配置攻击者很难滥用的“强化”用户帐户

Question

假设您有一台运行各种敏感服务的 Windows Server 计算机。假设这些服务之一非常简单，在文本文件中维护少量信息，但由于编码不当，具有（未知的）任意代码执行漏洞。

是否可以为该服务设置一个用户帐户，以便如果黑客成功利用此漏洞，他们可能造成的最大损害是读/写此文本文件，弄乱此特定服务，并可能列出文件的 C:\Windows，但没有别的？

一个天真的尝试立即遇到了一个问题：“用户”中的任何人都可以写入 C:\一个非常糟糕的主意。

或者，如果攻击者可以执行任意代码，无论使用哪个用户帐户，游戏是否已经失败？我一直认为 Windows NT 的后代可以包含它，但现在我已经尝试过了，我不再那么确定了。

Answer 1

默认情况下，用户不能写入C:\Program Files. 它们具有读取、列出文件夹内容和读取和执行。如果您不是这种情况，那么某人或某事已修改了这些权限。

受限用户可以读取大部分文件系统，但只能写入已明确授予其访问权限的位置，例如其用户配置文件。

如果您仅授予修改该文本文件的权限，则该帐户能够在文件系统上写入的唯一内容就是该文件，以及其配置文件目录（我的文档等）中的内容，这些内容应该无关紧要。

如果您的内置用户组对整个文件系统具有修改权限，那么这是非标准的。开箱即用，有限的用户帐户几乎不会造成损害。

如果运行其进程的服务帐户的权限有限，则任意代码执行错误本身并不是特别无害。问题是有太多的提权漏洞，一旦你可以任意执行代码，你就可以执行一些可以让你突破权限级别的事情。就其本身而言，任意代码执行没什么大不了的，但在现实世界中，它几乎总是与特权提升漏洞捆绑在一起。所以，是的，我会担心。