如何防止sethc.exe hack？

Question

有一个漏洞允许用户在 Windows 上重置管理员密码。它是通过从修复磁盘启动、启动命令提示符并将 C:\Windows\System32\sethc.exe 替换为 C:\Windows\System32\cmd.exe 来完成的。

当在登录屏幕上按下粘滞键组合时，用户可以使用管理员权限访问命令提示符。

这是一个巨大的安全漏洞，使操作系统容易受到任何对 IT 知识有一点点了解的人的攻击。它几乎让你想切换到 Mac 或 Linux。如何预防？

Answer 1

为了防止攻击者从修复磁盘启动并使用它来访问您的系统，您应该采取几个步骤。按重要性排序：

• 使用您的 BIOS/UEFI 设置来防止从可移动媒体启动，或需要密码才能从外部媒体启动。此过程因主板而异。
• 锁上你的塔。如果攻击者获得对主板的物理访问权限，通常有一种方法可以重置 BIOS/UEFI 设置（包括密码），因此您需要防止这种情况发生。你能走多远取决于一些因素，例如你保护的数据的重要性、攻击者的专注程度、导致你工作站的物理安全类型（例如，它是在只有同事可以访问的办公室还是是在一个向公众开放的孤立区域），以及一个典型的攻击者需要多长时间才能在不被发现的情况下破坏您的物理安全。
• 使用某种磁盘加密，例如 BitLocker 或 TrueCrypt。虽然这不会阻止专门的攻击者重新格式化您的系统，如果他们可以物理访问并重置您的 BIOS 密码，它将阻止几乎任何人访问您的系统（假设您很好地保护了您的密钥并且您的攻击者没有访问任何后门）。

Answer 2

这里的问题是对机器的物理访问。禁用从 CD/USB 启动并使用密码锁定 BIOS 的功能。但是，这并不能阻止有足够时间单独使用机器的人使用多种不同的方法闯入机器。

Answer 3

SETHC.exe 也可以替换为 explorer.exe（或任何其他 .exe）的副本，也可以从登录屏幕提供完整的系统级别访问权限。不重复其他人，但如果您在谈论服务器安全性，我认为一定程度的物理安全性已经到位。多少取决于您的组织概述的可接受风险。

我发布这个可能是为了走不同的路线。如果您担心组织中的用户社区可以或将要对 Windows 7 工作站执行此操作（如您在问题中所述），则规避这些类型攻击的唯一方法是将计算“移动”到数据中心。这可以通过任意数量的技术来实现。我将选择 Citrix 产品来简要概述该过程，尽管许多其他供应商也提供类似的产品。使用 XenApp、XenDesktop、Machine Creation Services 或 Provisioning Services，您可以将工作站“移动”到数据中心。此时（只要您的数据中心是安全的）您就拥有了工作站的物理安全性。您可以使用瘦客户端或功能齐全的工作站来访问从数据中心托管的桌面。在任何这些场景中，您都需要一些 hypvervisor 作为主力。这个想法是，用户所在的物理机的安全状态无论是否受到威胁，风险都微乎其微。基本上，物理工作站只能访问非常有限的资源（AD、DHCP、DNS 等）。在这种情况下，所有数据和所有访问权限仅授予 DC 中的虚拟资源，即使工作站或瘦客户端受到威胁，也无法从该端点获得任何收益。这种类型的设置更适用于大型企业或高安全性环境。只是想我会把它作为一个可能的答案扔掉。这个想法是，用户所在的物理机的安全状态无论是否受到威胁，风险都微乎其微。基本上，物理工作站只能访问数量非常有限的资源（AD、DHCP、DNS 等）。在这种情况下，所有数据和所有访问权限仅授予 DC 中的虚拟资源，即使工作站或瘦客户端受到威胁，也无法从该端点获得任何收益。这种类型的设置更适用于大型企业或高安全性环境。只是想我会把它作为一个可能的答案扔掉。这个想法是，用户所在的物理机的安全状态无论是否受到威胁，风险都微乎其微。基本上，物理工作站只能访问数量非常有限的资源（AD、DHCP、DNS 等）。在这种情况下，所有数据和所有访问权限仅授予 DC 中的虚拟资源，即使工作站或瘦客户端受到威胁，也无法从该端点获得任何收益。这种类型的设置更适用于大型企业或高安全性环境。只是想我会把它作为一个可能的答案扔掉。即使工作站或瘦客户端受到威胁，也无法从该端点获得任何收益。这种类型的设置更适用于大型企业或高安全性环境。只是想我会把它作为一个可能的答案扔掉。即使工作站或瘦客户端受到威胁，也无法从该端点获得任何收益。这种类型的设置更适用于大型企业或高安全性环境。只是想我会把它作为一个可能的答案扔掉。