|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
NT: проблемы безопасности |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Дмитрий Леонов web@hackzone.ru
Цель этой статьи - освещение некоторых проблем безопасности
Windows NT и способов их устранения. Была использована информация из
следующих источников:
Троянская конницаДистрибутивы NTWS4.0 и NTS4.0 включают утилиту rollback.exe,
предназначенную для настройки пользователями предустановленной
системы. Ее запуск приводит к очистке реестра (без предупреждения) и
возврату к концу Character Based Setup (часть установки до появления
GUI). Запуск ее из-под рабочей системы приводит к тем же невеселым
последстиям (потеря аккаунтов, настроек протоколов, пользовательских
настроек и т.п.). Найти ее можно на CD-ROM с NT в каталоге
Support\Deptools\<system>\ Каталоги %systemroot% и %systemroot%\system32 имеют по умолчанию право доступа Change для Everyone. Это может привести к самым разнообразным последствиям типа замещения части системных dll "троянскими" и т.п. При этом они могут быть вызваны из самых разных программ - в том числе, из программ, работающих с системными правами доступа. Для защиты достаточно грамотно установить права доступа. Кстати, программа DumpAcl позволяет вывести права доступа для различных объектов - файлов, реестра, принтеров и т.п. в общий список, удобный для просмотра. В реестре есть ключ Эта DLL существует в сетях, связанных с Netware. Поддельная
FPNWCLNT.DLL в каталоге %systemroot%\system32 вполне может
проследить все пароли. После копирования и перезагрузки все
изменения паролей и создание новых пользователей будут отслеживаться
этой dll и записываться (открытым текстом) в файл
c:\temp\pdwchange.out. Исполняемые файлы могут быть переименованы в файлы с любым расширением (или без расширения), но они все равно запустятся из командной строки (например, переименуйте notepad.exe в notepad.doc и запустите "start notepad.doc"). Ну и что, спросите Вы ? Тогда попробуйте представить процесс прочтения файла rollback.exe, переименованного в readme.doc. Очень эффективно. Большая часть реестра доступна для записи группе Everyone. Это же
относится и к удаленному доступу к реестру. Может оказаться опасным,
особенно в сочетании с автоматическим импортом reg-файлов. В реестре
NT4.0 появился ключ В FrontPage 1.1 пользователь IUSR_* имеет право доступа Full Control к каталогу _vti_bin и Shtml.exe.
Если взломщик узнал пароль IUSR_<hostname> (обычно достаточно
простой), то он может получить доступ к каталогу с исполняемыми
файлами. В FrontPage'97 это упущение исправлено. При запуске администратором в Windows NT 3.51 File Manager из
панели MS Office 7.0, он получает доступ к каталогу, на который у
него нет прав доступа. Это связано с тем, что File Manager наследует
права 'backup and restore permissions' от панели Office, которые
используются Офисом для записи пользовательских настроек в реестр.
Ошибка исправлена начиная с Office7.0a Служба FTP позволяет устанавливать пассивные соединения на основе
адреса порта, указанного клиентом. Это может быть использовано
взломщиком для выдачи опасных команд службе FTP. Драйвер ntfsdos.exe позволяет читать раздел с NTFS из
DOS,Windows,Windows'95. Права доступа при этом игнорируются.
Авторами был обещан вариант драйвера с возможностью
записи. Один из популярных методов проникновения в систему - подбор пароля. Для борьбы с этим обычно устанавливают блокировку учетной записи пользователя после определенного числа неудачных попыток входа. Приятным исключением является учетная запись администратора. И если он имеет право доступа на вход через сеть, это открывает лазейку для спокойного угадывания пароля. Для защиты рекомендуется переименовать пользователя
Administrator, установить блокировку учетных записей, запретить
админитратору вход в систему через сеть, запретить передачу SMB
пакетов через TCP/IP (порты 137,138,139), установить
протоколирование неудачных входов. Еще один способ - перехват проходящей по сети
информации. Пользователь Anonymous может получить в IIS права пользователей
домена при установке IIS на контроллер домена (PDC) Internet Information Server 1.0 (IIS) допускает использование
batch-файлов в качестве CGI-прилложений. Это весьма опасно,
поскольку batch-файлы выполняются в контексте командного процессора
(cmd.exe). В IIS 1.0 адрес типа 'http://www.domain.com/..\.." позволяет
просматривать и скачивать файлы вне корневого каталога
web-сервера. По умолчанию пользователь Guest или
IUSR_WWW имеет права на чтение всех
файлов во всех каталогач. Так что эти файлы могут быть просмотрены,
скачаны и запущены. Если соединиться через telnet с портом 80, команда "GET ../.."
<cr> приведет к краху IIS и сообщению "The application,
exe\inetinfo.dbg, generated an application error The error occurred
on date@ time The exception generated was c0000005 at address
53984655 (TCP_AUTHENT::TCP_AUTHENT"
Ping of Death Фрагментированный ICMP-пакет большого размера может привести к зависанию системы. Так, команда PING -l 65527 -s 1 hostname на NT 3.51 приведет к "синему экрану" с сообщением. STOP: 0X0000001E Подробности: http://support.microsoft.com/support/kb/articles/q132/4/70.asp?FR=0 SYN-атака. Послав большое количество запросов на TCP-соединение (SYN) с
недоступным обратным адресом, получим следующий результат: Подробности: http://www.microsoft.com/kb/articles/q142/6/41.htm WinNuke Посылка данных в 139-й порт приводит к перезагрузке NT 4.0, либо
вывод "синего экрана смерти" с установленным 2-м Service
Pack'ом. Аналогичная посылка данных в 135 и некоторые другие порты
приводит к значительной загрузке процессора RPCSS.EXE. На NTWS это
приводит к существенному замедлению работы, NTS практически
замораживается. Многие проблемы безопасности NT4.0 были устранены в 3-м Service Pack'е. Список исправлений весьма
внушителен. В первую очередь это атаки типа Denial of Service -
WinNuke, ошибка со 135-м портом, перехват сообщений SMB
("man-in-the-middle attack") и т.д. Настоятельно рекомендуется
установить SP3, если Вас волнует вопрос безопасности Вашей системы.
С момента выхода SP3 вышло еще несколько обновлений (hot-fixes),
доступных на
За время, прошедшее с момента написания этой
статьи, было выпущено еще несколько hot-fixes:
При необходимости установки нескольких hot fix'ов рекомендуемый
порядок установки выглядит следующим образом: asp-fix Число исправлений уже пошло на четвертый десяток, их установка уже давно представляет собой весьма занудный и мучительный процесс. Так что мировая общественность с нетерпением ждет выхода 4-го Service Pack'а, выход которого назначен на лето 1998 года (прошедшая в апреле информация о преждевременном выходе оказалась неверна - речь шла всего лишь о бета-версии). SP3 и некоторые hotfix'ы для русской версии NT можно найти на ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/rus/nt40/. Источник: http://www.pvv.spb.ru
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Copyright c 2000г. "Internet Zone" & Nik Romanov, info@izcity.com | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Копирование и использование данных материалов разрешается только в случае указания на журнал "Internet Zone", как на источник получения информации. При этом во всех ссылках обязательно явное указание адреса вэб-сайта http://www.izcity.com/. При наличии у копируемого материала авторов и источника информации - их также нужно указывать, наряду со ссылкой на нас. |