荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: Mill (听日), 信区: WinNT
标 题: NT的安全漏动及其解决建议4
发信站: BBS 荔园晨风站 (Sun Aug 30 22:11:07 1998), 转信
21.安 全 漏 洞： 缺 省 权 限 设 置 允 许 “所 有 人” 可 以 对 关 键
目 录 具 有 “改 变” 级 的 访 问 权。
解 释： 该 安 全 漏 洞 所 考 虑 的 关 键 目 录 包 括： 每 个 NTFS
卷 的 根 目 录， System32 目 录， 以 及 Win32App 目 录。
减 小 风 险 的 建 议： 如 果 可 行 的 话， 改 变 权 限 为
“读”。 注 意， 把 权 限 改 成 “读” 会 给 系 统 带 来 许 多 潜
在 的 功 能 性 问 题， 因 此， 在 实 现 之 前， 一 定 要 小 心 谨
慎 地 进 行 测 试。
22.安 全 漏 洞： 打 印 操 作 员 组 中 的 任 何 一 个 成 员 对 打 印 驱
动 程 序 具 有 系 统 级 的 访 问 权。
解 释： 黑 客 可 以 利 用 这 个 安 全 漏 洞， 用 一 个 Trojan
Horse 程 序 替 换 任 何 一 个 打 印 驱 动 程 序， 当 被 执 行 时，
它 不 需 要 任 何 特 权； 或 者 在 打 印 驱 动 程 序 中 插 入 恶 意
病 毒， 具 有 相 同 效 果。
减 小 风 险 的 建 议： 在 赋 予 打 印 操 作 员 权 限 时， 要 采 取
谨 慎 态 度。 要 限 制 人 数。 进 行 系 统 完 整 性 检 查。 适 当
配 置 和 调 整 审 计， 并 且 定 期 检 查 审计 文 件。
23.安 全 漏 洞： 通 过 FTP 有 可 能 进 行 无 授 权 的 文 件 访 问.
解 释： FTP 有 一 个 设 置 选 项， 允 许 按 照 客 户 进 行 身 份
验 证， 使 其 直 接 进 入 一 个 帐 户。 这 种 直 接 访 问 用 户 目
录 的 FTP 操 作， 具 有 潜 在 的 危 险， 使 无 需 授 权 而 访 问
用 户 的 文 件 和 文 件 夹 成 为 可 能。
减 小 风 险 的 建 议： 合 理 配 置 FTP， 确 保 服 务 器 必 须 验
证 所 有 FTP 申 请。
24.安 全 漏 洞： 基 于 NT 的 文 件 访 问 权 限 对 于 非 NT 文 件 系
统 不 可 读。
解 释： 无 论 文 件 被 移 动 或 者 复 制 到 其 它 文 件 系 统 上，
附 于 它 们 上 的 所 有 NT 安 全 信 息 不 再 有 效。
减 小 风 险 的 建 议： 使 用 NTFS。 尽 可 能 使 用 共 享 (Shares)
的 方 式。
25.安 全 漏 洞： Windows NT 文 件 安 全 权 限 的 错 误 设 置 有 可
能 带 来 潜 在 的 危 险。
解 释： 对 文 件 设 置 “错 误” 的 安 全 权 限 是 很 容 易 的，
比 如 复 制 或 者 移 动 一 个 文 件 时， 权 限 设 置 将 会 改 变。
文 件 被 复 制 到 一 个 目 录， 它 将 会 继 承 该 目 录 的 权 限。
移 动 一 个 文 件 时， 该 文 件 保 留 原 来 的 权 限 设 置， 无 论
它 被 移 动 任 何 目 录 下。
减 小 风 险 的 建 议： 经 常 检 查 文 件 的 权 限 设 置 是 否 得
当， 尤 其 是 在 复 制 或 者 移 动 之 后。
26.安 全 漏 洞： 标 准 的 NTFS “读” 权 限 意 味 着 同 时 具 有
“读” 和 “执 行”。
解 释： 这 个 安 全 漏 洞 使 文 件 被 不 正 当 的 “读” 和 “执
行” 成 为 可 能。
减 小 风 险 的 建 议： 使 用 特 殊 权 限 设 置。
27.安 全 漏 洞： Windows NT 总 是 不 正 确 地 执 行 “删 除” 权
限。
解 释： 这 个 安 全 漏 洞 使 一 个 非 授 权 用 户 任 意 删 除 对 象
成 为 可 能。
减 小 风 险 的 建 议： 定 期 制 作 和 保 存 备 份。
28.安 全 漏 洞： 缺 省 组 的 权 利 和 能 力 总 是 不 能 被 删 除， 它
们 包 括： Administrator 组， 服 务 器 操 作 员 组， 打 印 操 作
员 组， 帐 户 操 作 员 组。
解 释： 当 删 除 一 个 缺 省 组 时， 表 面 上， 系 统 已 经 接 受
了 删 除。 然 而， 当 再 检 查 时， 这 些 组 并 没 有 被 真 正 删
除。 有 时， 当 服 务 器 重 新 启 动 时， 这 些 缺 省 组 被 赋 予
回 缺 省 的 权 利 和 能 力。
减 小 风 险 的 建 议： 创 建 自 己 定 制 的 组， 根 据 最 小 特 权
的 原 则， 定 制 这 些 组 的 权 利 和 能 力， 以 迎 合 业 务 的 需
要。 可 能 的 话， 创 建 一 个 新 的 Administrator 组， 使 其 具
有 特 别 的 指 定 的 权 利 和 能 力。
29.安 全 漏 洞： NT 的 进 程 定 期 处 理 机 制 有 “Bug”， 这 个
安 全 漏 洞 可 能 造 成 某 些 服 务 的 拒 绝 访 问。 它 允 许 非 特
权 用 户 运 行 某 些 特 别 程 序， 导 致 NT 系 统 崩 溃 或 者 挂
起。
解 释： 黑 客 可 能 利 用 这 个 “Bug” 搞 垮 任 意 一 台 服 务
器。 它 使 得 非 特 权 用 户 具 有 这 样 的 能 力， 写 一 些 特 别
的代 码， 把 他 们 自 己 的 进 程 的 优 先 级 别 设 置 为 15， 超
过 了 系 统 本 身 的 优 先 级 别 14。 这 个 安 全 漏 洞 迫 使 NT
系 统 造 成 一 种 假 象， 它 认 为 这 个 进 程 需 要 大 量 的 CPU
时 间， 以 至 它 使 用 所 有 的 处 理 能 力， 来 运 行 这 个 进
程， 结 果 导 致 这 个 进 程 进 入 一 个 无 限 循 环， 最 终 挂 起
NT 机 器。 有 两 个 相 关 的 程 序， 它 们 具 有 这 样 的 挂 起 或
者 搞 垮 NT 系 统 的 能 力。 CPUHOG
(http://www.ntinternals.com/cpuhog.htm)， 一 个 只 有 5 行 的 程
序， 它 可 以 被 执 行 并 且 使 一 个 NT 系 统 挂 起， 没 有 一 种
方 法 可以 杀 掉 这 个 程 序。 NTCrash
(http://www.ntinternals.com/crashme.htm)， 也 是 一 个 可 使 NT
系 统 挂 起 的 程 序， 它 把 一 些 随 意 的 参 数 放 入
Win32K.SYS， 然 后 执 行 随 机 的 系 统 调 用， 最 终 使 NT 系
统 挂 起。
减 小 风 险 的 建 议： 制 定 并 且 执 行 严 格 的 规 章 制 度， 限
制 管 理 员 的 操 作 程 序， 明 确 禁 止 这 样 的 程 序 的 非 授 权
使 用。 据 说 Microsoft 有 一 个 Service Pack 已 经 能 够 解 决 这
个 “Bug”。 赶 快 安 装 最 新 的 Service Pack。
30.安 全 漏 洞： 如 果 一 个 帐 户 被 设 置 成 同 时 具 有 Guest 组
和 另 一 组 的 成 员 资 格， 那 么 Guest 组 的 成 员 资 格 可 能
会 失 效， 导 致 用 户 Profiles 和 其 它 设 置 的 意 想 不 到 的 损
失。
解 释： 用 户 Profiles 和 设 置 的 损 失 可 能 导 致 服 务 的 中
断。
减 小 风 险 的 建 议： 不 要 把 用 户 分 到 Guest 组。
--
┏━━━━━━━━━━━━━┯┓
┃ 弃我去者,昨日之日不可留, ╚┫
┃ 乱我心者,今日之日多烦忧. ┃
┗━━━━━━━━━━━━━━┛
Waiting For You...
※ 来源:．BBS 荔园晨风站 bbs.szu.edu.cn．[FROM: 202.103.153.33]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店