荔园在线

荔园之美,在春之萌芽,在夏之绽放,在秋之收获,在冬之沉淀

[回到开始] [上一篇][下一篇]


发信人: taotiger (一不做二不休三不回头), 信区: Microsoft
标  题: NT安全机制
发信站: BBS 荔园晨风站 (Sat Sep 18 10:11:44 1999), 转信



  WindowsNT越来越受欢迎。Internet上采用NT平台作为服务器的站
点也越来越多,同时,众多企业已经采用NT平台作为企业计算和内部
网Intranet的解决方案。本文讨论了WindowsNT系统上的重大安全漏
洞,包括两大部分:第一,NT服务器和工作站的安全漏洞;第二,关
于浏览器和NT机器的两个严重安全漏洞。

  概况

  WindowsNT所采用的存储数据库和加密过程导致了一系列安全漏洞
值得探讨。特别地,NT把用户信息和加密口令保存于NTRegistry中的
SAM文件中,即安全帐户管理(SecurityAccountsManagement)数据库。
加密口令分两个步骤完成。首先,采用RSAMD4系统对口令进行加密。
第二步则是令人迷惑的缺乏复杂度的过程,不添加任何“调料”,比
如加密口令时考虑时间的因素。结果,NT口令比UNIX口令更加脆弱,
更容易受到一本简单字典的攻击。由于有这么多与NT口令有关的安全
问题,Microsoft已经在NT第5.0版中加密口令时增加一个步骤。


这里描述的某些安全漏洞是很严重的。在最坏的情况下,一个黑
客可以利用这些漏洞来破译一个或多个DomainAdministrator帐户的口
令,并且对NT域中所有主机进行破坏活动。

  NT服务器和工作站的安全漏洞

  1.安全漏洞:安全帐户管理(SAM)数据库可以由以下用户被复制:
Administrator帐户,Administrator组中的所有成员,备份操作员,
服务器操作员,以及所有具有备份特权的人员。

  解释:SAM数据库的一个备份拷贝能够被某些工具所利用来破解口
令。NT在对用户进行身份验证时,只能达到加密RSA的水平。在这种情
况下,甚至没有必要使用工具来猜测那些明文口令。能解码SAM数据库
并能破解口令的工具有:PWDump和NTCrack。实际上,PWDump的作者还
有另一个软件包,PWAudit,它可以跟踪由PWDump获取到的任何东西的
内容。

  减小风险的建议:严格限制Administrator组和备份组帐户的成员
资格。加强对这些帐户的跟踪,尤其是Administrator帐户的登录
(Logon)失败和注销(Logoff)失败。对SAM进行的任何权限改变和对其
本身的修改进行审计,并且设置发送一个警告给Administrator,告知
有事件发生。切记要改变缺省权限设置来预防这个漏洞。

  改变Administrator帐户的名字,显然可以防止黑客对缺省命名的
帐户进行攻击。这个措施可以解决一系列的安全漏洞。为系统管理员
和备份操作员创建特殊帐户。系统管理员在进行特殊任务时必须用这
个特殊帐户注册,然后注销。所有具有Administrator和备份特权的帐
户绝对不能浏览Web。所有的帐户只能具有User或者PowerUser组的权
限。

  采用口令过滤器来检测和减少易猜测的口令,例如,PASSPROP
(WindowsNTResourceKit提供),ScanNT(一个商业口令检测工具软件
包)。使用加强的口令不易被猜测。ServicePack3可以加强NT口令,一
个加强的口令必须包含大小写字母,数字,以及特殊字符。使用二级
身份验证机制,比如令牌卡(TokenCard),可提供更强壮的安全解决方
案,它比较昂贵。

  2.安全漏洞:每次紧急修复盘(EmergencyRepairDisk-ERD)在更新
时,整个SAM数据库被复制到%system%\repair\sam._。

  解释:在缺省的权限设置下,每个人对该文件都有“读”(Read)
的访问权,Administrator和系统本身具有“完全控制”
(FullControl)的权利,PowerUser有“改变”(Change)的权利。SAM数
据库的一个备份拷贝能够被某些工具所利用,来破解口令。NT在对用
户进行身份验证时,只能达到加密RSA的水平。在这种情况下,甚至没
有必要使用工具来猜测那些明文口令。能解码SAM数据库并能破解口令
的工具有:PWDump和NTCrack。

  减小风险的建议:确保%system%\repair\sam在每次ERD更新后,
对所有人不可读。严格控制对该文件的读权利。不应该有任何用户或
者组对该文件有任何访问权。最好的实践方针是,不要给
Administrator访问该文件的权利,如果需要更新该文件,
Administrator暂时改变一下权利,当更新操作完成后,
administrator立即把权限设置成不可访问。

  3.安全漏洞:SAM数据库和其它NT服务器文件可能被NT的SMB所读
取,SMB是指服务器消息块(ServerMessageBlock),Microsoft早期LAN
产品的一种继承协议。

  解释:SMB有很多尚未公开的“后门”,能不用授权就可以存取
SAM和NT服务器上的其它文件。SMB协议允许远程访问共享目录,
Registry数据库,以及其它一些系统服务。通过SMB协议可访问的服务
的准确数目尚未有任何记载。另外,如何控制访问这些服务的方法也
尚未有任何记载。

  利用这些弱点而写的程序在Internet上随处可见。执行这些程序
不需要Administrator访问权或者交互式访问权。另一个漏洞是,SMB
在验证用户身份时,使用一种简易加密的方法,发送申请包。因此,
它的文件传输授权机制很容易被击溃。

  SAM数据库的一个备份拷贝能够被某些工具所利用,来破解口令。
NT在对用户进行身份验证时,只能达到加密RSA的水平。在这种情况
下,甚至没有必要使用工具来猜测那些明文口令。能解码SAM数据库并
能破解口令的工具有:PWDump和NTCrack。当前,对于使用SMB进行NT
组网,还没有任何其它可选的方法。

  减小风险的建议:在防火墙上,截止从端口135到142的所有TCP和
UDP连接,这样可以有利于控制,其中包括对基于RPC工作于端口135的
安全漏洞的控制。最安全的方法是利用代理(Proxy)来限制或者完全拒
绝网络上基于SMB的连接。然而,限制SMB连接可能导致系统功能的局
限性。在内部路由器上设置ACL,在各个独立子网之间,截止端口135
到142。

  4.安全漏洞:特洛伊木马(TrojanHorses)和病毒,可能依靠缺省
权利作SAM的备份,获取访问SAM中的口令信息,或者通过访问紧急修
复盘ERD的更新盘。

  解释:特洛伊木马(TrojanHorses)和病毒,可以由以下各组中的
任何成员在用缺省权限作备份时执行(缺省地,它们包括:
Administrator管理员,Administrator组成员,备份操作员,服务器
操作员,以及具有备份特权的任何人),或者在访问ERD更新盘时执行
(缺省地,包括任何人)。例如,如果一个用户是administrator组的成
员,当他在系统上工作时,特洛伊木马可能做出任何事情。

  减小风险的建议:所有具有Administrator和备份特权的帐户绝对
不能浏览Web。所有的帐户只能具有User或者PowerUser组的权限。

  5.安全漏洞:能够物理上访问WindowsNT机器的任何人,可能利用
某些工具程序来获得Administrator级别的访问权。

  解释:Internet上有些工具程序,可以相对容易地获得
Administrator特权(比如NTRecover,WinternalSoftware的
NTLocksmith)。

  减小风险的建议:改善保安措施。

  6.安全漏洞:重新安装WidnowsNT软件,可以获得Administrator
级别的访问权。

  解释:重新安装整个的操作系统,覆盖原来的系统,就可以获得
Administrator特权。

  减小风险的建议:改善保安措施。

  7.安全漏洞:WidnowsNT域中缺省的Guest帐户。

  解释:如果Guest帐户是开放的,当用户登录失败的次数达到设置
时,他可以获得NT工作站的Guest访问权,从而进入NT域。

  减小风险的建议:据说NT第4版已经解决了这个问题,升级到第4
版吧。关闭Guest帐户,并且给它一个难记的口令。

  8.安全漏洞:某些系统程序的不适当使用,比如
ftp.exe,rasdial.exe,telnet.exe。

  解释:这些程序无疑给侵入者提供了进一步攻击的手段,如果他
们发现了服务器上的安全漏洞,进而可以
攻击整个网络。

  减小风险的建议:删除掉不经常使用的系统程序。

  9.安全漏洞:所有用户可能通过命令行方式,试图连接管理系统
的共享资源。

  解释:任何一个用户可以在命令行下,键入\\IPaddress\C$(或者
\\IPaddress\D$,\\IPaddress\WINNT$)试图连接任意一个NT平台上管
理系统的共享资源。

  减小风险的建议:限制远程管理员访问NT平台。

  10.安全漏洞:由于没有定义尝试注册的失败次数,导致可以被无
限制地尝试连接系统管理的共享资源。

  解释:这样的系统设置相当危险,它无疑于授权给黑客们进行连
续不断地连接尝试。

减小风险的建议:限制远程管理员访问NT平台。

  11.安全漏洞:如果系统里只有一个Administrator帐户,当注册
失败的次数达到设置时,该帐户也不可能被锁
住。

  解释:这种情况(系统里只有一个Administrator帐户)是NT的一个
预先考虑过的特征,然而,它也成为一种风险。这种情况适用于NT域
和NT工作站。

  减小风险的建议:除了系统缺省创建的Administrator帐户,还应
该创建至少一个具有管理员特权的帐户,并且,把缺省Administrator
帐户改成另外一个名字。

  12.安全漏洞:具有管理员特权的帐户在达到注册失败的次数时将
被锁住,然而,30分钟后自动解锁。

  解释:帐户策略(AccountsPolicy)中的设置。

  减小风险的建议:对于所有管理员帐户,应该使用难猜的口令。

  13.安全漏洞:缺省地,WindowsNT在注册对话框中显示最近一次
注册的用户名。

  解释:这是NT的一个预先考虑过的特征,然而,它也成为一种风
险,给潜在的黑客提供了信息。

  减小风险的建议:在域控制器上,修改Registry中Winlogon的设
置,关闭这个功能。

  14.安全漏洞:WindowsNT和Windows95的客户可以保存口令于文件
中,以便快速缓冲。

  解释:任何人可能通过访问内存来获取加密的口令,或者通过访
问WindowsNT工作站的ADMINST.PWD文件,以及Windows95的
ADMINST.PWL,来读取口令,以获得缺省管理员的访问权。尤其在
Windows95上,这个文件很容易得到。

  减小风险的建议:严格限制NT域中Windows95客户的使用。限制
WindowsNT工作站上的管理员特权。

  15.安全漏洞:WindowsNT口令可能被非NT平台进行同步。

  解释:如果Windows95中的“ChangeWindowsPassword”工具在
WindowsNT系统中已被授权,就可以作到这一点。结果是一个强的口令
被一个弱的口令所替代。

  减小风险的建议:在与WindowsNT平台连接时,不能运行
“ChangeWindowsPassword”工具。

  16.安全漏洞:管理员有能力从非安全的工作站上进行远程登录。

  解释:这种能力带来许多潜在的对系统的严重攻击。

  减小风险的建议:加强计算机设施的保安工作是可行的。关闭系
统管理员的远程能力,对管理员只允许直接访问控制台。可以从[用户
管理器][帐户策略](UserManager,Policies)进行设置。使用加密的对
话,在管理员的属性中,限制他可以从哪些工作站上进行远程登录。

  由于远程管理员访问很危险,商业机构必须要测试和评估与此相
关的风险,以满足业务的需要。在实施计划中,必须作出决定,来如
何控制和限制这种风险。

  17.安全漏洞:NT上的缺省Registry权限设置有很多不适当之处。

  解释:Registry的缺省权限设置是对“所有人”“完全控制”
(FullControl)和“创建”(Create)。这种设置可能引起Registry文件
的删除或者替换。

  减小风险的建议:对于Registry,严格限制只可进行本地注册,
不可远程访问。在NT工作站上,限制对Registry编辑工具的访问。使
用第三方工具软件,比如EnterpriseAdministrator
(MissionCriticalSoftware),锁住Registry。或者,至少应该实现的
是,把“所有人”缺省的“完全控制”权利改成只能“创建”。实际
上,如果把这种权利设置成“只读”,将会给系统带来许多潜在的功
能性问题,因此,在实现之前,一定要小心谨慎地进行测试。NT4.0引
入了一个RegistryKey用来关闭非管理员的远程Registry访问。在NT服
务器上,这是一个缺省的RegistryKey,对于NT工作站,必须把这个
RegistryKey添加到Registry数据库中。

  18.安全漏洞:有可能远程访问NT平台上的Registry。

  解释:在Windows95上,或者系统管理共享资源上,运行
REGEDT.EXE,将允许交互地,远程地访问NT域服务器。

  减小风险的建议:严格限制Windows95客户的使用。使用Registry
审计。制定规章制度限制管理员的操作程序,禁止这样的访问,或者
明确授权给指定的几个系统管理员。

  19.安全漏洞:通过访问其它的并存操作系统,有可能绕过NTFS的
安全设置。

  解释:已经有很多工具,用来访问基于Intel系统上的NTFS格式的
硬盘驱动器,而不需要任何授权,就允许你操纵NT的各种安全配置。
这些工具有,DOS/Widnows的NTFS文件系统重定向器(NTFSFileSystem
RedirectorforDOS/Windows),SAMBA,或者,LinuxNTFSReader。这种
情况只有一种可能,那就是物理上能访问机器。

  减小风险的建议:使用专门的分区。限制administrator组和备份
操作员组。制定规章制度限制管理员的操作程序,禁止这样的访问,
或者明确授权给指定的几个系统管理员。可以考虑采用第三方预引导
身份验证机制。

  20.安全漏洞:文件句柄可能从内存中被读取到,然后用来访问文
件,而无需授权。

  解释:这样做需要在一个用户注册的其间内,文件已经被访问
过。
减小风险的建议:限制管理员级和系统级的访问控制。

  21.安全漏洞:缺省权限设置允许“所有人”可以对关键目录具有
“改变”级的访问权。

  解释:该安全漏洞所考虑的关键目录包括:每个NTFS卷的根目录
,System32目录,以及Win32App目录。

  减小风险的建议:如果可行的话,改变权限为“读”。注意,把
权限改成“读”会给系统带来许多潜在的功能性问题,因此,在实现
之前,一定要小心谨慎地进行测试。

  22.安全漏洞:打印操作员组中的任何一个成员对打印驱动程序具
有系统级的访问权。

  解释:黑客可以利用这个安全漏洞,用一个TrojanHorse程序替换
任何一个打印驱动程序,当被执行时,它不需要任何特权;或者在打
印驱动程序中插入恶意病毒,具有相同效果。

  减小风险的建议:在赋予打印操作员权限时,要采取谨慎态度。
要限制人数。进行系统完整性检查。适当配置和调整审计,并且定期
检查审计文件。

  23.安全漏洞:通过FTP有可能进行无授权的文件访问.

  解释:FTP有一个设置选项,允许按照客户进行身份验证,使其直
接进入一个帐户。这种直接访问用户目录的FTP操作,具有潜在的危险
,使无需授权而访问用户的文件和文件夹成为可能。

  减小风险的建议:合理配置FTP,确保服务器必须验证所有FTP申
请。

  24.安全漏洞:基于NT的文件访问权限对于非NT文件系统不可读。

  解释:无论文件被移动或者复制到其它文件系统上,附于它们上
的所有NT安全信息不再有效。

  减小风险的建议:使用NTFS。尽可能使用共享(Shares)的方式。

  25.安全漏洞:WindowsNT文件安全权限的错误设置有可能带来潜
在的危险。

  解释:对文件设置“错误”的安全权限是很容易的,比如复制或
者移动一个文件时,权限设置将会改变。文件被复制到一个目录,它
将会继承该目录的权限。移动一个文件时,该文件保留原来的权限设
置,无论它被移动任何目录下。

  减小风险的建议:经常检查文件的权限设置是否得当,尤其是在
复制或者移动之后。

  26.安全漏洞:标准的NTFS“读”权限意味着同时具有“读”和
“执行”。

  解释:这个安全漏洞使文件被不正当的“读”和“执行”成为可
能。

  减小风险的建议:使用特殊权限设置。

  27.安全漏洞:WindowsNT总是不正确地执行“删除”权限。

  解释:这个安全漏洞使一个非授权用户任意删除对象成为可能。

  减小风险的建议:定期制作和保存备份。
--
        十  步  杀  一  人

          千  里  不  留  行

※ 来源:.BBS 荔园晨风站 bbs.szu.edu.cn.[FROM: 192.168.29.145]


[回到开始] [上一篇][下一篇]

荔园在线首页 友情链接:深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店