Administrator password replace

Преди известно време ми демонстрираха риплейсване на администраторската парола на компютър под Windows 2000 с малка досовска програмка. Някой да има представа дали има лек срещу подобен проблем ?

сървърното трябва да е с ограничен достъп, тогава как ще ти сложат тая програмка?
но да приемем, че искаш да се концентрираш върхи програмката, а не носителя,
ограничаваш потребителите да не могат да се логнат на сървъра,
тогава няма как да ти стартират тая програмка, а и дори да успеят, трябва да имат някакви права върху машината, за да стане

The One You Love To Hate

Проблема е че става въпрос за компютър който е в домейн, а и да е в домейн работата е същата. Те просто бутват компютъра с една дискетка с NTFS-DOS, от там стартират утилчето което пренаписва каквато парола укажеш. Въобще не става въпрос за научаване на паролата, просто директно я подменя.

изключи да не може да се сменя буут устройството и сложи парола за БИОС-а за да се правят промени. Махни клавиатурата, флопита, сидита - ако е сървър.
Успехи.

Е това маха/сменя паролите на юсерите на локалната машина, паролите на домейн юсерите е друга процедура, дори и да си с локални админ права нямаш достъп до домейна. Слагаш пароли на биосите, забраняваш да не се боотва от fdd/cd и така.

Това всичко е ясно, но не става въпрос за машина в домейн. А всеки средно статистически юзър знае как да рисетне паролата на BIOS-а.

мини на diskless workstations - бутва от нет картата, няма ХД, няма флопи, няма ЦД, няма нищо, освен процесор, акъл и видео.

А за какво всъщност е питането - имаш проблем или просто за спорта. Ако е проблем в фирмата където работиш решението може би е набиване на клинците на съответните потребители а административни мерки.

дори и да могат да го направят... Ако потребителя е толкова умен че да може да го направи - от него няма да очакваш обичайните глупости поради които на юзърите се орязват права, нали?

Добра черта на NTFS е криптирането на ниво файлова система, а лошото е, че Windows не позволява криптирането на SAM и SYSTEM файловете. Защо? Питай Били! Структурата на тези файлове е елементарна и лесно може да я изучиш. Там са записани идентификаторите на локалните акаунти, техния тип (дотук тази информация не е криптирана) и съответните им пароли в криптиран вид. Алгоритъмът за кодиране на паролите е публичен, и ако притежаваш известни знания по програмиране, можеш и ти да си напишеш подобна програма, а също и такава, която да извършва Brute Force. С две думи тези програми не са голямо геройство, но попаднали в ръцете на някой псевдохакер-лайнар, могат да имат негативен ефект.

Наред с всички защити, които ти препоръча Fallen бих добавил и тази да си сложиш компютъра в някоя стая и да я заключваш. Съвсем сериозно! Иначе ако не криптираш някои важни сектори на хард диска, то физическият достъп до машината я прави беззащитна дори и с парола на BIOS-а за стартиране на системата. Виж как става. Свалям хард диска, закачам го като втори диск на моя компютър и правя имидж на системните файлове. После записвам в Bootstrap-областта на MBR-а изпълним код, който Dump-ва съдържанието на целия CMOS и го записва на свободни сектори от хард диска. После този код поставя флаг, че вече е изпълнен, за да се предотврати повторното му изпълнение при следващ старт/рестарт на машината, и най-накрая се извиква логиката на стандартния Bootstrap код на MBR-a. Връщам диска на оригиналния компютър и изчезвам. Когато собственика си стартира компютъра, вградения код се изпънява и съдържанието на CMOS-а се записва на хард диска, а после се зарежда и операционната система. Тоест процеса на стартиране изглежда съвсем като нормално пускане на компютъра. Някой друг ден отново идвам, рисетирам с червения джъмпер BIOS-а, стартирам от CD/Floppy програма, с която рисетирам SAM файла и съм вътре. Правя каквото правя и после възстановявам оригиналните системни файлове от техния имидж. След това от имиджа, който е записан на свободните сектори на хард диска, възстановявам CMOS-а. Поставям и стандартен код в MBR-a. Рестарт и всички следи са заличени - MBR-a, CMOS-a, (където са паролите на BIOS), логовете и паролите на Windows са оригинални.

Така че просто си наглеждай компютъра от физически достъп, а ако наистина искаш да ти е много по-защитен, трябва да криптираш някои сектори на хард диска.

void main() { main(); }

То че ще има набиване на канчето на служителите които са си позволили подобни своеволия е ясно. Просто исках да разбера дали има някакво решение за да мога да избегна подобни неща. Знаете какви юзъри има. Постоянно исталират всякакви нови глупости които излизат, имат по 5-6 антивирусни, още толкова за троянци, 6-7 вариянта на архиватори, всякакви месинджъри и други глупости, нещо което аз не мога да си позволя да имам на служебна машина от която правя пари, затова и юзърите са със силно ограничени права, което явно ги е подразнило и са решили да покажат че всъщност адм. парола не ги спира.

и тогава подходящия началник ги привиква и им обяснява какви са им правата при дисциплинарно уволнение... На усерите трябва да им е пределно ясно че компутрите не са техни, а служебно оръдие на труда и могат да се ползват само по предназначение определено от собственика на фирмата. Най-добре е да се напишат правила за ползване в които да се опишат и някои по-спесифични случаи като инсталиране на програми, непосещаването на порно сайтове и така нататък. Всички го подписват и неподписването = уволнение. Нарушаването на правилата - също. Само ти е необходим началник който да разбира защо това е необходимо...

Ако администраторската парола е по-дълга от 14 символа, няма да могат да рисетнат паролата, дори и да е само с един символ по-дълга (например 15 символа), поради определени особености на NT хеша. Тогава "хакера" ще трябва да прибегне до почти безнадеждния в този случай Brute Force. Остави го тогава да си BruteForce-ва главата. Това е защитата.

void main() { main(); }

Пич,
По-добре вземи говори с шефа. Това си е жив саботаж, ако питаш мен. Установете кой има право да пипа сървъра и кой не. Направете специален режим за достъп до този сървър. Ако трябва, заключете го с катинар и го отваряйте само с писмен протокол.
На потребителите, които нямат право да пипат и дайте да подпишат един лист, че са запознати, че не трябва да пипат сървъра под заплаха от дисциплинарно уволнение.
Ако някой злонамерен има безнаказан физически достъп до сървъра, няма земна сила, която да го спре.
Има сървърни шкафове - малко по-големи от самата кутия на компютъра. Заключваш го вътре, пък после ако им стиска - да го разбиват с чук.

Който пие - пее, който пее - зло не мисли...

Мерси на всички, не става въпрос за сървър а за Win 2000 Pro, работещ в един от офисите ни в страната. Това с 15 разрядната парола все пак ми хареса и ще пробвам дали работи. Иначе основните сървъри си работят в отделно климатизирано помещение до което достъп си имам само аз, както си и трябва де.

Нека я реплейсва, ти като домейн админ вземи забрани локал админа - да го видя какво ще прави...


Welcome to the real world

Ето го приложенийцето, ако някой се е заинтересувал, оказва се обаче че доста неща прави

[линк]

тцък...
има утилче и я рисетва
и по дълга от 15 символа пробвах го лично, т.е наложи ми се де..
ама пак ми е забило в момента РС то в работата и не мога да метна линка
май го бях метнала по повод една тема

Guns don't kill people, lie kills people..