标签: security

我正在运行一台 Windows 7 Home Premium 机器，我儿子 (14) 有一名管理员和一名标准用户。我儿子有一个标准帐户，受网络内容（色情等）家长控制限制

我儿子找到了一种创建用户帐户的方法，该帐户不会显示在登录屏幕上，也不会显示在用户管理屏幕上，并且家庭安全系统无法访问该帐户。该帐户显示在家庭安全列表中，但我无法触摸它。此帐户的文件夹位于用户文件夹下的硬盘驱动器上。

我在这里检查了 Windows 注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList，正如一些网站所建议的那样——但 SpecialAccounts 不存在。这表明他没有通过编辑注册表来隐藏帐户。

由于我使用 Home Premium，因此无法使用“本地用户和组”取消隐藏用户帐户。

我也试过一个 net user 命令，但似乎我需要知道幻象帐户的密码才能对其进行任何操作。我也试过控制userpasswords2，没有效果。

这不是我儿子第一次创建虚拟账户。当我问他是怎么做到的时，他拒绝说。

我应该补充一点，我儿子不是超级用户。他可能不知道 Windows 有一个注册表——尽管他的一些朋友可能知道这一点，如果获取这些信息符合他们的利益。

问：能力弱的用户如何隐藏用户账号，如何取消隐藏和删除账号？

我试图监视域数据库服务器 (Win 2008 R2) 上的一些指标，但在尝试连接内置性能监视器 (Windows 7 Enterprise) 时收到无法连接消息。

允许这样做需要什么权限？不想授予本地登录或任何类型的交互权限。

我有一个服务器环境，唯一的登录方法是数据中心的 SSH 或本地终端。我已将其设置为允许特定用户仅使用密钥而不是密码登录（明确禁用）。该用户也没有设置密码。

由于此用户需要在服务器上执行的操作，我已授予无密码 sudo 访问权限，使用（在 sudoers 文件中）：

username ALL=(ALL) NOPASSWD: ALL

显然，这可能是一个安全问题。我需要使用我们严密保护的 SSH 密钥确保用户无法通过 SSH 以外的任何方式登录到服务器。所有 SSH 登录都受到极好的保护，并且也被锁定到特定的 IP 地址，因此与基于密钥的登录相结合，是安全的（可能是这样）。我希望消除通过我们的数据中心登录的功能，以确保用户无法从那里登录，而只能使用 SSH。

如何防止那些未经授权的访问尝试？

我有一台 Debian 服务器（内核：2.6.32-5-amd64）。

我通常在它上面运行一个码头服务器，但最近，它开始获得大量连接。它不应该得到所有这些流量，因为它是一个非常未知的服务器。

跑步：

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

输出数百个IP。我尝试将它们全部添加到 iptables 下拉列表中，但新 IP 不断出现。

然后我继续并停止了 Jetty，所有连接都消失了。为了确保这不是 Jetty 中的错误/安全漏洞，我启动了 apache2，所有连接都立即启动。

看起来人们将它用作代理服务器，使用urlsnarf它向论坛、广告网站显示大量传出请求，您可以命名它。它执行了如此多的请求，以至于 CPU 上下跳动，最终服务器崩溃。

有谁知道他们如何做到这一点？似乎任何服务器在端口 80 上列出，这立即开始。

这是 DDOS 攻击吗？人们如何使用我的服务器作为代理，仅在端口 80 上列出软件？

我已经安装了 hostsdeny 并放气（http://deflate.medialayer.com/），但问题仍然存在。

我已经启动了一个 Amazon EC2 实例（Linux Redhat）……还有 Apache。

但是当我尝试：

http://MyPublicHostName

我没有得到回应。

我已经确保我的安全组允许访问端口 80。
我肯定可以访问端口 22，因为我通过 ssh 登录到实例。
在 Amazon EC2 Linux 实例中，当我这样做时：
$ wgethttp://localhost
我确实得到了响应。这证实了 Apache 和端口 80 确实运行良好。

由于亚马逊在 VPC 中启动实例，我是否必须在那里做任何事情...事实上我什至无法 ping 实例，尽管我可以 ssh 到它！

有什么建议吗？

编辑：
请注意，我之前编辑过 /etc/hosts 文件以使 389-ds (ldap) 安装工作。

我的 /etc/hosts 文件看起来像这样（IP 地址显示为 wxyz ）
127.0.0.1 localhost.localdomain localhost
wxyz ip-wxyz.us-west-1.compute.internal
wxyz ip-wxyz.localdomain

从本质上讲，我需要的是某种方法来生成和存储随机字符串（例如 20 个字符长）一段时间，这样我就无法恢复该字符串，直到该时间段结束。我正在运行标准的 Ubuntu 12.10。

使这变得困难的事情：

• 我有根访问权限。
• 在此期间，计算机可能会关闭和启动。
• 期间结束之前，我需要没有办法恢复字符串。
• 在此期间，我将无法访问互联网。

我需要这样做的原因是我对网络色情上瘾。大多数时候我可以控制它，但我会在深夜渴望。这更难，因为我使用电脑工作，而且我在家工作。所以最近我开始删除 /sbin/dhclient，这会禁用 Internet 连接（直到我可以获得 liveCD 并将文件复制回来，但这需要一段时间）。我想做的是为 dhclient 生成一个密码（通过加密 dhclient，或者只是使用该密码创建一个 zipfile），然后在第二天早上才将密码返回给我。基本上，我试图找到一个承诺装置，有点像酒鬼将酒倒入水槽。

一些可能的攻击途径：

• 运行生成字符串并将其存储在内存中的程序，等待 n 秒，然后打印字符串。这将不起作用，因为如果计算机重新启动，进程将被终止，我可能会在程序的内存中查找字符串。
• 让程序将root密码改成随机生成的字符串，去掉我的root权限；让它将字符串存储在一个只有 root 具有 r/w 访问权限的文件中，并让 root 重复运行一个程序来检查句点是否结束，如果是，给我字符串（以及 root 访问权限）。这听起来可行，但我可以通过更改 BIOS 中的时间来解决它。
• 我刚刚有了一个想法：编写一个程序来删除 root 访问权限并将密码存储在一个需要 root 才能读取的文件中。然后让 root 使用 cron 每分钟运行一个程序，检查名为“delayed_root_request”的文件是否存在。每次运行时，如果delayed_root_request 存在，它就会增加一个存储在“root_timer”文件中的数字，只有root 才能读/写。（如果它不存在，它会创建它并使其包含“0”。）当 root_timer 中的数字达到 60*8=480 之类的时候，它使我可以读取存储 root 密码的文件，从而获得 root使用权。所以我可以运行一个脚本来删除 root 访问权限，将随机生成的密码存储在一个仅限 root 访问的文件中，并破坏 dhclient.conf 文件。当我想恢复互联网访问时，我创建了文件“delayed_root_request” 并且必须等待 8 个小时才能获得密码。如果在这 8 小时内的任何时候我认为 root 访问只会让我拖延，我只需删除该文件，然后我必须重新开始计数。如果计算机重新启动，计数就会暂停。我必须给 GRUB 一个密码（例如http://sourceforge.net/projects/grubpass/）。我仍然可以使用光学媒体，或者只是取出硬盘驱动器，但是我可以通过删除我拥有的 Ubuntu iso 文件的所有副本来使这不方便，并且我可以放弃我所有的 liveCD（并且不会能够在没有互联网访问的情况下制作更多）。

可能有一种非常简单的方法可以做到这一点，但我缺少 - 请告诉我您的任何想法。

对此的任何帮助将不胜感激！

我一直在尝试在希捷硬盘上设置密码：

sudo hdparm --user-master m --security-set-pass pwd /dev/sda

我得到

Issuing SECURITY_SET_Pass command, password="pwd", user=master, mode=high SECURITY_SET_PASS: Input/output error

为什么我总是收到那个错误？

我的岳父问我改进他的电子邮件安全的想法。他阅读了一篇文章，介绍了一些黑客如何获得 Gmail 帐户的访问权限，从而能够为其他服务（例如亚马逊）重置帐户持有人的密码。

到目前为止，这是我想出的，但更多的脑力确实会有所帮助，因为我以前从未想过这一点，因此将热烈欢迎所有批评和建议。

起点： 他在 LAMP/cPanel 系统上托管了一个网站，他当前的电子邮件通过该网站的域。电子邮件帐户在 cPanel 中设置。他通过 pop3 检索他的电子邮件，并将其从服务器中删除。我在想这可能是一个不错的起点？不需要 iMap，因为他只有一台电脑（没有 iPhone），他边走边删除它？

下一步：

1. 我想让他在他的 cPanel 上设置几个地址转发器：一个用于他的银行，一个用于亚马逊——基本上每个与银行或信用卡相关联的账户都一个。这些转发器都将转发到一个同样在 cPanel 中设置的中央地址，该地址将是“私人的”，从某种意义上说，他不会使用它来发送电子邮件。他只会使用它通过 pop3 检索电子邮件。

2. 还考虑让他可以使用 TrueCrypt 将他的电子邮件存储在他的计算机上的加密虚拟驱动器上。

通过这种设置，在我看来，这些消息在几个地方很容易受到攻击：

• 从亚马逊到他的服务器，而不是从他的服务器到他的电脑。我们对此无能为力，因为他的银行或亚马逊不会向他发送加密电子邮件。
• 同时存储在他的 cPanel LAMP 设置中。我想知道那有多安全（不安全）。如果是共享主机，我会非常担心。作为VPS，它可能会更安全一些。但仍然......有人可以入侵......这有多大可能？
• 在他的计算机上，如果有人在他登录并安装虚拟驱动器时获得访问权限。

提前致谢，期待您的想法。

更新：到目前为止的答复摘要

多么幸运，到目前为止收到了几个深思熟虑和详细的答复。总结到目前为止的答复。

使用网络

• 他的路由器应该加强，例如禁止互联网远程管理控制台。请注意黑客可能会泄露他的 IP 地址和 ISP 登录密码这一事实。
• 使用他使用的每个在线帐户所独有的长而复杂的密码。强密码（16 个字符或更多）
• 在一个域中为不同的服务创建不同的电子邮件帐户： 优点：防止“Epic Wired hacking”。缺点：增加易受攻击节点的数量 使用安全浏览器。对于 Firefox，请参阅Top 10 Best Firefox Security Add-ons，尤其是。没有脚本

检索消息 (Thunderbird)

• 使用 SSL
• 敏感通信的 PGP 加密（要求对方有密钥）

本地机器

• 防火墙
• 一个好的防病毒套件也是必须的。
• 禁用未使用的网络服务
• 加密 => 应用程序在整个系统的缓存和日志中泄漏了令人难以置信的大量数据，使得单独加密的本地邮箱变得有些无关紧要。如果你加密，Truecrypt 整个驱动器。

强化服务器

• 卸载所有可能监听或访问 Internet 等的非必要服务或产品。
• Grsecurity或类似系统以防止缓冲区溢出攻击
• 他应该使用其 IP 地址而不是可以将他重定向到其他地方的域名登录到他的网络服务器：如果 …

当向我推荐的软件需要向它提供我的管理员用户帐户和密码时，我遇到了一个问题，而不是在 UAC 提示中（我不想这样做。）

所以我很好奇，我可以创建一个Administrators交互式用户无法登录的Windows用户帐户（属于内置组）吗？

我在我的 Windows Server 2008 计算机上运行了一个虚拟机，该虚拟机最初是由我加密的，因为 VM 的构建者是在 MAC 上进行的，默认情况下它会解密文件。

我从没想过要解密这些文件，因为当您对它们有权限时，它们会自动“解密”，因此尽管进行了加密，VM 已经运行了一年多。

我刚刚将我的计算机升级到域控制器 (dcpromo.exe)。

现在，当我尝试访问/运行 VM 时，我不能，因为我没有权限解密文件，因为这是在另一个登录（本地管理员）上进行的，现在我是域管理员。

显然，当您升级到域控制器时，本地管理员已完全无用。

我已经尝试了一切 -

• 取得文件的所有权，这是有效的。对我没有任何作用。
• 为每个人添加对文件的完全控制。
• 我转到文件属性 > 高级 > 详细信息（在加密下）> 可以访问此文件的用户。唯一的用户是administrator@localcomputername，并且有一个证书号。我尝试添加新证书，但我没有权限。

我无权执行以下操作：

• 解密文件（访问被拒绝）。
• 复制文件（到另一台计算机） - 拒绝访问。

我完全被难住了，这个虚拟机是一台生产机器，需要立即起床。

有没有人有任何想法？