Quiero cifrar la unidad E, ¿es posible? ¿Cómo lograrlo?
Hora de creación: 15 de febrero de 2005
Atributo del artículo: Original
Envío del artículo: mrcool (mrcoolfuyu_at_tom.com)
p>Con el uso generalizado de foros dinámicos, el descubrimiento de vulnerabilidades de carga dinámica y el uso cada vez mayor de ataques de inyección SQL, WEBSHELL ha hecho que los firewalls existan solo de nombre. Incluso si se aplican todos los parches de Microsoft, a. Un servidor WEB que solo permite que el puerto 80 esté abierto al mundo exterior es difícil escapar del destino de ser pirateado. ¿Realmente no podemos hacer nada? De hecho, siempre que comprendamos el problema de la configuración de permisos en el sistema NTFS, ¡podemos decir no a los crackers!
Para establecer un servidor WEB seguro, el servidor debe utilizar NTFS y Windows NT/2000/2003. Como todos sabemos, Windows es un sistema operativo que admite multiusuario y multitarea, que es la base para la configuración de permisos. Todas las configuraciones de permisos se basan en usuarios y procesos. Diferentes usuarios tendrán diferentes permisos al acceder a esta computadora. DOS es un sistema operativo de usuario único de tarea única. ¿Pero podemos decir que DOS no tiene autoridad? ¡no puedo! Cuando abrimos una computadora con un sistema operativo DOS instalado, tenemos derechos de administrador para este sistema operativo y esta autoridad está en todas partes. Entonces solo se puede decir que DOS no admite configuraciones de permisos, lo que no significa que no tenga permisos. Con la mejora de la conciencia de seguridad de las personas, nacieron las configuraciones de permisos con el lanzamiento de NTFS.
En Windows NT, los usuarios se dividen en muchos grupos y cada grupo tiene permisos diferentes. Por supuesto, los usuarios de un grupo también pueden tener permisos diferentes. Primero hablemos de los grupos de usuarios comunes en NT.
Administrador, grupo de administradores. De forma predeterminada, los usuarios de Administradores tienen acceso completo y sin restricciones a la computadora/dominio. Los permisos predeterminados asignados a este grupo permiten un control total de todo el sistema. Por lo tanto, sólo las personas de confianza pueden convertirse en miembros de este grupo.
Superusuario, grupo Usuarios avanzados, Superusuario puede realizar cualquier otra tarea del sistema operativo excepto las reservadas para el grupo Administradores. Los permisos predeterminados asignados al grupo de Usuarios avanzados permiten a los miembros del grupo de Usuarios avanzados modificar la configuración de toda la computadora. Sin embargo, los superusuarios no tienen permiso para agregarse al grupo de Administradores. En la configuración de permisos, los permisos de este grupo ocupan el segundo lugar después de los de los administradores.
Usuario: Grupo de usuarios generales. Los usuarios de este grupo no pueden realizar cambios de forma intencionada o no. Por lo tanto, los usuarios pueden ejecutar aplicaciones validadas pero no la mayoría de las aplicaciones heredadas. El grupo Usuarios es el grupo más seguro porque los permisos predeterminados asignados a este grupo no permiten a los miembros modificar la configuración del sistema operativo o los datos del usuario. Los grupos de usuarios proporcionan el entorno de ejecución de programas más seguro. En volúmenes con formato NTFS, la configuración de seguridad predeterminada está diseñada para evitar que los miembros de este grupo comprometan la integridad del sistema operativo y los programas instalados. Los usuarios no pueden modificar la configuración del registro del sistema, los archivos del sistema operativo ni los archivos de programa. Los usuarios pueden apagar las estaciones de trabajo, pero no los servidores. Los usuarios pueden crear grupos locales, pero solo pueden modificar los grupos locales que crean.
Invitados: grupo de clientes. De forma predeterminada, los invitados tienen los mismos derechos de acceso que los usuarios habituales, pero las cuentas de invitados tienen más restricciones.
Todos: Como su nombre indica, todos los usuarios, todos los usuarios de este ordenador pertenecen a este grupo.
De hecho, también existe un grupo general, que tiene los mismos o incluso mayores permisos que el administrador, pero este grupo no permite que ningún usuario se una y no se mostrará al ver al usuario. grupo. Es el grupo del sistema. Los permisos necesarios para que el sistema y los servicios a nivel del sistema funcionen correctamente dependen de ello. Dado que sólo hay un sistema de usuario en el grupo, podría ser más apropiado clasificar el grupo como Usuarios.
Existen diferentes niveles de permisos. Los usuarios con privilegios altos pueden operar con usuarios con privilegios bajos, pero los usuarios de otros grupos, excepto los administradores, no pueden acceder a los datos de otros usuarios en volúmenes NTFS a menos que estos usuarios los autoricen. Los usuarios con privilegios más bajos no pueden hacer nada a los usuarios con privilegios más altos.
Cuando usamos computadoras, generalmente no sentimos que tengamos el derecho de impedirle hacer algo, porque todos iniciamos sesión como usuarios en Administradores. Hay pros y contras en esto. Por supuesto, la ventaja es que puedes hacer lo que quieras sin estar restringido por la autoridad. La desventaja es que ejecutar una computadora como miembro del grupo de Administradores hace que el sistema sea vulnerable a troyanos, virus y otros riesgos de seguridad.
El simple hecho de visitar un sitio web de Internet o abrir un archivo adjunto de correo electrónico puede dañar un sistema. Los sitios web de Internet desconocidos o los archivos adjuntos de correo electrónico pueden contener código troyano que se puede descargar al sistema y ejecutar. Si ha iniciado sesión como administrador de la computadora local, el troyano puede usar derechos de acceso administrativo para reformatear su disco duro, causando daños inmensurables, por lo que es mejor no ser un usuario administrador a menos que sea necesario. Hay un usuario predeterminado en Administrador: Administrador creado durante la instalación del sistema. Las cuentas de administrador tienen control total sobre el servidor y pueden asignar derechos de usuario y derechos de control de acceso a los usuarios según sea necesario. Por lo tanto, se recomienda encarecidamente configurar esta cuenta con una contraseña segura. Nunca podrá eliminar una cuenta de administrador del grupo Administradores, pero puede cambiarle el nombre o desactivarla. Se sabe que el administrador existe en muchas versiones de Windows, y cambiar el nombre o deshabilitar esta cuenta hará que sea más difícil para los usuarios malintencionados intentar acceder a ella. Con un buen administrador del servidor, normalmente cambiará el nombre o desactivará esta cuenta. En el grupo de usuarios adivinados, también hay un usuario predeterminado: Invitado, pero está deshabilitado de forma predeterminada. A menos que sea específicamente necesario, no es necesario activar esta cuenta. Podemos ver el grupo de usuarios y los usuarios del grupo a través del Panel de control-Herramientas administrativas-Administración informática-Usuarios y grupos de usuarios.
Podemos hacer clic derecho en el volumen NTFS o en el directorio debajo del volumen NTFS y luego seleccionar "Propiedades" - "Seguridad" para establecer los permisos para el volumen o el directorio debajo del volumen. En este punto, veremos los siguientes siete permisos: control total, modificar, leer y ejecutar, listar directorio de carpetas, lectura, escritura y permisos especiales. "Control total" significa acceso total y sin restricciones al volumen o directorio. El estado es como el estado de los administradores en todos los grupos. Cuando se selecciona "Control total", las siguientes cinco propiedades se seleccionan automáticamente. "Modificar" es como superusuario. Si selecciona "Modificar", las siguientes cuatro propiedades se seleccionarán automáticamente. Cuando no se selecciona ninguna de las siguientes opciones, la condición "Modificar" ya no será verdadera. "Leer y ejecutar" significa que se permite leer y ejecutar cualquier archivo en el volumen o directorio, y "Listar directorio de carpetas" y "Leer" son necesarios para "Leer y ejecutar". "Listar directorio de carpetas" significa que solo puede explorar los subdirectorios del volumen o directorio, pero no puede leerlos ni ejecutarlos. "Leer" significa poder leer los datos en el volumen o directorio. "Escribir" significa que los datos se pueden escribir en el volumen o directorio. Y "especial" es una subdivisión de los seis derechos anteriores. Los lectores pueden realizar una investigación más profunda sobre "especial" por sí mismos, por lo que no entraré en detalles aquí.
Analicemos exhaustivamente un sistema de servidor WEB y sus permisos que acaba de instalar el sistema operativo y el software de servicio. El servidor es una versión de Windows 2000 Server con SP4 y varios parches instalados. El software de servicio WEB utiliza IIS 5.0 que viene con Windows 2000 y elimina todas las asignaciones innecesarias. Todo el disco duro está dividido en cuatro volúmenes NTFS. La unidad C es un volumen del sistema que solo tiene el sistema y los controladores instalados. La unidad D es un volumen de software y todo el software instalado en este servidor está en la unidad D; la unidad E es un volumen de programa WEB y todos los programas del sitio web están en el directorio WWW de este volumen. las llamadas al sistema del sitio web Todos los datos se almacenan en el directorio WWWDATABASE de este volumen. Esta clasificación se ajusta muy bien a los criterios de un servidor seguro. Espero que cada administrador novato pueda clasificar razonablemente los datos de su servidor, lo que no solo facilita la búsqueda, sino que, lo que es más importante, mejora en gran medida la seguridad del servidor, porque podemos establecer diferentes permisos para cada volumen o directorio según sea necesario. incidente de seguridad, las pérdidas se pueden minimizar. Por supuesto, los datos del sitio web también se pueden distribuir en diferentes servidores para formar un grupo de servidores. Cada servidor tiene un nombre de usuario y contraseña diferentes, lo que proporciona diferentes servicios, lo que es más seguro. Sin embargo, todas las personas que están dispuestas a hacer esto tienen una característica: el dinero :). Bien, vayamos al grano. La base de datos del servidor es MS-SQL. Instale el software de servicio MS-SQL SQL2000 en el directorio d:\ms-sqlserver2K, establezca una contraseña lo suficientemente segura para la cuenta SA e instale el parche SP3. Para facilitar a los creadores de páginas web la gestión de páginas web, el sitio web también proporciona servicios FTP. El software del servicio FTP utiliza SERV-U 5.1.0.0 y está instalado en el directorio d:\ftpservice\serv-u.
Norton Antivirus y BlackICE se utilizan para software antivirus y firewall respectivamente, y las rutas son D:\Nordonav y d:\firewall\blackice respectivamente. La base de datos de virus se ha actualizado a la última versión y la base de reglas del firewall define solo los puertos 80 y 21. El contenido del sitio web es un foro que utiliza Dynamic Web 7.0 y el programa del sitio web se encuentra en e:\www\bbs. Los lectores atentos pueden haber notado que no utilicé la ruta predeterminada para instalar este software de servicio o simplemente cambié la ruta predeterminada de la letra de unidad. Esto también es una necesidad de seguridad, porque si un pirata informático ingresa a su servidor a través de algunos canales, pero no lo hace. Para obtener derechos de administrador, lo primero que hará será comprobar a qué servicios está suscrito y qué software ha instalado, porque necesita utilizarlos para elevar sus permisos. Un camino difícil de adivinar y una buena configuración de permisos lo mantendrán alejado. Creo que el servidor WEB configurado de esta manera es suficiente para resistir a la mayoría de los piratas informáticos no calificados. Los lectores pueden volver a preguntar: "¡No es necesario establecer permisos en absoluto! He realizado otros trabajos de seguridad, ¿es necesario establecer permisos, por supuesto?" Incluso las personas inteligentes asienten a veces. Incluso si ahora tiene una seguridad perfecta del sistema, debe saber que siempre se descubren nuevas vulnerabilidades de seguridad. ¡La licencia será su última línea de defensa! Luego realizaremos un ataque simulado a este servidor que no tiene ningún permiso y utiliza todos los permisos predeterminados de Windows para ver si es realmente inexpugnable.
Supongamos que el nombre de dominio externo del servidor es. Después de escanear con el software de escaneo, se encuentra que los servicios WWW y FTP están abiertos y que el software del servicio es IIS 5.0 y Serv-u 5.1. Después de usar algunas herramientas de desbordamiento para combatirlo, descubrí que no era efectivo, por lo que abandoné la idea del desbordamiento remoto directo. Cuando abrí la página del sitio web, descubrí que estaba usando un sistema de foro dinámico, así que agregué /upfile.asp después de su nombre de dominio. Encontré una vulnerabilidad en la carga de archivos, tomé el paquete, usé NC para enviar el troyano ASP modificado, se me indicó que la carga se había realizado correctamente y obtuve WEBSHELL con éxito. Cuando abrí el troyano ASP recién cargado, encontré MS-SQL, Norton Antivirus y BlackICE ejecutándose. Se determina que el firewall está restringido y el puerto del servicio SQL está bloqueado. Encontré los PID de Norton Antivirus y BlackICE a través del troyano ASP y cargué un archivo que finalizó el proceso a través del troyano ASP. Después de ejecutar, maté a Norton Antivirus y Xiaohei. Escanee nuevamente y descubra que el puerto 1433 está abierto. En este punto, hay muchas formas de obtener derechos de administrador. Puede ver conn.asp en el directorio del sitio web para obtener el nombre de usuario y la contraseña de SQL, luego iniciar sesión en SQL para agregar un usuario y elevar los derechos de administrador. También puede tomar ServUDaemon.ini en SERV-U, modificarlo y cargarlo para obtener permisos de administrador del sistema. También es posible agregar usuarios directamente a los administradores mediante herramientas que desbordan SERV-U localmente, etc. Se puede ver que una vez que el pirata informático encuentra un punto de avance, obtendrá con éxito los permisos del administrador sin restricciones de permisos.
Así que echemos un vistazo a cuáles son los permisos predeterminados de Windows 2000. Para el directorio raíz de cada volumen, el grupo Todos tiene control total de forma predeterminada. Esto significa que cualquier usuario con acceso al ordenador puede hacer lo que quiera en estos directorios raíz sin restricciones. Hay tres directorios especiales en el volumen del sistema y el sistema les otorga permisos limitados de forma predeterminada. Los tres directorios son Documentos y configuraciones, Archivos de programa y Winnt. Para Documentos y Configuraciones, las asignaciones de permisos predeterminadas son las siguientes: El Administrador tiene Control total; todos tienen permisos de Lectura y Transporte, Columnas y el Superusuario tiene permisos de Lectura y Transporte, Columnas y Lectura; Permisos de lectura y transferencia de usuario, columna y lectura. Para los archivos de programa, los administradores tienen control total; los creadores tienen derechos especiales; los usuarios avanzados tienen control total; los usuarios del servidor terminal tienen control total, los usuarios tienen permiso de lectura y transferencia, columna y lectura. Para Winnt, el administrador tiene control total; los creadores tienen derechos especiales; el usuario avanzado tiene control total; el usuario administrador tiene permisos de lectura y transferencia, de columna y de lectura.
Todos los directorios bajo el volumen que no es del sistema heredarán los permisos de sus directorios principales, es decir, ¡el grupo Todos tiene control total!
¿Ahora sabes por qué pudimos obtener con éxito el permiso del administrador durante la prueba? ¡La configuración de permisos es demasiado baja! Cuando una persona visita un sitio web, automáticamente se le asigna un usuario IUSR, y este usuario pertenece al grupo de invitados. Originalmente, la autoridad no era alta, pero el sistema les dio a todos el control total de forma predeterminada, lo que "duplicó su valor" y finalmente consiguió el administrador. Entonces, ¿cómo configurar los permisos de este servidor WEB para que sea seguro? Todo el mundo debería recordar una frase: "Servicio mínimo + permisos mínimos = máxima seguridad". Para los servicios, no los instale si no los necesita. Debe saber que el funcionamiento de los servicios es a nivel del sistema. Para los permisos, simplemente asígnelos según el principio de uso suficiente. Para el servidor WEB, tome el servidor de ahora como ejemplo. Así es como configuro los permisos. Puede consultar esto: el directorio raíz de cada volumen, los documentos y configuraciones, y los archivos de programa solo tienen control total por parte del administrador, o simplemente elimine los archivos de programa y agregue un permiso más de lectura y escritura para todos al directorio raíz de; el volumen del sistema; proporcione e:\ El directorio www son los permisos de lectura y escritura para el directorio del sitio web. Finalmente, tenemos que desenterrar el archivo cmd.exe y darle el control total sólo al administrador. Después de configurar esto, será imposible piratear este servidor como lo acabo de hacer. Quizás algunos lectores se pregunten en este momento: "¿Por qué todos deberían tener permisos de lectura y escritura en el directorio raíz del volumen del sistema? ¿La ejecución de archivos ASP en el sitio web no requiere permisos de ejecución?". Bueno, si el volumen del sistema no les da a todos permisos de lectura y escritura, cuando inicie la computadora, la computadora informará un error diciendo que no hay suficiente memoria virtual. Por supuesto, existe un requisito más: la memoria virtual está asignada en el disco del sistema. Si la memoria virtual está asignada en otro volumen, entonces debe otorgar a todos derechos de lectura y escritura en ese volumen. Es cierto que el archivo ASP se ejecuta en el servidor y sólo los resultados de la ejecución se envían al navegador del usuario final. Sin embargo, el archivo ASP no es un archivo ejecutable en el sentido del sistema, sino que es interpretado y ejecutado por IIS, el proveedor del servicio WEB, por lo que su ejecución no requiere permisos de ejecución.
Después de la explicación anterior, debes tener una comprensión preliminar de la autoridad, ¿verdad? Si quieres saber más sobre la autoridad, tienes que conocer algunas de sus características. La autoridad es herencia, acumulación, prioridad y superposición.
Herencia significa que el directorio de nivel inferior tiene la configuración de permisos del directorio de nivel superior antes del reinicio. Hay otra situación que es necesario explicar aquí. Cuando copia directorios o archivos en una partición, los directorios y archivos copiados tendrán la configuración de permisos del directorio principal donde se encuentran. Sin embargo, cuando mueve directorios o archivos dentro de una partición, los directorios y archivos movidos conservan su configuración de permisos original.
Acumulación significa que si hay dos usuarios USUARIO2 en un grupo GRUPO1, y sus derechos de acceso a un archivo o directorio son "lectura" y "escritura" respectivamente, entonces el acceso del grupo GRUPO1 al archivo o directorio El permiso es la suma de los permisos de acceso de USUARIO1 y USUARIO2, que en realidad es el más grande, es decir. Otro ejemplo es que el usuario 1 pertenece tanto al grupo 1 como al grupo 2. El permiso de acceso del grupo 1 al archivo o directorio es de "solo lectura", mientras que el permiso de acceso del grupo 2 al archivo o carpeta es de "control total". 1Los derechos de acceso al archivo o carpeta son la suma de los derechos de estos dos grupos, es decir.
Prioridad, esta función de permiso incluye dos subfunciones. Una es que los permisos de acceso a archivos tienen prioridad sobre los permisos de directorio, lo que significa que los permisos de archivos pueden anular los permisos de directorio independientemente de la configuración de las carpetas de nivel inferior. Otra característica es que Denegar permisos tiene prioridad sobre otros permisos, lo que significa que Denegar permisos puede anular todos los demás permisos. Una vez que se selecciona el permiso "Denegar", otros permisos no tendrán efecto, lo que equivale a no realizar ninguna configuración.
Intersección significa que cuando la misma carpeta tiene permisos de acceso establecidos para un usuario al mismo tiempo y los permisos establecidos son inconsistentes, el principio de ponderación es tomar la intersección de los dos permisos, es decir, el más estricto y el menos de uno. Si el permiso de acceso ** establecido para el usuario 1 en el directorio A es de solo lectura y el permiso de acceso establecido para el usuario 1 en el directorio A es control total, entonces el permiso de acceso final del usuario 1 es de solo lectura.
Me detendré aquí sobre la configuración de permisos. Finalmente, me gustaría recordarles a los lectores que la configuración de permisos solo se puede implementar en particiones NTFS y FAT32 no admite configuraciones de permiso.
Al mismo tiempo, también quiero dar algunas sugerencias a los administradores:
1. Desarrolle buenos hábitos, clasifique claramente el disco duro del servidor, bloquee el servidor cuando no esté en uso, actualice varios parches con frecuencia y actualice. software antivirus.
2. Es un cliché establecer una contraseña lo suficientemente segura, pero siempre hay administradores que establecen contraseñas débiles o incluso contraseñas vacías.
3. Intente no instalar varios programas en la ruta predeterminada.
4. Cuando el dominio del inglés no sea un problema, intente instalar una versión en inglés del sistema operativo.
5. Nunca instales software o servicios innecesarios en el servidor.
6. Recuerda: Ningún sistema es siempre seguro, actualiza tus conocimientos con frecuencia.