查看完整版本: 高手詳解Windows帳戶權限設定

fend631 2008-3-9 17:03

高手詳解Windows帳戶權限設定

[b][size=3]隨著動網論壇的廣泛套用和動網上傳漏洞的被髮現以及SQL注入式攻擊越來越多的被使用，WEBSHELL讓防火牆形同虛設，一台即使打了所有微軟補綴、只讓80連接埠對外開放的WEB伺服器也逃不過被黑的命運。難道我們真的無能為力了嗎?其實，只要你弄明白了NTFS系統下的權限設定問題，我們可以對crackers們說:NO! -tkYXZu%@R
}!r0N C:RS ^'s
要打造一台安全的WEB伺服器，那麼這台伺服器就一定要使用NTFS和Windows NT/2000/2003。眾所周知，Windows是一個支援多使用者、多工作的作業系統，這是權限設定的基礎，一切權限設定都是基於使用者和行程而言的，不同的使用者在存取這台電腦時，將會有不同的權限。
F9s8f/DYKE 2F5g5x~,nP'a8Z
DOS跟WinNT的權限的分別
Y5L!F$Tx"]W.`8e;N ,}'fJ"u E/k|d?~
DOS是個單工作、單使用者的作業系統。但是我們能說DOS沒有權限嗎?不能!當我們開啟一台裝有DOS作業系統的電腦的時候，我們就擁有了這個作業系統的管理員權限，而且，這個權限無處不在。所以，我們只能說DOS不支援權限的設定，不能說它沒有權限。隨著人們安全意識的提高，權限設定隨著NTFS的發布誕生了。
Yv O+G#Yc y/K3g 7Dl&nV#m;L
Windows NT裏，使用者被分成許多組，組和組之間都有不同的權限，當然，一個組的使用者和使用者之間也可以有不同的權限。下面我們來談談NT中常見的使用者組。 ;Q)m8@L?#|;HZ:t

X'{d\i6@v3B 　　Administrators,管理員組，預設情況下，Administrators中的使用者對電腦/域有不受限制的完全存取權。分配給該組的預設權限允許對整個系統進行完全控制。所以，只有受信任的人員才可成為該組的成員。
cIi)I"j c mCg O*n 'im9J ON1r!L6jj
Power Users，進階使用者組，Power Users 可以執行除了為 Administrators 組保留的工作外的其它任何作業系統工作。分配給 Power Users 組的預設權限允許 Power Users 組的成員修改整個電腦的設定。但Power Users 不具有將自己加入到 Administrators 組的權限。在權限設定中，這個組的權限是僅次於Administrators的。
m pU d x:T s |0H B"cS"v;hPz
Users:普通使用者組，這個組的使用者無法進行有意或無意的改動。因此，使用者可以執行經過驗證的應用程式，但不可以執行大多數舊版應用程式。Users 組是最安全的組，因為分配給該組的預設權限不允許成員修改作業系統的設定或使用者資料。Users 組提供了一個最安全的程式執行環境。在經過 NTFS 格式化的卷上，預設安全設定旨在禁止該組的成員危及作業系統和已安裝程式的完整性。使用者不能修改系統注冊表設定、作業系統檔案或執行檔案。Users 可以關閉工作站，但不能關閉伺服器。Users 可以建立本地組，但只能修改自己建立的本地組。 vw)O\C?8m^V8o
&Y6N'q7c-C7Q)^
Guests:來賓組，按預設值，來賓跟普通Users的成員有同等存取權，但來賓帳戶的限制更多。ooGS+b(@7gI+U'O8V:f
!QD(\'Q+f/_%W+h
Everyone:顧名思義，所有的使用者，這個電腦上的所有使用者都屬於這個組。 8ZAT}pl,XzUOu X
w2S^Vp8S9HI
其實還有一個組也很常見，它擁有和Administrators一樣、甚至比其還高的權限，但是這個組不允許任何使用者的加入，在察看使用者組的時候，它也不會被顯示出來，它就是SYSTEM組。系統和系統級的服務正常執行所需要的權限都是靠它賦予的。由於該組只有這一個使用者SYSTEM，也許把該組歸為使用者的行列更為貼切。 :UEm1K.S S8B
U7j$f&u7tw
權限案例攻擊 (X3AvJv
`jh*X'l2|
權限將是你的最後一道防線!那我們現在就來對這台沒有經過任何權限設定，全部採用Windows預設權限的伺服器進行一次類比攻擊，看看其是否真的固若金湯。
bP:c8k-o6[@ M"k W6b;H&^6qA[C2z Z
假設伺服器外網域名為[url]http://www.webserver.com[/url]，用掃描軟體對其進行掃描後發現開放WWW和FTP服務，並發現其服務軟體使用的是IIS 5.0和Serv-u 5.1，用一些針對他們的上限溢位工具後發現無效，遂放棄直接遠端上限溢位的想法。 y"\C0E!@tsWr
(^ Jg C]
開啟網站頁面，發現使用的是動網的論壇系統，于是在其域名後面加個/upfile.asp，發現有檔案上傳漏洞，便抓包，把修改過的ASP木馬用NC提交，提示上傳成功，成功得到WEBSHELL，開啟剛剛上傳的ASP木馬，發現有MS-SQL、Norton Antivirus和BlackICE在執行，判斷是防火牆上做了限制，把SQL服務連接埠屏蔽了。
"yj {8R C6n;a /@%y1rM1RL#L C8_}Q
通過ASP木馬檢視到了Norton Antivirus和BlackICE的PID，又通過ASP木馬上傳了一個能殺掉行程的檔案，執行後殺掉了Norton Antivirus和BlackICE。再掃描，發現1433連接埠開放了，到此，便有很多種途徑獲得管理員權限了，可以檢視網站目錄下的conn.asp得到SQL的使用者名稱密碼，再登陸進SQL執行加入使用者，提管理員權限。也可以抓SERV-U下的ServUDaemon.ini修改後上傳，得到系統管理員權限。 7y5M1^6s%Ro]
1c UwNoFH9`
還可以傳本地上限溢位SERV-U的工具直接加入使用者到Administrators等等。大家可以看到，一旦駭客找到了切入點，在沒有權限限制的情況下，駭客將一帆風順的取得管理員權限。
'UK`8G]{+E9F2{%d mV Qj.T(?
那我們現在就來看看Windows 2000的預設權限設定到底是怎樣的。對於各個卷的根目錄，預設給了Everyone組完全控制權。這意味著任何進入電腦的使用者將不受限制的在這些根目錄中為所欲為。 !r(lG&wrd\
D0HjdKiNY
系統卷下有三個目錄比較特殊，系統預設給了他們有限制的權限，這三個目錄是Documents and settings、Program files和Winnt。對於Documents and settings，預設的權限是這樣分配的:Administrators擁有完全控制權;Everyone擁有讀&運，列和讀權限;Power users擁有讀&運，列和讀權限;SYSTEM同Administrators;Users擁有讀&運，列和讀權限。對於Program files，Administrators擁有完全控制權;Creator owner擁有特殊權限;Power users有完全控制權;SYSTEM同Administrators;Terminal server users擁有完全控制權，Users有讀&運，列和讀權限。 mE8C0ditF/E

/?`"G-qZI6^G s'? 對於Winnt，Administrators擁有完全控制權;Creator owner擁有特殊權限;Power users有完全控制權;SYSTEM同Administrators;Users有讀&運，列和讀權限。而非系統卷下的所有目錄都將繼承其父目錄的權限，也就是Everyone組完全控制權! ?v,e i8i#T dx,`N!_

6v7KnA;_jZbpO 現在大家知道為什麼我們剛剛在測試的時候能一帆風順的取得管理員權限了吧?權限設定的太低了!一個人在存取網站的時候，將被自動賦予IUSR使用者，它是隸屬於Guest組的。本來權限不高，但是系統預設給的Everyone組完全控制權卻讓它“身價倍增”，到最後能得到Administrators了。 Q!~I&lah @]

n]2@2k7GxiC 那麼，怎樣設定權限給這台WEB伺服器才算是安全的呢?大家要牢記一句話:“最少的服務+最小的權限=最大的安全”對於服務，不必要的話一定不要裝，要知道服務的執行是SYSTEM級的哦，對於權限，本著夠用就好的原則分配就是了。
'@*G `+G6|.u
4D0B1S6Vu T.|t @ 對於WEB伺服器，就拿剛剛那台伺服器來說，我是這樣設定權限的，大家可以參考一下:各個卷的根目錄、Documents and settings以及Program files，只給Administrator完全控制權，或是乾脆直接把Program files給移除掉;給系統卷的根目錄多加一個Everyone的讀、寫權;給e:\www目錄，也就是網站目錄讀、寫權。 {bfM4N9Em:^6_"M0w
lZ^r S ~$b)F
最後，還要把cmd.exe這個檔案給挖出來，只給Administrator完全控制權。經過這樣的設定後，再想通過我剛剛的方法入侵這台伺服器就是不可能完成的工作了。可能這時候又有讀者會問:“為什麼要給系統卷的根目錄一個Everyone的讀、寫權?網站中的ASP檔案執行不需要執行權限嗎?”問的好，有深度。是這樣的，系統卷如果不給Everyone的讀、寫權的話，啟動電腦的時候，電腦會報錯，而且會提示虛擬記憶體不足。 6A3m;xbt'}|]l

/X e+K6lH1?.kq 當然這也有個前提----虛擬記憶體是分配在系統盤的，如果把虛擬記憶體分配在其它卷上，那你就要給那個卷Everyone的讀、寫權。ASP檔案的執行方式是在伺服器上執行，只把執行的結果傳回最終使用者的巡覽器，這沒錯，但ASP檔案不是系統意義上的可執行檔案，它是由WEB服務的提供者----IIS來解釋執行的，所以它的執行並不需要執行的權限。 [/size][/b]
頁: [1]
查看完整版本: 高手詳解Windows帳戶權限設定