关于浏览器和NT机器的两个严重安全漏洞。随着新
的安全漏洞被发 现，或在基本产品上被改变，本文也将作更新。

    概况 
    Windows NT所采用的存储数据库和加密过程导致了一系列安全漏洞值得探讨。
特别 地，NT把用户信息和加密口令保存于NT Registry中的SAM文件中，即安全帐
户管理 (Security Accounts Management)数据库。加密口令分两个步骤完成。首
先，采用RSA MD4系统对口令进行加密。第二步则是令人迷惑的缺乏复杂度的过程
，不添加任何“调 料”，比如加密口令时考虑时间的因素。结果，NT口令比UNIX
口令更加脆弱，更容易 受到一本简单字典的攻击。由于有这么多与NT口令有关的
安全问题，Microsoft已经在 NT第5.0版中加密口令时增加一个步骤。 

    这里描述的某些安全漏洞是很严重的。在最坏的情况下，一个黑客可以利用这
些漏洞来破译一个或多个Domain Administrator帐户的口令，并且对NT域中所有主
机进行破 坏活动。

    NT服务器和工作站的安全漏洞 
    1. 安全漏洞：安全帐户管理(SAM)数据库可以由以下用户被复制：
Administrator帐 户，Administrator组中的所有成员，备份操作员，服务器操作
员，以及所有具有备份 特权的人员。 

    解释：SAM数据库的一个备份拷贝能够被某些工具所利用，来破解口令。NT在
对用户进 行身份验证时，只能达到加密RSA的水平。在这种情况下，甚至没有必要
使用工具来猜 测那些明文口令。能解码SAM数据库并能破解口令的工具有：
PWDump和NTCrack。实际 上，PWDump的作者还有另一个软件包，PWAudit，它可以
跟踪由PWDump获取到的任何东西的内容。 

    减小风险的建议：严格限制Administrator组和备份组帐户的成员资格。加强
对这些帐 户的跟踪，尤其是Administrator帐户的登录失败和注销(Logoff)失败。
对SAM 进行的任何权限改变和对其本身的修改进行审计，并且设置发送一个警告给
 Administrator，告知有事件发生。切记要改变缺省权限设置来预防这个漏洞。 


    改变Administrator帐户的名字，显然可以防止黑客对缺省命名的帐户进行攻
击。这个 措施可以解决一系列的安全漏洞。为系统管理员和备份操作员创建特殊
帐户。系统管 理员在进行特殊任务时必须用这个特殊帐户注册，然后注销。所有
具有Administrator 和备份特权的帐户绝对不能浏览Web。所有的帐户只能具有
User或者Power User组的权 限。 

    采用口令过滤器来检测和减少易猜测的口令，例如，PASSPROP(Windows NT 
Resource Kit提供)，ScanNT(一个商业口令检测工具软件包)。使用加强的口令不
易被猜测。 Service Pack 3可以加强NT口令，一个加强的口令必须包含大小写字
母，数字，以及 特殊字符。使用二级身份验证机制，比如令牌卡(Token Card)，
可提供更强壮的安全 解决方案，它比较昂贵。 

    2.安全漏洞：每次紧急修复盘(Emergency Repair Disk - ERD)在更新时，整
个SAM数 据库被复制到%system%\repair\sam._。 

    解释：在缺省的权限设置下，每个人对该文件都有“读”(Read)的访问权， 
Administrator和系统本身具有“完全控制”(Full Control)的权利，Power User
有 “改变”(Change)的权利。SAM数据库的一个备份拷贝能够被某些工具所利用，
来破解 口令。NT在对用户进行身份验证时，只能达到加密RSA的水平。在这种情况
下，甚至没 有必要使用工具来猜测那些明文口令。能解码SAM数据库并能破解口令
的工具有： PWDump和NTCrack。 

    减小风险的建议：确保%system%\repair\sam._在每次ERD更新后，对所有人不
可读。 严格控制对该文件的读权利。不应该有任何用户或者组对该文件有任何访
问权。最好 的实践方针是，不要给Administrator访问该文件的权利，如果需要更
新该文件， Administrator暂时改变一下权利，当更新操作完成后，
Administrator立即把权限设 置成不可访问。 

    3.安全漏洞：SAM数据库和其它NT服务器文件可能被NT的SMB所读取，SMB是指
服务器消 息块(Server Message Block)，Microsoft早期LAN产品的一种继承协议
。 

    解释：SMB有很多尚未公开的“后门”，能不用授权就可以存取SAM和NT服务器
上的其 它文件。SMB协议允许远程访问共享目录，Registry数据库，以及其它一些
系统服务。 通过SMB协议可访问的服务的准确数目尚未有任何记载。另外，如何控
制访问这些服务 的方法也尚未有任何记载。 利用这些弱点而写的程序在
Internet上随处可见。执行这些程序不需要Administrator 访问权或者交互式访问
权。另一个漏洞是，SMB在验证用户身份时，使用一种简易加密 的方法，发送申请
包。因此，它的文件传输授权机制很容易被击溃。 

    SAM数据库的一个备份拷贝能够被某些工具所利用，来破解口令。NT在对用户
进行身份 验证时，只能达到加密RSA的水平。在这种情况下，甚至没有必要使用工
具来猜测那些 明文口令。能解码SAM数据库并能破解口令的工具有：PWDump和
NTCrack。当前，对于 使用SMB进行NT组网，还没有任何其它可选的方法。 

    减小风险的建议：在防火墙上，截止从端口135到142的所有TCP和UDP连接，这
样可以 有利于控制，其中包括对基于RPC工作于端口135的安全漏洞的控制。最安
全的方法是 利用代理(Proxy)来限制或者完全拒绝网络上基于SMB的连接。然而，
限制SMB连接可能 导致系统功能的局限性。在内部路由器上设置ACL，在各个独立
子网之间，截止端口 135到142。 

    4.安全漏洞：特洛伊木马(Trojan Horses)和病毒，可能依靠缺省权利作SAM的
备份， 获取访问SAM中的口令信息，或者通过访问紧急修复盘ERD的更新盘。 

    解释：特洛伊木马(Trojan Horses)和病毒，可以由以下各组中的任何成员在
用缺省权 限作备份时执行(缺省地，它们包括：Administrator管理员，
Administrator组成员， 备份操作员，服务器操作员，以及具有备份特权的任何人
)，或者在访问ERD更新盘时 执行(缺省地，包括任何人)。例如，如果一个用户是
Administrator组的成员，当他在 系统上工作时，特洛伊木马可能做出任何事情。
 

    减小风险的建议：所有具有Administrator和备份特权的帐户绝对不能浏览
Web。所有的帐户只能具有User或者Power User组的权限。 

    5.安全漏洞：能够物理上访问Windows NT机器的任何人，可能利用某些工具程
序来获 得Administrator级别的访问权。 

    解释：Internet上有些工具程序，可以相对容易地获得Administrator特权(比
如 NTRecover，Winternal Software的NTLocksmith)。 

    减小风险的建议：改善保安措施。 

    6.安全漏洞：重新安装Widnows NT软件，可以获得Administrator级别的访问
权。 

    解释：重新安装整个的操作系统，覆盖原来的系统，就可以获得
Administrator特权。 

    减小风险的建议：改善保安措施。 

    7.安全漏洞：Widnows NT域中缺省的Guest帐户。 

    解释：如果Guest帐户是开放的，当用户登录失败的次数达到设置时，他可以
获得NT工 作站的Guest访问权，从而进入NT域。 

    减小风险的建议：据说NT第4版已经解决了这个问题，升级到第4版吧。关闭
Guest帐户，并且给它一个难记的口令。 

    8.安全漏洞：Widnows NT工作站上的缺省Guest帐户。 

    解释：如果Guest帐户是开放的，当用户登录失败的次数达到设置时，他可以
获得NT工 作站的Guest访问权。 

    减小风险的建议：据说NT第4版已经解决了这个问题，升级到第4版吧。关闭
Guest帐 户，并且给它一个难记的口令。 

    9.安全漏洞：所有用户可能通过命令行方式，试图连接管理系统的共享资源。
 

    解释：任何一个用户可以在命令行下，键入\\IPaddress\C$(或者 
\\IPaddress\D$,\\IPaddress\WINNT$)试图连接任意一个NT平台上管理系统的共享
资 源。 

    减小风险的建议：限制远程管理员访问NT平台。 

    10. 安全漏洞：由于没有定义尝试注册的失败次数，导致可以被无限制地尝试
连接系 统管理的共享资源。 

    解释：这样的系统设置相当危险，它无疑于授权给黑客们进行连续不断地连接
尝试。 

    减小风险的建议：限制远程管理员访问NT平台。 

    11.安全漏洞：如果系统里只有一个Administrator帐户，当注册失败的次数达
到设置 时，该帐户也不可能被锁住。 

    解释：这种情况(系统里只有一个Administrator帐户)是NT的一个预先考虑过
的特征， 然而，它也成为一种风险。这种情况适用于NT域和NT工作站。 

    减小风险的建议：除了系统缺省创建的Administrator帐户，还应该创建至少
一个具有 管理员特权的帐户，并且，把缺省Administrator帐户改成另外一个名字
。 

    12.安全漏洞：具有管理员特权的帐户在达到注册失败的次数时将被锁住，然
而，30分 钟后自动解锁。 

    解释：帐户策略(Accounts Policy)中的设置。 

    减小风险的建议：对于所有管理员帐户，应该使用难猜的口令。 

    13.安全漏洞：缺省地，Windows NT在注册对话框中显示最近一次注册的用户
名。 

    解释：这是NT的一个预先考虑过的特征，然而，它也成为一种风险，给潜在的
黑客提 供了信息。 

    减小风险的建议：在域控制器上，修改Registry中Winlogon的设置，关闭这个
功能。 

    14.安全漏洞：Windows NT和Windows 95的客户可以保存口令于文件中，以便
快速缓冲。 

    解释：任何人可能通过访问内存来获取加密的口令，或者通过访问Windows 
NT工作站 的ADMINST.PWD文件，以及Windows 95的ADMINST.PWL，来读取口令，以
获得缺省管理 员的访问权。尤其在Windows 95上，这个文件很容易得到。 

    减小风险的建议：严格限制NT域中Windows 95客户的使用。限制Windows NT工
作站上 的管理员特权。 

    15.安全漏洞：Windows NT口令可能被非NT平台进行同步。

    解释：如果Windows 95中的“Change Windows Password"工具在Windows NT系
统中已 被授权，就可以作到这一点。结果是一个强的口令被一个弱的口令所替代
。 

    减小风险的建议：在与Windows NT平台连接时，不能运行“Change Windows 
Password"工具。 

    16.安全漏洞：管理员有能力从非安全的工作站上进行远程登录。 

    解释：这种能力带来许多潜在的对系统的严重攻击。 

    减小风险的建议：加强计算机设施的保安工作是可行的。关闭系统管理员的远
程能 力，对管理员只允许直接访问控制台。可以从[用户管理器][帐户策略](User
 Manager,Policies)进行设置。使用加密的对话，在管理员的属性中，限制他可以
从哪 些工作站上进行远程登录。 由于远程管理员访问很危险，商业机构必须要测
试和评估与此相关的风险，以满足业 务的需要。在实施计划中，必须作出决定，
来如何控制和限制这种风险。 

    17.安全漏洞：NT上的缺省Registry权限设置有很多不适当之处。 

    解释：Registry的缺省权限设置是对“所有人”“完全控制”(Full 
Control)和“创 建”(Create)。这种设置可能引起Registry文件的删除或者替换
。 

    减小风险的建议：对于Registry，严格限制只可进行本地注册，不可远程访问
。在NT 工作站上，限制对Registry编辑工具的访问。使用第三方工具软件，比如
Enterprise Administrator (Mission Critical Software)，锁住Registry。或者
，至少应该实现 的是，把“所有人”缺省的“完全控制”权利改成只能“创建”
。实际上，如果把这 种权利设置成“只读”，将会给系统带来许多潜在的功能性
问题，因此，在实现之 前，一定要小心谨慎地进行测试。NT 4.0引入了一个
Registry Key用来关闭非管理员 的远程Registry访问。在NT服务器上，这是一个
缺省的Registry Key,对于NT工作站， 必须把这个Registry Key添加到Registry数
据库中。 

    18.安全漏洞：有可能远程访问NT平台上的Registry。 

    解释：在Windows 95上，或者系统管理共享资源上，运行REGEDT.EXE，将允许
交互地，远程地访问NT域服务器。 

    减小风险的建议：严格限制Windows 95客户的使用。使用Registry审计。制定
规章制 度限制管理员的操作程序，禁止这样的访问，或者明确授权给指定的几个
系统管理 员。 

    19.安全漏洞：通过访问其它的并存操作系统，有可能绕过NTFS的安全设置。
 

    解释：已经有很多工具，用来访问基于Intel系统上的NTFS格式的硬盘驱动器
，而不需 要任何授权，就允许你操纵NT的各种安全配置。这些工具有，
DOS/Widnows的NTFS文件 系统重定向器(NTFS File System Redirector for 
DOS/Windows)，SAMBA，或者， Linux NTFS Reader。这种情况只有一种可能，那
就是物理上能访问机器。 

    减小风险的建议：使用专门的分区。限制administrator组和备份操作员组。
制定规章 制度限制管理员的操作程序，禁止这样的访问，或者明确授权给指定的
几个系统管理 员。可以考虑采用第三方预引导身份验证机制。 

    20.安全漏洞：文件句柄可能从内存中被读取到，然后用来访问文件，而无需
授权。

     解释：这样做需要在一个用户注册的其间内，文件已经被访问过。 

    减小风险的建议：限制管理员级和系统级的访问控制。 

    21.安全漏洞：缺省权限设置允许“所有人”可以对关键目录具有“改变”级
的访问 权。 

    解释：该安全漏洞所考虑的关键目录包括：每个NTFS卷的根目录，System32目
录，以 及Win32App目录。 

    减小风险的建议：如果可行的话，改变权限为“读”。注意，把权限改成“读
”会给 系统带来许多潜在的功能性问题，因此，在实现之前，一定要小心谨慎地
进行测试。 

    22.安全漏洞：打印操作员组中的任何一个成员对打印驱动程序具有系统级的
访问权。

    解释：黑客可以利用这个安全漏洞，用一个Trojan Horse程序替换任何一个打
印驱动 程序，当被执行时，它不需要任何特权；或者在打印驱动程序中插入恶意
病毒，具有 相同效果。 

    减小风险的建议：在赋予打印操作员权限时，要采取谨慎态度。要限制人数。
进行系 统完整性检查。适当配置和调整审计，并且定期检查审计文件。 

    23.安全漏洞：通过FTP有可能进行无授权的文件访问. 

    解释：FTP有一个设置选项，允许按照客户进行身份验证，使其直接进入一个
帐户。这 种直接访问用户目录的FTP操作，具有潜在的危险，使无需授权而访问用
户的文件和文 件夹成为可能。 

    减小风险的建议：合理配置FTP，确保服务器必须验证所有FTP申请。 

    24.安全漏洞：基于NT的文件访问权限对于非NT文件系统不可读。 

    解释：无论文件被移动或者复制到其它文件系统上，附于它们上的所有NT安全
信息不 再有效。 

    减小风险的建议：使用NTFS。尽可能使用共享(Shares)的方式。 

    25.安全漏洞：Windows NT文件安全权限的错误设置有可能带来潜在的危险。
 

    解释：对文件设置“错误”的安全权限是很容易的，比如复制或者移动一个文
件时， 权限设置将会改变。文件被复制到一个目录，它将会继承该目录的权限。
移动一个文 件时，该文件保留原来的权限设置，无论它被移动任何目录下。 

    减小风险的建议：经常检查文件的权限设置是否得当，尤其是在复制或者移动
之后。 

    26.安全漏洞：标准的NTFS“读”权限意味着同时具有“读”和“执行”。 

    解释：这个安全漏洞使文件被不正当的“读”和“执行”成为可能。 

    减小风险的建议：使用特殊权限设置。 

    27.安全漏洞：Windows NT总是不正确地执行“删除”权限。 

    解释：这个安全漏洞使一个非授权用户任意删除对象成为可能。 

    减小风险的建议：定期制作和保存备份。 

    28.安全漏洞：缺省组的权利和能力总是不能被删除，它们包括：
Administrator组， 服务器操作员组，打印操作员组，帐户操作员组。 

    解释：当删除一个缺省组时，表面上，系统已经接受了删除。然而，当再检查
时，这 些组并没有被真正删除。有时，当服务器重新启动时，这些缺省组被赋予
回缺省的权 利和能力。 

    减小风险的建议：创建自己定制的组，根据最小特权的原则，定制这些组的权
利和能 力，以迎合业务的需要。可能的话，创建一个新的Administrator组，使其
具有特别的 指定的权利和能力。 

    29.安全漏洞：NT的进程定期处理机制有“Bug”，这个安全漏洞可能造成某些
服务的 拒绝访问。它允许非特权用户运行某些特别程序，导致NT系统崩溃或者挂
起。 

    解释：黑客可能利用这个“Bug”搞垮任意一台服务器。它使得非特权用户具
有这样的 能力，写一些特别的代码，把他们自己的进程的优先级别设置为15，超
过了系统本身 的优先级别14。这个安全漏洞迫使NT系统造成一种假象，它认为这
个进程需要大量的 CPU时间，以至它使用所有的处理能力，来运行这个进程，结果
导致这个进程进入一个 无限循环，最终挂起NT机器。有两个相关的程序，它们具
有这样的挂起或者搞垮NT系 统的能力。CPUHOG (http://www.ntinternals.
com/cpuhog.htm) ，一个只有5行的程 序，它可以被执行并且使一个NT系统挂起，
没有一种方法可以杀掉这个程序。NTCrash (http://www.ntinternals.
com/crashme.htm)，也是一个可使NT系统挂起的程序，它 把一些随意的参数放入
Win32K.SYS，然后执行随机的系统调用，最终使NT系统挂起。 

    减小风险的建议：制定并且执行严格的规章制度，限制管理员的操作程序，明
确禁止这样的程序的非授权使用。据说Microsoft有一个Service Pack已经能够解
决这个 “Bug”。赶快安装最新的Service Pack。 

    30.安全漏洞：如果一个帐户被设置成同时具有Guest组和另一组的成员资格，
那么 Guest组的成员资格可能会失效，导致用户Profiles和其它设置的意想不到的
损失。 

    解释：用户Profiles和设置的损失可能导致服务的中断。 

    减小风险的建议：不要把用户分到Guest组。 

    31.安全漏洞：“所有人”的缺省权利是，可以创建公共GUI组，不受最大数目
的限制。 

    解释：如果一个用户创建的公共GUI组超过了最大数目256的话，有可能导致系
统性能 的降低，错误的消息，或者系统崩溃。 

    减小风险的建议：定期检查审计文件。 

    32.安全漏洞：事件管理器中Security Log的设置，允许记录被覆写，否则它
将导致服 务器挂起。 

    解释：这样做可能造成系统的闯入者不会被记录。 

    减小风险的建议：实现一个适当的备份操作程序和策略。选择“Overwrite 
events greater than 7 days”选项。这个数字可以改，并不是一个绝对的数字。
当达到条件 设置时，系统将会开始覆写最老的事件。 

    33.安全漏洞：审计文件是不完全的。 

    解释：事实上，有很多遗漏的事件，不会记录在审计文件中，包括系统的重新
装入， 备份，恢复，以及更改控制面板(Control Panel)，这些都是一些关键的事
件。 “System Log”是完全的，但是，它们看起来象是密文，很难读懂。 

    减小风险的建议：编辑Registry，打开对备份和恢复的审计。定期检查System
 Log， 查看是否出现新类型的事件。 

    34.安全漏洞：Security Log不是全部集成的。 

    解释：由于你在跟踪NT域上所有的系统活动，以至很难确定NT域上到底发生了
什么事 情。当一个事件ID最终被记录到系统的某个地方，很难把它们区分开来。
 

    减小风险的建议：实现第三方工具软件。Bindview,是一个不错的审计工具，
它可以检 查系统上究竟发生了什么事情。E.L.M. Sentry ( http://www.
ntsoftdist.com/ntsoftdist/sentry.htm )，也是一个很好的审计工具， 它可以
过滤你从每个机器上抓来的事件，并且把它们写入一个中心审计文件里。 

    35.安全漏洞：屏幕保护器有“Bug”，它允许非授权用户访问闲置终端。 

    解释：这个“Bug”允许你绕过屏幕保护器而获得访问权，甚至不必输入你的
ID和口 令。 

    减小风险的建议：据说最近的Service Pack已经解决了这个问题。赶快安装最
新的 Service Pack。 

    36.安全漏洞：任何用户可以通过命令行方式，远程查询任何一台NT服务器上
的已注册 的用户名。 

    解释：这个安全漏洞意味着一个十分严重的风险，如果它涉及到特权帐户的话
。 

    减小风险的建议：关闭远程管理员级的访问。定期检查审计文件和系统审计文
件。 

    37.安全漏洞：使用SATAN扫描可使Windows NT平台崩溃。另外，使用
SafeSuite的 Internet Scanner同样可使NT平台崩溃。 

    解释：这个安全漏洞迫使服务的拒绝访问。 

    减小风险的建议：避免或者限制对网络上NT平台的SATAN扫描使用，以及
Internet Scanner的使用。据说最近的Service Pack已经解决了这个问题。赶快安
装最新的 Service Pack。 

    38.安全漏洞：有一个程序，Red Button，允许任何人远程访问NT服务器，它
是通过使 用端口137,138和139来连接远端机器实现的。你可以读取Registry，创
建新的共享资 源，等等。 

    解释：这个程序不需要任何用户名或者口令，可以进行远程登录。它可判断当
前系统 缺省Administrator帐户的名字，读取多个Registry记录，并能够列出所有
共享资源， 甚至包括隐含的共享资源。 

    减小风险的建议：在防火墙上，截止所有从端口137到139的TCP和UDP连接，这
样做有 助于对远程连接的控制。另外，在内部路由器上，设置ACL，在各个独立子
网之间，截 止从端口137到139的连接。这是一种辅助措施，以限制该安全漏洞。
除了更改系统缺 省的Administrator帐户的名字外，把它放在一边，关闭它。然后
，创建一个新的系统 管理员帐户。Microsoft已经认识到这个Bug。Service 
Pack 3解决了这个安全Bug。赶 快安装Service Pack 3。 

    39.安全漏洞：用Ping命令可能使一台NT机器自杀身亡。 

    解释：NT对较大的ICMP包是很脆弱的。如果发一条Ping命令，指定包的大小为
64K，NT 的TCP/IP栈将不会正常工作。它可使系统离线工作，直至重新启动，结果
造成某些服 务的拒绝访问。下面的命令可以作为例子用于测试这个安全漏洞：
ping -l 65524 host.domain.com。注意：UNIX同样具有这个安全漏洞。 

    减小风险的建议：最新的Service Pack已经纠正了这个问题，它限制了Ping包
的大 小。赶快安装Service Pack 3。 

40.安全漏洞：NT机器允许在安装时输入空白口令。 

    解释：很明显，这将是一个潜在的安全问题。 

    减小风险的建议：使用最小口令长度选项，并且，关闭“Permit Blank 
Passwords” 选项，以阻止空白口令的发生。 

    41.安全漏洞：某些系统程序的不适当使用，比如ftp.exe, rasdial.exe, 
telnet.exe。 

    解释：这些程序无疑给侵入者提供了进一步攻击的手段，如果他们发现了服务
器上的 安全漏洞，进而可以攻击整个网络。 

    减小风险的建议：删除掉不经常使用的系统程序。 

    42.安全漏洞：作为一个TCP连接的一部分，向Windows NT机器发送 
out-of-band数 据，可使服务拒绝访问的攻击成为可能。这个安全漏洞同样适用于
Windows 95。在 Internet上，利用这个安全漏洞而写的代码有很多。 

    解释：这种攻击可造成NT系统和Windows 95系统的崩溃。未存盘的数据丢失。
 Microsoft的Service Pack 3 for NT 4.0已经纠正了一部分问题，UNIX和
Windows平台 上的问题，对于Macintosh平台，它还没有解决。 

    减小风险的建议：Microsoft的Service Pack 3 for NT 4.0已经纠正了一部分
问题， UNIX和Windows平台上的问题，对于Macintosh平台，它还没有解决。在安
装Microsoft 的补包之前，一定要安装正确的Service Pack，因为，如果你不这样
做的话，你的系 统很有可能不能引导。请查看Microsoft的站点, ftp://ftp.
microsoft.com/bussys/winnt/winnt-public/fixes/usa 以确认不同的NT 版本需
要什么样的Service Pack。 最佳的解决方案是,建设一个强壮的防火墙，精心地配
置它，只授权给可信赖的主机能 通过防火墙。正象以上针对大多数安全漏洞的解
决建议一样，在防火墙上，截止所有 从端口137到139的TCP和UDP连接，这样做有
助于对远程连接的控制。另外，在内部路 由器上，设置ACL，在各个独立子网之间
，截止从端口137到139的连接。这是一种辅助 措施，以限制该安全漏洞。值得注
意的是，有些黑客程序可以具有选择端口号的能 力，它可能成功地攻击其它端口
。 

    与浏览器和NT机器有关的安全漏洞 
    1.安全漏洞：Internet Explorer在指定的情况下，随意地向Internet上发送
用户的名 字和口令。这种对身份验证的自动反应和发送对用户来说，是完全透明
的。

    解释：当与一个兼容的Web服务器(比如Microsoft的IIS服务器)时，NT平台上
的 Internet Explorer将会对SMB协议自动反应，发送用户的名字和加密的口令，
用户根 本不知道什么事情发生。 

    减小风险的建议：赶快安装Microsoft的最新补包，据说已经解决了这个问题
。 

    2.安全漏洞：NT和Windows 95机器上的所有浏览器，都有一个相似的弱点，对
于一个 HTML页上的超级链接，浏览器都首先假设该链接是指向本地机器上的一个
文件。如果 这台机器是一个SMB服务器，它将随意发送用户的名字和口令。这种对
身份验证的自动 反应和发送对用户来说，是完全透明的。 

    解释：如果一个HTML页有这样一个链接，如： file:
//IP-address/path-and-filename> 嵌入在HTML代码之中，浏览器将假设该链接是
指向本地机器上的一个文件，然后自动 地试图连接上该链接。如果这台机器是一
个SMB服务器，本地机器将试图进行身份验 证。它将随意发送用户的名字和口令。
这种对身份验证的自动反应和发送对用户来 说，是完全透明的。用户根本不知道
什么事情发生。 

    减小风险的建议：由于这种反应过程只发生在TCP和UDP端口135至142上，建议
在防火 墙上，截止所有这些端口。另外，在内部路由器上，设置ACL，在各个独立
子网之间， 截止从端口135到142的连接。这是一种辅助措施，以限制该安全漏洞
。 注意：对于以上两个浏览器问题，如果SMB服务器声明，它无法处理加密过程，
本地的 浏览器将会弹出一个窗口，询问用户名和口令。
　

--
※ 来源:·哈工大紫丁香 bbs.hit.edu.cn·[FROM: liebe.hit.edu.cn]