#########################################################################
# #
# Подмена экранной заставки в NT системах. #
# (Живее всех живых) #
# #
#########################################################################
Всё новое это хорошо забытое старое…
========================================================================
>> ЗАДАНИЕ ДЛЯ СПЕЦАГЕНТОВ
>> --------------------------------------------------------------------
>>
>> На руках имеется ноутбук с запароленным BIOS, система
>> Windows XP SP2 + пачка обновлений, антивирус с последними
>> базами, FireWall настроенный далеко не ламером, все диски NTFS,
>> один пользователь с неизвестным паролем, удалённо непрошибаемый
>> ни одним public эксплойтом. Требуется создать ещё одного
>> пользователя с правами администратора, при этом сохранив старого
>> с тем же паролем... Ну как задачка? Будим решать!
>>
>> --------------------------------------------------------------------
>> READY STEADY GO!
>> --------------------------------------------------------------------
>>
>> Современные BIOS’ы позволяют ставить пароль на внесение
>> в них изменений. Однако нам это и не нужно! Меню выбора
>> загрузочного устройства вызывается какой-либо клавишей
>> (у всех по разном у меня, например F8) и не требует никакого пароля!
>> Даже если вам не повезло и такой возможности нет, то можно найти
>> «заводской» пароль (google в помощь) или попытаться сбросить его
>> (например, вытащив батарейку).
>>
>> Грузимся с Live CD (я использовал от www.nht-team.org) или
>> с DOS’овой дискеты c NTFS драйвером от Марка Руссиновича
>> (www.sysinternals.com). Затем переименовываем нужный файл
>> в logon.scr (ради эксперимента я пробовал с TOTALCMD.EXE, но это
>> может быть любая другая оболочка с которой вам удобно работать)
>> и заменяем им файлы находящиеся в:
>>
>> C:\WINDOWS\system32 именно отсюда обычно за запускается заставка
>> C:\WINDOWS\system32\dllcache если вдруг Windows вздумает заменить обратно
>>
>> Всё! Теперь перезагружаемся и ждём. Через некоторое время
>> (обычно 10 минут) вместо обычной заставки запуститься наш файл.
>> Причем запущен он будет от имени SYSTEM, а это значит что
>> теперь возможностей у нас гораздо больше, чем у самого
>> Администратора! Есть только одно маленькое «НО»
>> нормально работать, таким образом, система, к сожалению,
>> не даёт (таких глюков я даже в 95’ой не видел). Поэтому
>> будет лучше создать нового пользователя в группе Администраторы
>> и дальнейшие действия осуществлять из его под учётной записи.
>>
>> --------------------------------------------------------------------
>> ВСЁ ОКАЗАЛОСЬ НЕТАК ПРОСТО…
>> --------------------------------------------------------------------
>>
>> Права администратора это конечно хорошо, но давайте
>> ещё маленько усложним задачу? Настоящий администратор
>> разрешил доступ к требуемым файлам только для системы и
>> себя любимого. Оказывается Микрософт позаботилась и об этом :-)
>>
>> Для выполнения этого задания нужно, чтоб служба
>> «Планировщика заданий» (Task Scheduler) была запущена (а по
>> умолчанию так оно и есть). Нам остается только нажать
>> Пуск => Выполнить и набрать там набрать:
>>
>> at нужное_время /interactive «путь_до_файла»
>>
>> И наш файл запуститься опять же с правами системы, что
>> позволит нам получить доступ к требуемой информации. Если
>> таким образом (например) запустить regedit, то он покажет
>> скрытые ключи (которые также невидно с администраторскими
>> правами) и разрешит их редактировать. Вот собственно и всё!
>> Мы добрались до Администратора не имея на атакуемом
>> компьютере никаких прав!
>>
===============================================================================
<<
ЗАЩИТА <<
<<
Я знаю только один способ защитить от подобной <<
атаки – отключить запуск экранной заставки. Для этого <<
нужно изменить значение ключа ScreenSaveTimeOut на 0 <<
в разделе реестра HKEY_USERS\.DEFAULT\Control Panel\Desktop <<
<<
Если, сильно хочется чтоб заставка всё-таки запускалась, то <<
можно изменить путь запуска. Тот-же раздел только ключ <<
называется SCRNSAVE.EXE, значение должно соответствовать <<
выбранному пути. <<
<<
===============================================================================
...[ by Izg0y ]...
CORU.in - Cult Of Russian Underground