Windows 版 (精华区)

发信人: WyzIdeal (一叶小舟), 信区: OS
标  题: NT安全漏洞(16-20)
发信站: 紫 丁 香 (Sun Aug 29 08:50:21 1999), 转信

6.安 全 漏 洞： 管 理 员 有 能 力 从 非 安 全 的 工 作 站 上 进 行 远
     程 登 录。

     解 释： 这 种 能 力 带 来 许 多 潜 在 的 对 系 统 的 严 重 攻 击。

     减 小 风 险 的 建 议： 加 强 计 算 机 设 施 的 保 安 工 作 是 可 行
     的。 关 闭 系 统 管 理 员 的 远 程 能 力， 对 管 理 员 只 允 许 直
     接 访 问 控 制 台。 可 以 从 [用 户 管 理 器] [帐 户 策 略] (User
     Manager, Policies) 进 行 设 置。 使 用 加 密 的 对 话， 在 管 理
     员 的 属 性 中， 限 制 他 可 以 从 哪 些 工 作 站 上 进 行 远 程 登
     录。

     由 于 远 程 管 理 员 访 问 很 危 险， 商 业 机 构 必 须 要 测 试 和
     评 估 与 此 相 关 的 风 险， 以 满 足 业 务 的 需 要。 在 实 施 计
     划 中， 必 须 作 出 决 定， 来 如 何 控 制 和 限 制 这 种 风 险。

  17.安 全 漏 洞： N T 上 的 缺 省 Registry 权 限 设 置 有 很 多 不 适
     当 之 处。

     解 释： Registry 的 缺 省 权 限 设 置 是 对 “所 有 人” “完 全
     控 制” (Full Control) 和 “创 建” (Create)。 这 种 设 置 可 能 引
     起 Registry 文 件 的 删 除 或 者 替 换。

     减 小 风 险 的 建 议： 对 于 Registry， 严 格 限 制 只 可 进 行 本
     地 注 册， 不 可 远 程 访 问。 在 NT 工 作 站 上， 限 制 对
     Registry 编 辑 工 具 的 访 问。 使 用 第 三 方 工 具 软 件， 比 如
     Enterprise Administrator (Mission Critical Software)， 锁 住
     Registry。 或 者， 至 少 应 该 实 现 的 是， 把 “所 有 人” 缺
     省 的 “完 全 控 制” 权 利 改 成 只 能 “创 建”。 实 际 上， 如
     果 把 这 种 权 利 设 置 成 “只 读”， 将 会 给 系 统 带 来 许 多
     潜 在 的 功 能 性 问 题， 因 此， 在 实 现 之 前， 一 定 要 小 心
     谨 慎 地 进 行 测 试。 NT 4.0 引 入 了 一 个 Registry Key 用 来
     关 闭 非 管 理 员 的 远 程 Registry 访 问。 在 NT 服 务 器 上，
     这 是 一 个 缺 省 的 Registry Key, 对 于 NT 工 作 站， 必 须 把
     这 个 Registry Key 添 加 到 Registry 数 据 库 中。

  18.安 全 漏 洞： 有 可 能 远 程 访 问 NT 平 台 上 的 Registry。

     解 释： 在 Windows 95 上， 或 者 系 统 管 理 共 享 资 源 上， 运
     行 REGEDT.EXE， 将 允 许 交 互 地， 远 程 地 访 问 NT 域 服
     务 器。

     减 小 风 险 的 建 议： 严 格 限 制 Windows 95 客 户 的 使 用。 使
     用 Registry 审 计。 制 定 规 章 制 度 限 制 管 理 员 的 操 作 程
     序， 禁 止 这 样 的 访 问， 或 者 明 确 授 权 给 指 定 的 几 个 系
     统 管 理 员。

  19.安 全 漏 洞： 通 过 访 问 其 它 的 并 存 操 作 系 统， 有 可 能 绕
     过 NTFS 的 安 全 设 置。

     解 释： 已 经 有 很 多 工 具， 用 来 访 问 基 于 Intel 系 统 上 的
     NTFS 格 式 的 硬 盘 驱 动 器， 而 不 需 要 任 何 授 权， 就 允 许
     你 操 纵 NT 的 各 种 安 全 配 置。 这 些 工 具 有，
     DOS/Widnows 的 NTFS 文 件 系 统 重 定 向 器 (NTFS File System
     Redirector for DOS/Windows)， SAMBA， 或 者， Linux NTFS
     Reader。 这 种 情 况 只 有 一 种 可 能， 那 就 是 物 理 上 能 访
     问 机 器。

     减 小 风 险 的 建 议： 使 用 专 门 的 分 区。 限 制 administrator
     组 和 备 份 操 作 员 组。 制 定 规 章 制 度 限 制 管 理 员 的 操 作
     程 序， 禁 止 这 样 的 访 问， 或 者 明 确 授 权 给 指 定 的 几 个
     系 统 管 理 员。 可 以 考 虑 采 用 第 三 方 预 引 导 身 份 验 证 机
     制。

  20.安 全 漏 洞： 文 件 句 柄 可 能 从 内 存 中 被 读 取 到， 然 后 用
     来 访 问 文 件， 而 无 需 授 权。

     解 释： 这 样 做 需 要 在 一 个 用 户 注 册 的 其 间 内， 文 件 已
     经 被 访 问 过。

     减 小 风 险 的 建 议： 限 制 管 理 员 级 和 系 统 级 的 访 问 控制。 
--
***********************************
  如烟往事俱忘却，心底无私天地宽。
***********************************
           一切靠自己

※ 来源:．紫 丁 香 bbs.hit.edu.cn．[FROM: 202.118.248.24]