Заткни сквозняки в "форточках"

Xakep, номер #049, стр. 049-070-1

Проблемы безопасности Win2000/XP

Toxa (toxa@real.xakep.ru)

Самыми надежными в плане безопасности из NT-систем на сегодняшний день являются Win2000 и WinXP. Но и в них присутствует множество уязвимостей, существующих еще со времен NT4. Большинство из них живут до сих потому, что, как известно, в Microsoft все делается через одно место (через Билла Гейтса), и по умолчанию система поставляется весьма и весьма плохо сконфигурированной в плане безопасности. Эта ситуация является прямым итогом политики, которую можно охарактеризовать, как "чтобы все работало даже у самого криворукого админа". Поэтому наша задача - устранить эти даже не баги, а скорее недочеты в конфигурации по умолчанию, сделав систему более защищенной.

Рассматривать мы будем Win2k/XP, т.к. они мало чем отличаются друг от друга в плане безопасности, и в дальнейшем под термином WinNT я буду подразумевать именно эти две системы. Также отмечу тот факт, что случаи, когда NT-машина является контроллером домена или иные экзотические ситуации рассматриваться не будут. Считаем, что в нашем подчинении находится обычная рабочая станция, например, в локалке. И наша задача - защитить ее от посягательств других клиентов из локальной сети.

Пароли в NT

Начнем, как водится, со святого - с пользовательских аккаунтов. Любые неприятности начинаются именно здесь. Известно, что в WinNT пароли хранятся в специальном файле SAM (%папка_с_виндой%\system32\config\SAM). Но это не значит, что любой юзер, имеющий учетную запись на нашей машине, сможет его себе скопировать. Во время работы системы доступ к файлу полностью запрещен, даже администратору. Поэтому единственный выход получить доступ к файлу SAM - загрузить на компьютере альтернативную операционку. Локально это не представляет никакого труда. Существует множество "систем на одной дискете", способных читать из раздела NTFS (Trinux, PicoBSD, и т.д.). Но мы говорим о локальной сети, и в этих рамках опасной представляется ситуация, имеющая в народе широкое распространение - наличие на машине связки "Win9x (для игр) + WinNT (для работы)". Очевидно, что получить доступ к SAM-файлу из Win9x можно, только если он лежит на FAT32-разделе. Отсюда вывод - ставить WinNT на FAT-раздел глупо. А в случае наличия на компьютере Win9x вообще недопустимо, ибо вся безопасность NT летит в тартарары. Банально, но факт - очень многие оставляют свежепоставленную NT на FAT'е именно для того, чтобы можно было из 98-й винды обращаться к документам, лежащим на разделе с WinNT. Справедливости ради отмечу, что многие полезные функции NT (квотирование, шифрование файловой системы, и т.д.) работают только на NTFS, и с этой точки зрения установка NT на FAT-раздел выглядит тем более идиотским решением. А мое личное мнение - нужно вообще отказаться от какого-либо использования Win9x.

Многие спросят - а как же тогда работают многочисленные программы для подбора паролей в NT. Дело в том, что дамп паролей хранится не только в файле. Во время работы системы он отображается в реестре, и все программы типа LophtCrack выдирают его именно оттуда. К счастью, к ветке реестра с паролями доступ имеют только юзеры с правами администратора. Казалось бы, беспокоиться не о чем: не ставь на комп вторую операционку, не работай из-под учетной записи админа, и никто до паролей не доберется. Но это не так. Та же L0phtCrack умеет перехватывать передаваемые по сети хэши паролей (работа в режиме снифера), поэтому в сети с логической топологией "общая шина" удаленный доступ к своей машине (например, к принтеру) представляет определенную опасность. Примечание: строго говоря, в NT сами хэши паролей по сети НЕ передаются, но передаются хэши, полученные на основе хэшей паролей. Короче, перехватить данные, на основе которых можно получить пароль пользователя, представляется возможным.