2005年11月07日

Windows の管理者権限の取得方法とその防ぎ方。

えーっと、技術的なドキュメントはウチのサイトの top から、
ほかと同じテンプレートで張ることにしようと思ってきてましたが、
あまりにたまりすぎた上、面倒になってきたので、
今後はここに書いていってみようかなーと思います。
評価が高いものだけ、テンプレート形式でまとめていこうかとおもいます。
「面倒」なのがここに記述している理由なので細かくは記述しませんので
わかんないときはコメントで質問してみてください。

さて、ということで、最初は Windows の技術者として、
Windows の管理者権限の取得方法です。
はっきり言って悪用方法です。
これを全て試しても防がれていれば、ちゃんとした IS 部です。
とはいえ、一方的なのもひどいので、防ぎ方もちゃんと記述します。
# 私自身が元 IS 部ですし☆
さて、前置きはこれぐらいにして早速始めましょう。


ユーザが Administrator 権限を持っている場合はいろいろ楽ですが、
IS 部が大変なことになるので、たいていは Users か Power Users の権限を与えられると思います。
このとき、一般の人であればたいして不満はないのですが、
SE とかがそのユーザだと、大変な不満を感じてしまいます。
その場合のユーザの態度は二択。
「我慢する」 or 「我慢しない」
後者で正当なやり方は IS 部に申請を出すなどの手法ですが、
今回は無理やり Administrator 権限を取得する方法です。

1. BIOS で CD から起動できるように設定する
2. リソースキット から instsrv.exe , srvany.exe と Windows 2000 の regedt32.exe を準備する
3. BartPE で CD から起動する (やるべきことがわかるなら knoppix でも OK です)
4. Windows 2000 の regedt32.exe を利用して、winfaq を参考にして
Administrator のパスワードを自分の好みに設定する
5. Administrator でログオンして、Administrators 権限を自分の普段使ってるものに設定する

これが基本手法です。
IS 部向きの防ぎ方としては、

1. BIOS にパスワードを設定して、常に HDD から起動するようにしておく
2. HDD がはずされて、別の PC で実行されないように、HDD を暗号化しておくとよりよい
(市販の pointsec とか 秘文 とか使いましょう)
3. Administrator 権限を常時使われないように、「制限されたグループ」を利用する
4. リブート時に Administrator 権限を使えなくするように、スタートアップスクリプトを入れる
(パスワードを任意のものに一括して変更する)
5. net user での設定に負けないように、Administrtor のユーザ名を変更する
(ロックアウトもするとなおよい)

というところです。
クライアント PC はコンソールを直接使えるので、
悪意さえ持てばかなりのことができます。
防ぐにはこれだけしないとだめですよん>IS 部様

-- 追記 2005/11/09 00:30 --
そういえば、こういうのがあったのを忘れてました。
これをつかえば、もっと簡単でしょうね。(私は使ったことはないですが)

Offline NT Password & Registry Editor, Bootdisk / CD
http://home.eunet.no/~pnordahl/ntpasswd/

さらに、IS 部向きの話としては、以下のようなツールは覚えておくと良いでしょう。
Workgroup 環境の Migration の時には、泣くほど喜ぶかもしれません。
が、コレらの「攻撃側も利用できるソフトウェア」の存在を知れば、
世の中がそう甘くないことも理解するでしょう。
# そして、標準ツールで守る手法の限界を知るのです :-p
# 自分が攻撃するならどうするか、を諦めずに模索していても後手にまわるぐらいです・・・

Windows NT システム キーによって提供される、SAM の強力な暗号化機能
http://support.microsoft.com/default.aspx?scid=kb;ja;143475

pwdump2
http://www.bindview.com/Services/RAZOR/Utilities/Windows/pwdump2_readme.cfm

SMB Proxy
http://www.cqure.net/tools.jsp?id=2

CopyPwd
http://www.systemtools.com/free.htm


-- 追記 2005/11/10 --
あるかもしれないとは思っていたのですが、実際に見つけてしまうと、
何を頼りにすればいいのかと思います。

Cmos password recovery tools

これを利用すれば、BIOS のパスワードも解除できてしまいます。
さすがに root / Administrator 権限は必要ですが、
これによって HDD 暗号化以外の全ての壁は通り抜けられることになります。

1. root か Administrator の利用できる OS インストール済みの HDD を準備。
2. 既存の HDD と 1. の HDD を置換して、HDD で起動。
3. 上記のツールで BIOS パスワードを無効化
4. BIOS で起動順序を変更したあと、元の HDD に戻す。
5. 後は CD-ROM で起動して、Administrator のパスワードを無効化

手間ではありますがノート PC 以外なら結構すぐできてしまいます。。。
もはや標準的な機能では技術的に防げないとあきらめるしかないみたいな気がします。
# 一応 EEPROM を ROM Writer などで別途準備することとかは考えてましたが、
# もっと楽な方法になりそうです。。。(機器によっては flush ジャンパとかありますが)

Posted by k-square : 2005年11月07日 00:12 | Technique
コメント

前から理解できなかったのですが、
administratorsというのは、administorator権限をもつ
グループ名ですよね。

では、例えば、smileがadministratorsなら、
administratorとsmileは同じ権限をもつ。
ということではないのでしょうか?

私はいま、win2000(クライアント)で話をしていますが、サーバだと違うのですか?

Posted by: smile : 2005年11月07日 22:48

以下の事象は(ほぼ)同じことです。
■ Administrator 権限をもっている
■ Administrators に属している
■ Administrators 権限をもっている

> administratorとsmileは同じ権限をもつ
権限だけを考えた場合、
EFS などを考えなければ yes です。

権限以外ではいろいろと違う点があります。
最たるものは
■ 削除できるか否か。
■ SID が固定か否か。
の二点です。

Posted by: k-square : 2005年11月08日 21:07

ごめんなさい。まだ分かっていません。

権限とは、コンピュータ(OS)で実行できる命令の範囲と定義して良いでしょうか?

本当に聞きたい質問は、
http://www.yotta-zetta.com/k-square/windows2000.html
にある、
「ここから先の作業は常に Administrator で作業を行ってください。
# Administrators ではなく、Administrator で行ってください。」

という一文は何のためなのか?ということが知りたいのです。

なんか、粘着系みたいになってしまいましたが、
宜しくお願いします。

Posted by: smile : 2005年11月09日 00:39

そのページで Administrator を指定しているのは、
できる権限に違いがあるからではなく、
実行する環境のユーザプロファイルを固定し、
それを最後に Default Users にコピーするためです。

最初からそのページの手法に従った場合、 Administrator しかユーザが作成されていないため、
Administrator を指定するのが最も都合がよく、
記述の都合によるものです。

Posted by: k-square : 2005年11月09日 22:02

なるほど!

納得しました。

ところで、
■ 削除できるか否か。
と有りますが、
これは 誰が何を削除できるのですか?

色々すみません。

Posted by: smile : 2005年11月09日 23:48

ビルトインの Administrator は削除できませんが、
Administrators グループ内の、
Administrator 以外のユーザは削除できる\r
という意味です。
(別のビルトインユーザを Administrators にいれていなければ・・・という話ですが)

Posted by: k-square : 2005年11月10日 07:13

これも、なるほど!です。

やはりadministratorは最強(?)なのですね。
長年の疑問が氷解しました。<-大袈裟

kさんは、私みたいな初心者にも丁寧に教えてくださる、いい人ですね。
ありがとうございます。

Posted by: smile : 2005年11月10日 21:35

あんまりいい人だという意見は聞かないですけどね☆

Posted by: k-square : 2005年11月13日 19:01
コメントする









名前、アドレスを登録しますか?