10.11更新：番茄花园版xp发现人为安全漏洞兼安全教学
QUOTE:
提升此帖为精华。希望大家本着互相交流的本意，互携互进，杜绝恶语相加，提升个人修养。
ed by R...
新发现其他一些系统也具备此漏洞，本帖子在帖子末尾列出一个系统测试列表。以后并将不断更新此列表
本帖将分三部分，第一部分，番茄花园版的漏洞发现及分析和预防；第二部分，顺便说说donghai的电脑公司版问题及分析；第三部分，由此而来的安全方面的教学。OK，切入正题。
（一）番茄花园版的漏洞发现及分析和预防
此次分析的版本是《番茄花园 Windows XP Pro SP2 免激活 V
2.8》和《番茄花园 Windows XP Pro SP2 免激活 V2.9》及《番茄花园
Windows XP Pro SP2 免激活 V 2.7》，其他版本不详。
1.发现过程：
本人负责维护自己网络的安全，所以经常扫描自己网段的安全性和有无漏洞。这几天例行扫描，发现有部分IP的用户名只有Administrator用户，这个现象本没有什么，只是个人随便试试，发现可以进入，而原版是不可能的，于是本人想弄清是什么版本的系统。
使用net
use命令和用户名Administrator建立空连接(没有密码，却可以成功连接)，然后用at命令计划任务关闭Windows
Firewall/Internet Connection Sharing
(ICS)服务(为了关闭Windows防火墙)，然后用opentelnet开启对方的telnet，至此，得到Administrator权限的shell。然后在telnet下运行net
share
C$=C:开启对方c盘的默认共享，然后用copy命令把对方%systemroot%system32下的oemlogo.bmp和oeminfo.ini复制到本地磁盘，打开oemlogo.bmp发现正是番茄花园v2.8版。
2.分析过程
本人发现问题后，于是去番茄花园的官方网站下载了v2.8和最新的v2.9进行分析。为了更负责任的测试结果，番茄花园的V2.7、V2.8、V2.9
三个版本的操作系统，几天来安装了有20多次。
在虚拟机安装，不做任何设置的修改，然后再在真机环境下对虚拟机进行入侵测试，同样可以入侵。在此证明问题不是出在使用者身上，问题而是在系统本身。OK，下面开始找系统问题所在。查看帐户，安装完后，只有Administrator开启，密码为空；默认共享只有IPC$开启，其他的Admin$和每个盘符的默认共享也全部关闭；远程桌面为关闭状态；Remote
Registry服务同样为关闭状态。看似系统是相当相当安全。可实际上为何还能那么轻松突破入侵呢？第一时间想到的就是原来的系统默认设置遭到了修改。于是打开注册表查看limitblankpassworduse的值，果然是0；这个键值的默认值本来是1，而被人为修改为0。使用番茄花园版v2.8或者v2.9的朋友，可以打开注册表编辑器regedit，查看项HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa下的键值limitblankpassworduse，看键值是否为0；然后安装一次原版xp
sp2，看这个键值；对比一下便知。最后又下载了V2.7测试，2.7没有发现类似安全漏洞。
3.总结
这个问题的发现很遗憾。这个问题的出现，可以有这么几种猜测：一、大番茄的确是一位高手，东西隐藏的太深了；二、大番茄“失误”造成？三、大番茄不懂这个键值或者理解有偏差，
OK，不过不管大家怎么猜测，不过希望大番茄能很负责的给大家一个解释，希望大番茄并非有意而为之。
至于最新的V2.8和V2.9的捆绑问题，这个就见仁见智的问题了，不做评论，大家都有各自的看法。
4.解决方法
为了防止使用番茄花园版V2.8、V2.9造成损失。本人将在最后给大家提供两种形式的补丁：一是reg文件，二是批处理，作用完全一样，使用其一即可。有动手能力的朋友，可以自行修改limitblankpassworduse的键值为1来解决。
（二）东海的电脑公司版的问题分析
1.对东海的电脑公司版4.x系列和5.x系列的分析
东海的电脑公司版的安全性问题，一直为大家所诟病。其中大有讨伐者，也大有拥护崇拜者。而其中讨伐者，论点就是空密码的New帐户，还有远程桌面的开启。其中拥护崇拜者，论点就是安全性问题是使用者没有设置密码造成的等等。OK，下面开始分析问题到底谁是谁非，到底问题是出在什么地方。
我想大家有很多人有原版XP
SP2系统，原版XP
SP2系统安装完毕后Administrator密码基本上都是选择是留空的，或者是新添加的帐户基本上也是密码留空的，而且也都开启着每个盘符的默认共享，也都开启着Remote
Registry服务。不过不知道大家有没有测试过原版系统在没有设置密码的时候，关闭防火墙后能否正常入侵呢？我想测试过的应该知道，就算自己建立一个Administrators权限的空密码的New帐户，也不能通过New帐户入侵，就算这时候开启远程桌面，也不能正常连接。为什么？为什么唯独东海的电脑公司版却可以入侵？很显然，问题不仅仅是出在空密码的New帐户上，也不仅仅是出在远程桌面的开启上，那问题关键会是出在什么地方上呢？显而易见，系统的某些默认设置被修改了。对东海的讨伐者也都没有找到关键所在，而众多拥护者显然大多数是没有主见、人云亦云者，也正是东海能在众多讨伐者当中全身而退的原因所在，东海给大家的解释就是大家没有能给帐户设置密码，而东海为何却不解释原版XP
SP2系统的Administrator帐户也是空密码，却没有入侵的报告呢？
OK，既然问题是出在系统的某处默认设置被修改了，那是哪儿的设置被修改了呢？其实番茄花园版的安全漏洞和东海的电脑公司版的安全漏洞有异曲同工之妙。相同点就是都是修改了limitblankpassworduse的键值。不同点呢，东海的电脑公司版除了修改了这个键值，还新建立的一个空密码的New帐户，还打开了远程桌面。也就是说，电脑公司版在入侵之前就已经打开了大门，而番茄花园的V2.8、V2.9需要先行入侵后再打开这些后门，而其本质却是一样的。但正是因为番茄花园的系统关闭了几乎所有的安全设置，但是却打开了一个至关重要的关键的深藏在注册表中的一个设置，由于设置隐藏的相当深，这也是目前为止还没发现有人报告番茄花园版有安全漏洞的原因。
2.对东海的电脑公司版6.0进行分析
可以说，6.0版本的系统是走向了另一个极端，或者说是默认是另一个极端，但是却又提供了另一个极端的设置。OK，且看6.0的设置。6.0在原版设置的基础上关闭了几乎所有的网络访问的设置。关闭了各磁盘的默认共享，关闭了IPC$等等。用6.0版本的朋友不知道有没有发现在他的系统里面提供了这么一个脚本：打开局域网共享。呵呵，可谓是一颗地雷。使用6.0的朋友，我想为了共享也有很多人运行了这个脚本了吧？殊不知，运行了这个脚本后，整个系统的安全性和以前版本的5.x，4.x系列无异。
（三）有关此类安全问题的教学
教学两个字，有点过大。相信winzheng有很多深藏不露的高手，估计也有不少安全方面的可谓是专家级别的。本文且当作是抛砖引玉，望众多高手过来指点。
安全问题包括很多方面，一是系统的本身的策略设置是否足够安全，能否正常阻止非法访问；二、病毒木马问题，这个问题嘛，矛和盾的问题，最主要还是要有良好的上网习惯。关于杀毒软件的问题，目前来说，的确还没有令人满意的杀毒软件，说来也是，杀毒软件都是事后防治，没有一个能在病毒特征码收录之前就能识别的，当然了，要真的能实现，那将是杀毒界的重大的变革，杀毒界的一切东西都得推翻重新再来；三、流氓软件问题，流氓软件这几年来，一直在国家法律的空白处打擦边球，处于灰色地带，而杀毒软件都是商业公司，慑于没有法律条文做支持，也不敢随便就查杀流氓软件。
OK，今天主要是讲一下有关系统设置的问题。微软自从出了SP2之后，安全问题相对来说已经做得相当好了。到目前为止，XP
SP2系统，不管在安全性上，还是在稳定性上，都要强于微软以前版本的操作系统。对于Windows
2000系统，我想大家还是抛弃吧，2000除了系统占用少，其他地方和XP
SP2相比没有任何优势，况且XP还可以使用Classic主题来减少系统占用，Windows
2000不管是在安全性问题上，还是在兼容性问题上，还是磁盘读取上，都和XP存在不小的差距。至于有人说，2000系统设置好了，安全性一样足够好，当然了，高手出手，用Windows
98，Windows95都一样安全，何况是2000，问题是2000的默认设置和XP比是相当不安全，可以轻轻松松的远程开启telnet，轻轻松松的拿到Administrators权限的shell。要想2000足够安全，只有关掉135-139之间的所有UDP、TCP端口，以及445端口；而关闭这些端口虽然保证安全了，却又不能进行局域网共享，而如果为了局域网共享，却必须面对这些危险。而XP
SP2却可以做到在保证安全性的前提下进行局域网共享。其中2000的安全问题，个中原因肯定有微软因为利益问题不想再对2000进行支持。而从使用者角度来说，2000绝对是一经典系统，而我们使用系统当然也绝不能因为对于2000的感情而拒绝更换操作系统，而现实中也确实存在不少这样的朋友。
刚才讲了选择系统的问题，现在再说一下有关系统设置优化的问题。我也说过了，XP
SP2的安全性上，已经得到了很大的提高。可以这么说，有些问题要看微软想不想做得问题，微软的实力是不容置疑的，微软对于自己的系统的设置也当然比外人，比民间更清楚，也更清楚每一个设置的每一个细节问题。对于XP
sp2，安全完毕后，其实只要第一时间升级所有安全补丁，即可保证安全。如果无需局域网共享，还可以进行包括关闭默认共享了，关闭Remote
Registry服务，关闭server服务等等。有关优化问题，切记，不要乱优化，微软的每一个设置都是经过深思熟虑的，都是考虑了各种情况的，微软对于自己的系统的了解程度肯定比外人更了解。系统优化是不具备通用性的，优化都是针对个人的使用习惯、嗜好、需求等等，而且每一步优化都要知道我要做什么，我做的这优化会带来什么影响和后果，而这影响和后果是否我自己所期望的。OK，这些问题不仅仅说的是用户使用，包括光盘制作者。一个负责任的光盘作者，不要以自己的嗜好来做公开发布的盘。而且乱优化的问题带来的安全问题，也是负责任的光盘制作者所不能接受的，除非光盘作者是一个并不负责任的人。最后再忠告一次大家，切记不要乱优化，如果自己并不了解此优化会带来哪些细节问题，请不要进行，因为XP
SP2原版设置所考虑的安全性问题及兼容性问题已经足够好了。有关番茄花园的安全漏洞问题，还有东海的电脑公司版的安全漏洞问题，亦都是修改了系统的默认设置所致。
时间紧张，先讲到此为止。这些问题仅仅是有关安全问题的冰山一角，还有很多很多需要讨论，欢迎更多的高手进行指点。OK，下面将提供针对番茄花园的漏洞和电脑公司版的漏洞提供补丁，一个reg文件，一个批处理，两者作用完全相同，选择其一即可。动手能力强的朋友可自行修改，关键问题就出在limitblankpassworduse这个键值上。本人提供的补丁也将仅仅进行关键键值的修复，其他的包括默认共享的关闭等等，请自行解决。
OK，请大家回复的时候莫要人云亦云，请亮出自己的见解。本帖子为本人原创并在Winzheng首发，转帖请注明。
QUOTE:
1.谁黑我我就重装
答：系统被黑，并不一定能够察觉。就算察觉重装系统，那如果使用的是漏洞版本，重装又有何用？
2.我是为了局域网共享才把limitblankpassworduse键值更改为0的。
答：局域网共享根本不依赖于该键值，而安全问题却是相当依赖于该键值。
3.系统有这个安全漏洞，是不是只有局域网内才可以入侵，其他地方的入侵不了？
答：错。只要能连接的，就有入侵的可能。
4.如果有这个漏洞，我删除这个账户，新建立一个帐户不就是安全了么？
答：错。入侵的时候会枚举你现在存在的帐户名称。在有漏洞的情况下，枚举到帐户名称就可以入侵。
5.是普通人，用的也是一般用途。只要不涉及数据安全，有一点漏洞也是可以接受的。
答：这个漏洞回导致部分通过共享传播的蠕虫病毒问题，还有假如你成为肉鸡，成为僵尸网络成员之一的时候，到时候对于一些攻击事件，也许你在不知不觉中就充当着共犯的角色。
6.安全意味着复杂，复杂就不利于普及。可是便利又常常是双刃剑，给自己便利，也常常会给坏人带来便利。怎么办呢？立法！国外有一名词曰：legal
hacking，翻译过来是合法黑客行为。要区分哪些是可以hack的，哪些是犯罪，这应该不难。
答：立法不是唯一的解决方法，也并不一定是最有效的方法。国家有刑法存在，有警察存在，那为何还要
提醒市民在做什么的时候一定要注意安全等等？可见，立法只是其中的解决手段之一而已，也并非万能。像DDOS，就算立法，技术上查获的难度相当大，而攻击
的难度又相当小，明显处于不平衡的状态。所以说，安全要从每一个做起。如果大家都注意安全了，僵尸网络哪还能那么容易组成？僵尸网络，就是捕获肉鸡的积累
过程。
再者，国内的法律健全度和国外相比，又是如何？先不说太远了，就说国内的流氓事件，现在千橡的流氓都发展到感染exe文件，破坏exe文件的地步，那国家
的法律机器在做什么？就算国家很对这个事件立法了，处理问题了，那你被破坏的exe文件，法律条文能帮帮你找回来么？你还不是要对exe被破坏的最终结果
负责，是不是？
7.系统加上密码就可以了
答：这个漏洞会导致某些蠕虫病毒的蔓延。还有，原版提供了保证登陆密码为空的安全性，而很多人都喜欢不设密码，开机自动进入桌面。而这时修改了这个键值，那无疑不是增加了危险性？虽然在设密码的情况下可以做到开机自动进入桌面，可是有几个人知道怎么做到呢？
8.楼主不说，知道的人并不多，相对也就更安全些。楼主这样把问题说明，反倒是迅速提升一些别有用心之人的攻击能力。而且，基本上使用这些系统的人都是菜鸟，根本就不会自己修改注册表
.
答：通过这个漏洞传播的蠕虫病毒问题怎么解决呢？这种病毒通过这个漏洞的传播也是我发这个帖子后才学会的么？我发帖子前这种蠕虫病毒就不会？
9.我用东海6.0但是是机房使用，如果不打开那个脚本的话，各个机器都无法访问，难道局域网互访和安全很矛盾吗？
答：局域网共享和和安全一点也不矛盾。局域网共享并不依赖于limintblankpassworduse这个键的值
下面是有关此漏洞的版本的系统检测列表，注意，由于本人时间和精力有限，只能从每个作者挑选几个代表性的作品进行测试。
为了更加完善，希望大家也跟帖提交测试数据。
要求：要测试的系统一定要是全新安装，然后测试。因为有部分人的某些杀毒软件或者是优化软件会修改系统的一些设置，影响测试结果准确性。
1.番茄花园系列
(1)番茄花园 Windows XP Pro SP2 免激活 V2.7
此安全漏洞有无：无
(2)番茄花园 Windows XP Pro SP2 免激活 V2.8
此安全漏洞有无：有
(3)番茄花园 Windows XP Pro SP2 免激活 V2.9
此安全漏洞有无：有
2.雨林木风系列
(1)雨林木风Ghost WinXP2 Y2.0装机版
此安全漏洞有无：有
(2)雨林木风Ghost Winxp2 纯净会员版 Y1.7
此安全漏洞有无：有
(3)雨林木风Ghost WinXP2 Y1.85国庆版
此安全漏洞有无：有
3.donghai的电脑公司版系列
(1)电脑公司版 V4.0
此安全漏洞有无：有
(2)电脑公司版 V4.1
此安全漏洞有无：有
(3)电脑公司版 V5.0
此安全漏洞有无：有
(4)电脑公司版 V5.1
此安全漏洞有无：有
(5)电脑公司版 V5.5
此安全漏洞有无：有
(6)电脑公司版 V6.0
此安全漏洞有无：无，但系统内提供了一个的脚本，运行后开启漏洞。
4.FXZM系列
(1)Ghost XP 1008版
此安全漏洞有无：无
(2)Ghost XP 1008更新版
此安全漏洞有无：无
(3)Ghost XP 20060425版
此安全漏洞有无：无
5.JUJUMAO系列
(1)Windows XP Pro Sp2 精简版 v2.1
此安全漏洞有无：无
6.龙卷风D0Z系列
(1)08.22.06.Ghost.Windows.XP.SP2.龙卷风纯净版V1.0
此安全漏洞有无：无
[ 本帖最后由 bestwishtoall 于 2006-10-13 23:52 编辑 ]
共有 0 条评论