Windows saugumo požiūriu

Transcription

1 Windows saugumo požiūriu Rolandas Griškevičius MSN: R. Griškevičius, Saugus programavimas, VGTU,

2 Mitas Egzistuoja mitas, kad Windows yra labiau pažeidžiama nei Linux Tačiau Windows (deja) yra labai paplitusi OS (įvairiais duomenimis daugiau nei 95% Įvairios kitos Microsoft programos ( Internet Explorer, Microsoft Office, etc) yra tapatinamos su Windows vardu Nuo Windows 2000 versijos tiek failų sistema, tiek vartotojų autentifikacija yra pagerinti ir teoriškai (t.y. neprofesionaliam kenkėjui) neleidžia atlikti nelegalių veiksmų R. Griškevičius, Saugus programavimas, VGTU,

3 Registras Sisteminė vidinė duomenų bazė, turinti galimybę išsaugoti parametrus hierarchinėje struktūroje Didžioji dauguma Windows aplikacijų naudoja registrą išsaugoti duomenims regmon.mspx notepad->file->save As - daugiau nei 3000 kreipimųsi į registrą Parametras su nurodytu duomenų tipu vadinamas rekšme (value) Hierarchijos šaka, galinti viduje turėti kitas šakas/reikšmes vadinama raktu (key) Tam tikra raktų sąranka, saugoma atskirame faile ir turinti atsarginę kopiją vadinama spiečiumi - hive R. Griškevičius, Saugus programavimas, VGTU,

4 Registras (2) Parametrų tipai: REG_SZ ženklų eilutė ( string ) REG_BINARY dvejetainiai duomenys REG_DWORD[_BIG_ENDIAN] 32 bitų sveikas skaičius REG_EXPAND_SZ ženklų eilutės, turinčios neišspręstas (not expanded) nuorodas į vartotojo aplinkos parametrus, pvz %PATH% REG_MULTI_SZ ženklų eilučių masyvas REG_QWORD 64 bitų sveikas skaičius R. Griškevičius, Saugus programavimas, VGTU,

5 Registras (3) Operacijos su registru autorizuojamos Pagrindinės registro šakos (root hive): HKEY_CLASSES_ROOT (HKCR) failų susiejimo informacija (associations), COM, OLE klasių identifikatoriai. start.exe, API ShellExecute HKEY_CURRENT_USER (HKCU) esamo (prisijungusio) vartotojo duomenys, ši dalis saugoma faile ntuser.dat. Šis failas yra pateikiamas vartotojui iš serverio, kai vartotojas keliauja per kompiuterius. Jei yra HKCU\Sofware\Classes, jis turi viršenybę prieš HKCR\Software\Classes duomenis HKEY_LOCAL_MACHINE saugomi lokalios mašinos duomenys, paprastai yra 4 raktai (SAM, SECURITY, SOFTWARE and SYSTEM), kurie saugomi kataloge %SystemRoot%\System32\config R. Griškevičius, Saugus programavimas, VGTU,

6 Registras (4) HKEY_USERS (HKU) papildomai saugo vartotojo duomenis iš HKCU HKEY_CURRENT_CONFIG tai nuoroda į HKLM\System\CurrentControlSet\Hardware Profiles\Current. Nėra saugomas, yra kuriamas virtualiai kiekvieno sistemos paleidimo metu Pagalbinės programos regedit.exe pagalba galima atlikti pasirinktos registro dalies kopiją į.reg failą, taip pat įrašyti reg failo turinį į registrą Senoje dokumentacijoje galima sutikti rekomendacijų nenaudoti regedit.exe registro koregavimui (vs regedt32.exe). Tačiau tai negalioja Windows XP ir vėlesnioms versijoms R. Griškevičius, Saugus programavimas, VGTU,

7 Registras ir saugumas Siekiant išlaikyti kuo mažiau nutrūkstamą serverių darbą, būtina atlikti ir registro atsargines kopijas. Standartinė priemonė - %SystemRoot% \system32\restore\rstrui.exe Sistemos greitaveikai pagerinti galima atlikti registro defragmentavimą frag.mspx R. Griškevičius, Saugus programavimas, VGTU,

8 Aplikacijų tipai Win32 - Paleidimo funkcija: int APIENTRY WinMain(HINSTANCE hinstance, HINSTANCE hprevinstance, LPTSTR lpcmdline, int ncmdshow); Konsolinė (console). Paleidimo funkcija ( int main( int argc, char** argv ); Iš esmės ta pati Win32 aplikacija, tačiau sisteminių bibliotekų pagalba (pvz, AllocConsole ir pan.) yra talpinama į konsolinį konteinerį Win16 Senų DOS (vdm) ir Windows 3.x (wow) aplikacijų paleidimui..net CLR aplinkoje paleidžiamos aplikacijos Scenarijai (scripts) -.vbs, paleidžiami per [w c]script.exe, iš esmės Win32 aplikacija R. Griškevičius, Saugus programavimas, VGTU,

9 Windows Service Aplikacijų tipai (2) Ta pati Win32 tipo aplikacija, tačiau: Analogiška Unix daemon Orientuota į ilgą darbą. Jos darbas kontroliuojamas Service Manager pagalba WinMain ar main nėra tikrasis serviso paleidimo taškas MSDN: When the SCM starts a service program, it waits for it to call the StartServiceCtrlDispatcher function IIS, MSSQL, Firewall, Telnet Server, Terminal Server etc svchost.exe vienas exe, daug servisų instsrv.exe gali paleisti bet kurią (beveik) aplikaciją kaip servisą R. Griškevičius, Saugus programavimas, VGTU,

10 Hosts failas %SystemRoot%\System32\Drivers\etc\hosts Prieš pateikiant DNS vardą DNS sistemą, vardai yra tikrinami hosts faile (analogiškai UNIX sistemoje Galima nematomai nukreipti URL į kitą IP adresą Dažna kenkėjiško kodo priemonė, kai norima blokuoti ryšį su tam tikrais (dažniausiai antivirusų) tinklo resursais Nslookup parodo DNS serverį R. Griškevičius, Saugus programavimas, VGTU,

11 Kenkėjiški būdai API kvietimo perėmimas (hook) Galen Hunt and Doug Brubacher, Detours: Binary Interception of Win32 Functions, in Third USENIX Windows NT Symposium, USENIX, July DLL perėmimas prog.exe netikras.dll originalus.dll Asocijacijos pakeitimas: HKCR\txtfile\shell\open\command = %SystemRoot %\system32\notepad.exe %1 Pakišam piktavalę programą vietoj notepad R. Griškevičius, Saugus programavimas, VGTU,

12 Kenkėjiški būdai (2) Jeigu vartotojas dirba administrator vardu (dažnas atvejis), gauti sistemos teises: at 01:00 /interactive "cmd" Fork Bomb - rekursyviai save leidžianti programa: %0 %0 išsaugom faile xxx.cmd ir paleidžiam R. Griškevičius, Saugus programavimas, VGTU,

13 Įrankiai Disasembleriai / debugeriai OllyDbg IDA/SoftICE/WinDBG moutvol.exe galima išmontuoti / įmontuoti (pasirinktoje disko vietoje) loginį diską. Galima panaudoti elementariam duomenų slėpimui By Mark Russinovich Psexec (nuotolinis valdymas konsolės režime) Pskill, procexp etc. Sc service control. Galima išmesti Windows servisus Nc aka NetCat (GNU) R. Griškevičius, Saugus programavimas, VGTU,

14 Failų sistema NTFS, iš principo yra duomenų bazė, sudaryta iš indeksų. Galimi direktorijų, diskų montavimai (mounting), diskai montuojami atomatiškai, naudojama retai. Skirtingai nuo Linux ext2, Windows NTFS saugo failo sukūrimo, modifikavimo ir paskutinio skaitymo laikus R. Griškevičius, Saugus programavimas, VGTU,

15 FS teisės Kiekvienas failas / katalogas turi saugos duomenis (dešinys pelės klavišas properties security ) Rekomendacijos dėl saugumo duomenų valdymo: Deny teisių tipas yra tikrinamas pirmiausia, todėl jei bus uždrausta grupei (kurioje vartotojas yra), o paskui leista vartotojui, teisės į katalogą / failą bus uždraustos Domain Admins / Admnistrator reikia palikti, nes kažkas turi atstatyti sistemą nulūžus, atlikti atsargines kopija ir pan. Paprastas būdas administruoti daugelio vartotojų patekimą į tam tikrus katalogus apjungti juos į grupes Vienam katalogui reikėtų turėti mažiausiai 2 grupes tik skaitytojų ir rašytojų. Visų teisių į katalogą duoti negalima R. Griškevičius, Saugus programavimas, VGTU,

16 GUI ir žinutės Windows GUI programa nedirba visą laiką sau - jos širdyje yra paprastas komunikacinis mechanizmas. Kiekvienas vartotojo interfeiso elementas (mygtukas, įvedimo langas etc) yra Windows GUI langas ir atlieka žinučių apdorojimo procedūrą //Nauja programa, naujas tuš ias langas: č <...> // nieko bendra su C++ klase RegisterClass(wClass); CreateWindow(wClass.lpszClassName, Title Bar, WS_OVERLAPPEDWINDOW or WS_VISIBLE, 10,10,340,220,0,0,hInstance,nil); while( GetMessage(Msg,0,0,0) ) { DispatchMessage(Msg); } //program end R. Griškevičius, Saugus programavimas, VGTU,

17 (iš MSDN): Clipboard COM (DCOM) Data Copy Komunikacija tarp procesų Programos viena kitai per Windows GUI žinučių komunikavimo mechanizmą gali pasiųsti žinutę WM_DATACOPY. Duomenų formatas turi būti žinomas abiejoms programoms DDE Naudojamas vis rečiau, pakeičiamas COM/OLE. Įvairių duomenų tipų apsikeitimo mechanizmas, priimančioji programa turi laukti DDE komunikacijos pradžios. Nėra efektyvus greitaveikos atžvilgiu R. Griškevičius, Saugus programavimas, VGTU,

18 File Mapping Komunikacija tarp procesų (2) Bendra failo arba atminties erdvė. Keli procesai per virtualios atminties mechanizmą gauna nuorodą (pointer) į bendrą atmintį (kiekvienas sau priklausančioje atmintyje). Šiuo atveju būtina naudoti semaforus, mutex'us ir panašiai norint užtikriti bendrų duomenų integralumą Mailslots Vienkryptis max 400 baitų ilgio žinučių interfeisas. Mailslot vardai yra tipo: \\.\mailslot\[path\]name R. Griškevičius, Saugus programavimas, VGTU,

19 Komunikacija tarp procesų (3) Pipes Anoniminiai (naudojami DOS-tipo komandų srautų nukreipimui) Užvadintieji. Kuriami API CreateFile, pavadinimo formatas \\ServerName\pipe\PipeName RPC Vienas iš galingiausių Windows IPC mechanizmų. Naudojamas nuotoliniam funkcijų kvietimui. Pvz, populiari psexec programa RPC būdu kviečia CreateService API funkciją Windows Sockets Analogiškas UNIX soketams R. Griškevičius, Saugus programavimas, VGTU,