Communication 版 (精华区)

发信人: Iamhere (灯火阑珊), 信区: Communication
标  题: NT安全漏洞机器解决措施2                dormouse 
发信站: 哈工大紫丁香 (2001年06月15日23:39:58 星期五), 站内信件

发信人: arclight (无是无非), 信区: CRC
标  题: NT安全漏洞机器解决措施2
发信站: 紫 丁 香 (Mon Jun 21 19:12:52 1999), 转信




2. 安全漏洞：每次紧急修复盘(EmergencyRepairDisk-ERD)在
更新时，整个SAM数据库被复制到%system%\repair\sam._。

解释：在缺省的权限设置下，每个人对该文件都有"读"(Read)
的访问权，Administrator和系统本身具有"完全控制"
(FullControl)的权利，PowerUser有"改变"(Change)的权利。
SAM数据库的一个备份拷贝能够被某些工具所利用，来破解
口令。NT在对用户进行身份验证时，只能达到加密RSA的
水平。在这种情况下，甚至没有必要使用工具来猜测那些明
文口令。能解码SAM数据库并能破解口令的工具有：PWDump
和NTCrack。

减小风险的建议：确保%system%\repair\sam在每次ERD更
新后，对所有人不可读。严格控制对该文件的读权利。不应
该有任何用户或者组对该文件有任何访问权。最好的实践方
针是，不要给Administrator访问该文件的权利，如果需要更
新该文件，Administrator暂时改变一下权利，当更新操作完
成后，Administrator立即把权限设置成不可访问。

3. 安全漏洞：SAM数据库和其它NT服务器文件可能被NT
的SMB所读取，SMB是指服务器消息块
(ServerMessageBlock)，Microsoft早期LAN产品的一种继承
协议。

解释：SMB有很多尚未公开的"后门"，能不用授权就可以存
取SAM和NT服务器上的其它文件。SMB协议允许远程访
问共享目录，Registry数据库，以及其它一些系统服务。通
过SMB协议可访问的服务的准确数目尚未有任何记载。另
外，如何控制访问这些服务的方法也尚未有任何记载。

利用这些弱点而写的程序在Internet上随处可见。执行这些
程序不需要Administrator访问权或者交互式访问权。另一个
漏洞是，SMB在验证用户身份时，使用一种简易加密的方法，
发送申请包。因此，它的文件传输授权机制很容易被击溃。

SAM数据库的一个备份拷贝能够被某些工具所利用，来破解
口令。NT在对用户进行身份验证时，只能达到加密RSA的
水平。在这种情况下，甚至没有必要使用工具来猜测那些明
文口令。能解码SAM数据库并能破解口令的工具有：PWDump
和NTCrack。当前，对于使用SMB进行NT组网，还没有任
何其它可选的方法。

减小风险的建议：在防火墙上，截止从端口135到142的所
有TCP和UDP连接，这样可以有利于控制，其中包括对基
于RPC工作于端口135的安全漏洞的控制。最安全的方法是
利用代理(Proxy)来限制或者完全拒绝网络上基于SMB的连
接。然而，限制SMB连接可能导致系统功能的局限性。在
内部路由器上设置ACL，在各个独立子网之间，截止端口135
到142。

4. 安全漏洞：特洛伊木马(TrojanHorses)和病毒，可能依靠缺
省权利作SAM的备份，获取访问SAM中的口令信息，或者
通过访问紧急修复盘ERD的更新盘。

解释：特洛伊木马(TrojanHorses)和病毒，可以由以下各组中
的任何成员在用缺省权限作备份时执行(缺省地，它们包括：
Administrator管理员，Administrator组成员，备份操作员，
服务器操作员，以及具有备份特权的任何人)，或者在访问ERD
更新盘时执行(缺省地，包括任何人)。例如，如果一个用户
是Administrator组的成员，当他在系统上工作时，特洛伊木
马可能做出任何事情。

减小风险的建议：所有具有Administrator和备份特权的帐户
绝对不能浏览Web。所有的帐户只能具有User或者PowerUser
组的权限。

--
※ 来源:．紫 丁 香 bbs.hit.edu.cn．[FROM: sys03.hit.edu.cn]