文章內(nèi)容

windows下的權(quán)限設(shè)置 (1)

發(fā)布時(shí)間: 2012/9/9 15:39:26

隨著動(dòng)網(wǎng)論壇的廣泛應(yīng)用和動(dòng)網(wǎng)上傳漏洞的被發(fā)現(xiàn)以及SQL注入式攻擊越來(lái)越多的被使用，WEBSHELL讓防火墻形同虛設(shè)，一臺(tái)即使打了所有微軟補(bǔ)丁、只讓80端口對(duì)外開放的WEB服務(wù)器也逃不過(guò)被黑的命運(yùn)。難道我們真的無(wú)能為力了嗎?其實(shí)，只要你弄明白了NTFS系統(tǒng)下的權(quán)限設(shè)置問(wèn)題，我們可以對(duì)crackers們說(shuō):NO!

　　要打造一臺(tái)安全的WEB服務(wù)器，那么這臺(tái)服務(wù)器就一定要使用NTFS和Windows NT/2000
/2003。眾所周知，Windows是一個(gè)支持多用戶、多任務(wù)的操作系統(tǒng)，這是權(quán)限設(shè)置的基礎(chǔ)，一切權(quán)限設(shè)置都是基于用戶和進(jìn)程而言的，不同的用戶在訪問(wèn)這臺(tái)計(jì)算機(jī)時(shí)，將會(huì)有不同的權(quán)限。

　　DOS跟WinNT的權(quán)限的分別

　　DOS是個(gè)單任務(wù)、單用戶的操作系統(tǒng)。但是我們能說(shuō)DOS沒(méi)有權(quán)限嗎?不能!當(dāng)我們打開一臺(tái)裝有DOS操作系統(tǒng)的計(jì)算機(jī)的時(shí)候，我們就擁有了這個(gè)操作系統(tǒng)的管理員權(quán)限，而且，這個(gè)權(quán)限無(wú)處不在。所以，我們只能說(shuō)DOS不支持權(quán)限的設(shè)置，不能說(shuō)它沒(méi)有權(quán)限。隨著人們安全意識(shí)的提高，權(quán)限設(shè)置隨著NTFS的發(fā)布誕生了。

　　Windows NT里，用戶被分成許多組，組和組之間都有不同的權(quán)限，當(dāng)然，一個(gè)組的用戶和用戶之間也可以有不同的權(quán)限。下面我們來(lái)談?wù)凬T中常見的用戶組。

　　Administrators,管理員組，默認(rèn)情況下，Administrators中的用戶對(duì)計(jì)算機(jī)/域有不受限制的完全訪問(wèn)權(quán)。分配給該組的默認(rèn)權(quán)限允許對(duì)整個(gè)系統(tǒng)進(jìn)行完全控制。所以，只有受信任的人員才可成為該組的成員。

　　Power Users，高級(jí)用戶組，Power Users 可以執(zhí)行除了為 Administrators 組保留的任務(wù)外的其他任何操作系統(tǒng)任務(wù)。分配給 Power Users 組的默認(rèn)權(quán)限允許 Power Users 組的成員修改整個(gè)計(jì)算機(jī)的設(shè)置。但Power Users 不具有將自己添加到 Administrators 組的權(quán)限。在權(quán)限設(shè)置中，這個(gè)組的權(quán)限是僅次于Administrators的。

　　Users:普通用戶組，這個(gè)組的用戶無(wú)法進(jìn)行有意或無(wú)意的改動(dòng)。因此，用戶可以運(yùn)行經(jīng)過(guò)驗(yàn)證的應(yīng)用程序，但不可以運(yùn)行大多數(shù)舊版應(yīng)用程序。Users 組是最安全的組，因?yàn)榉峙浣o該組的默認(rèn)權(quán)限不允許成員修改操作系統(tǒng)的設(shè)置或用戶資料。Users 組提供了一個(gè)最安全的程序運(yùn)行環(huán)境。在經(jīng)過(guò) NTFS 格式化的卷上，默認(rèn)安全設(shè)置旨在禁止該組的成員危及操作系統(tǒng)和已安裝程序的完整性。用戶不能修改系統(tǒng)

注冊(cè)表設(shè)置、操作系統(tǒng)文件或程序文件。Users 可以關(guān)閉工作站，但不能關(guān)閉服務(wù)器。Users 可以創(chuàng)建本地組，但只能修改自己創(chuàng)建的本地組。
　　Guests:來(lái)賓組，按默認(rèn)值，來(lái)賓跟普通Users的成員有同等訪問(wèn)權(quán)，但來(lái)賓帳戶的限制更多。

　　Everyone:顧名思義，所有的用戶，這個(gè)計(jì)算機(jī)上的所有用戶都屬于這個(gè)組。

　　其實(shí)還有一個(gè)組也很常見，它擁有和Administrators一樣、甚至比其還高的權(quán)限，但是這個(gè)組不允許任何用戶的加入，在察看用戶組的時(shí)候，它也不會(huì)被顯示出來(lái)，它就是SYSTEM組。系統(tǒng)和系統(tǒng)級(jí)的服務(wù)正常運(yùn)行所需要的權(quán)限都是靠它賦予的。由于該組只有這一個(gè)用戶SYSTEM，也許把該組歸為用戶的行列更為貼切。
權(quán)限的權(quán)力大小分析

　　權(quán)限是有高低之分的，有高權(quán)限的用戶可以對(duì)低權(quán)限的用戶進(jìn)行操作，但除了Administrators之外，其他組的用戶不能訪問(wèn) NTFS 卷上的其他用戶資料，除非他們獲得了這些用戶的授權(quán)。而低權(quán)限的用戶無(wú)法對(duì)高權(quán)限的用戶進(jìn)行任何操作。

　　我們平常使用計(jì)算機(jī)的過(guò)程當(dāng)中不會(huì)感覺(jué)到有權(quán)限在阻撓你去做某件事情，這是因?yàn)槲覀冊(cè)谑褂糜?jì)算機(jī)的時(shí)候都用的是Administrators中的用戶登陸的。這樣有利也有弊，利當(dāng)然是你能去做你想做的任何一件事情而不會(huì)遇到權(quán)限的限制。弊就是以 Administrators 組成員的身份運(yùn)行計(jì)算機(jī)將使系統(tǒng)容易受到特洛伊木馬、病毒及其他安全風(fēng)險(xiǎn)的威脅。訪問(wèn) Internet 站點(diǎn)或打開電子郵件附件的簡(jiǎn)單行動(dòng)都可能破壞系統(tǒng)。

　　不熟悉的 Internet 站點(diǎn)或電子郵件附件可能有特洛伊木馬代碼，這些代碼可以下載到系統(tǒng)并被執(zhí)行。如果以本地計(jì)算機(jī)的管理員身份登錄，特洛伊木馬可能使用管理訪問(wèn)權(quán)重新格式化您的硬盤，造成不可估量的損失，所以在沒(méi)有必要的情況下，最好不用Administrators中的用戶登陸。Administrators中有一個(gè)在系統(tǒng)安裝時(shí)就創(chuàng)建的默認(rèn)用戶----Administrator，Administrator 帳戶具有對(duì)服務(wù)器的完全控制權(quán)限，并可以根據(jù)需要向用戶指派用戶權(quán)利和訪問(wèn)控制權(quán)限。

　　因此強(qiáng)烈建議將此帳戶設(shè)置為使用強(qiáng)密碼。永遠(yuǎn)也不可以從Administrators 組刪除 Administrator 帳戶，但可以重命名或禁用該帳戶。由于大家都知道“管理員”存在于許多版本的 Windows 上，所以重命名或禁用此帳戶將使惡意用戶嘗試并訪問(wèn)該帳戶變得更為困難。對(duì)于一個(gè)好的服務(wù)器管理員來(lái)說(shuō)，他們通常都會(huì)重命名或禁用此帳戶。Guests用戶組下，也有一個(gè)默認(rèn)用戶----Guest,但是在默認(rèn)情況下，它是被禁用的。如果沒(méi)有特別必要，無(wú)須啟用此賬戶。

　　小幫助:何謂強(qiáng)密碼?就是字母與數(shù)字、大小互相組合的大于8位的復(fù)雜密碼，但這也不完全防得住眾多的黑客，只是一定程度上較為難破解。

　　我們可以通過(guò)“控制面板”--“管理工具”--“計(jì)算機(jī)管理”--“用戶和用戶組”來(lái)查看用戶組及該組下的用戶。

　　我們用鼠標(biāo)右鍵單擊一個(gè)NTFS卷或NTFS卷下的一個(gè)目錄，選擇“屬性”--“安全”就可以對(duì)一個(gè)卷，或者一個(gè)卷下面的目錄進(jìn)行權(quán)限設(shè)置，此時(shí)我們會(huì)看到以下七種權(quán)限:完全控制、修改、讀取和運(yùn)行、列出文件夾目錄、讀取、寫入、和特別的權(quán)限。“完全控制”就是對(duì)此卷或目錄擁有不受限制的完全訪問(wèn)。地位就像Administrators在所有組中的地位一樣。選中了“完全控制”，下面的五項(xiàng)屬性將被自動(dòng)被選中。

　　“修改”則像Power users，選中了“修改”，下面的四項(xiàng)屬性將被自動(dòng)被選中。下面的任何一項(xiàng)沒(méi)有被選中時(shí)，“修改”條件將不再成立。“讀取和運(yùn)行”就是允許讀取和運(yùn)行在這個(gè)卷或目錄下的任何文件，“列出文件夾目錄”和“讀取”是“讀取和運(yùn)行”的必要條件。

　　“列出文件夾目錄”是指只能瀏覽該卷或目錄下的子目錄，不能讀取，也不能運(yùn)行。“讀取”是能夠讀取該卷或目錄下的數(shù)據(jù)。“寫入”就是能往該卷或目錄下寫入數(shù)據(jù)。而“特別”則是對(duì)以上的六種權(quán)限進(jìn)行了細(xì)分。讀者可以自行對(duì)“特別”進(jìn)行更深的研究，鄙人在此就不過(guò)多贅述了。

　　一臺(tái)簡(jiǎn)單服務(wù)器的設(shè)置實(shí)例操作:

　　下面我們對(duì)一臺(tái)剛剛安裝好

操作系統(tǒng)和服務(wù)軟件的WEB服務(wù)器系統(tǒng)和其權(quán)限進(jìn)行全面的刨析。服務(wù)器采用Windows 2000 Server版，安裝好了SP4及各種補(bǔ)丁。WEB服務(wù)軟件則是用了Windows 2000自帶的IIS 5.0，刪除了一切不必要的映射。整個(gè)硬盤分為四個(gè)NTFS卷，C盤為系統(tǒng)卷，只安裝了系統(tǒng)和驅(qū)動(dòng)程序;D盤為軟件卷，該服務(wù)器上所有安裝的軟件都在D盤中;E盤是WEB程序卷，網(wǎng)站程序都在該卷下的WWW目錄中;F盤是網(wǎng)站數(shù)據(jù)卷，網(wǎng)站系統(tǒng)調(diào)用的所有數(shù)據(jù)都存放在該卷的WWWDATABASE目錄下。
　　這樣的分類還算是比較符合一臺(tái)安全服務(wù)器的標(biāo)準(zhǔn)了。希望各個(gè)新手管理員能合理給你的服務(wù)器數(shù)據(jù)進(jìn)行分類，這樣不光是查找起來(lái)方便，更重要的是這樣大大的增強(qiáng)了服務(wù)器的安全性，因?yàn)槲覀兛梢愿鶕?jù)需要給每個(gè)卷或者每個(gè)目錄都設(shè)置不同的權(quán)限，一旦發(fā)生了網(wǎng)絡(luò)

安全事故，也可以把損失降到最低。
　　當(dāng)然，也可以把網(wǎng)站的數(shù)據(jù)分布在不同的服務(wù)器上，使之成為一個(gè)服務(wù)器群，每個(gè)服務(wù)器都擁有不同的用戶名和密碼并提供不同的服務(wù)，這樣做的安全性更高。不過(guò)愿意這樣做的人都有一個(gè)特點(diǎn)----有錢:)。

　　好了，言歸正傳，該服務(wù)器的數(shù)據(jù)庫(kù)為MS-SQL，MS-SQL的服務(wù)軟件SQL2000安裝在d:\ms-sqlserver2K目錄下，給SA賬戶設(shè)置好了足夠強(qiáng)度的密碼，安裝好了SP3補(bǔ)丁。為了方便網(wǎng)頁(yè)制作員對(duì)網(wǎng)頁(yè)進(jìn)行管理，該網(wǎng)站還開通了FTP服務(wù)，F(xiàn)TP服務(wù)軟件使用的是SERV-U 5.1.0.0，安裝在d:\ftpservice\serv-u目錄下。殺毒軟件和防火墻用的分別是Norton Antivirus和BlackICE,路徑分別為d: ortonAV和d:\firewall\blackice,病毒庫(kù)已經(jīng)升級(jí)到最新，防火墻規(guī)則庫(kù)定義只有80端口和21端口對(duì)外開放。網(wǎng)站的內(nèi)容是采用動(dòng)網(wǎng)7.0的論壇,網(wǎng)站程序在e:\www\bbs下。

　　細(xì)心的讀者可能已經(jīng)注意到了，安裝這些服務(wù)軟件的路徑我都沒(méi)有采用默認(rèn)的路徑或者是僅僅更改盤符的默認(rèn)路徑，這也是安全上的需要，因?yàn)橐粋€(gè)黑客如果通過(guò)某些途徑進(jìn)入了你的服務(wù)器，但并沒(méi)有獲得管理員權(quán)限，他首先做的事情將是查看你開放了哪些服務(wù)以及安裝了哪些軟件，因?yàn)樗枰ㄟ^(guò)這些來(lái)提升他的權(quán)限。

　　一個(gè)難以猜解的路徑加上好的權(quán)限設(shè)置將把他阻擋在外。相信經(jīng)過(guò)這樣配置的WEB服務(wù)器已經(jīng)足夠抵擋大部分學(xué)藝不精的黑客了。讀者可能又會(huì)問(wèn)了:“這根本沒(méi)用到權(quán)限設(shè)置嘛!我把其他都安全工作都做好了，權(quán)限設(shè)置還有必要嗎?”當(dāng)然有!智者千慮還必有一失呢，就算你現(xiàn)在已經(jīng)把系統(tǒng)安全做的完美無(wú)缺，你也要知道新的安全漏洞總是在被不斷的發(fā)現(xiàn)。
權(quán)限實(shí)例攻擊

　　權(quán)限將是你的最后一道防線!那我們現(xiàn)在就來(lái)對(duì)這臺(tái)沒(méi)有經(jīng)過(guò)任何權(quán)限設(shè)置，全部采用Windows默認(rèn)權(quán)限的服務(wù)器進(jìn)行一次模擬攻擊，看看其是否真的固若金湯。

　　假設(shè)服務(wù)器外網(wǎng)域名為http://www.webserver.com，用掃描軟件對(duì)其進(jìn)行掃描后發(fā)現(xiàn)
開放WWW和FTP服務(wù)，并發(fā)現(xiàn)其服務(wù)軟件使用的是IIS 5.0和Serv-u 5.1，用一些針對(duì)他們的溢出工具后發(fā)現(xiàn)無(wú)效，遂放棄直接遠(yuǎn)程溢出的想法。

　　打開網(wǎng)站頁(yè)面，發(fā)現(xiàn)使用的是動(dòng)網(wǎng)的論壇系統(tǒng)，于是在其域名后面加個(gè)/upfile.asp，發(fā)現(xiàn)有文件上傳漏洞，便抓包，把修改過(guò)的ASP木馬用NC提交，提示上傳成功，成功得到WEBSHELL，打開剛剛上傳的ASP木馬，發(fā)現(xiàn)有MS-SQL、Norton Antivirus和BlackICE在運(yùn)行，判斷是防火墻上做了限制，把SQL服務(wù)端口屏蔽了。

　　通過(guò)ASP木馬查看到了Norton Antivirus和BlackICE的PID，又通過(guò)ASP木馬上傳了一個(gè)能殺掉進(jìn)程的文件，運(yùn)行后殺掉了Norton Antivirus和BlackICE。再掃描，發(fā)現(xiàn)1433端口開放了，到此，便有很多種途徑獲得管理員權(quán)限了，可以查看網(wǎng)站目錄下的conn.asp得到SQL的用戶名密碼，再登陸進(jìn)SQL執(zhí)行添加用戶，提管理員權(quán)限。也可以抓SERV-U下的ServUDaemon.ini修改后上傳，得到系統(tǒng)管理員權(quán)限。

　　還可以傳本地溢出SERV-U的工具直接添加用戶到Administrators等等。大家可以看到，一旦黑客找到了切入點(diǎn)，在沒(méi)有權(quán)限限制的情況下，黑客將一帆風(fēng)順的取得管理員權(quán)限。

　　那我們現(xiàn)在就來(lái)看看Windows 2000的默認(rèn)權(quán)限設(shè)置到底是怎樣的。對(duì)于各個(gè)卷的根目錄，默認(rèn)給了Everyone組完全控制權(quán)。這意味著任何進(jìn)入電腦的用戶將不受限制的在這些根目錄中為所欲為。

　　系統(tǒng)卷下有三個(gè)目錄比較特殊，系統(tǒng)默認(rèn)給了他們有限制的權(quán)限，這三個(gè)目錄是Documents and settings、Program files和Winnt。對(duì)于Documents and settings，默認(rèn)的權(quán)限是這樣分配的:Administrators擁有完全控制權(quán);Everyone擁有讀&運(yùn)，列和讀權(quán)限;Power users擁有讀&運(yùn)，列和讀權(quán)限;SYSTEM同Administrators;Users擁有讀&運(yùn)，列和讀權(quán)限。對(duì)于Program files，Administrators擁有完全控制權(quán);Creator owner擁有特殊權(quán)限;Power users有完全控制權(quán);SYSTEM同Administrators;Terminal server users擁有完全控制權(quán)，Users有讀&運(yùn)，列和讀權(quán)限。

　　對(duì)于Winnt，Administrators擁有完全控