Ну, это - вааще ! Все остальные дыры Мокрософта меркнут перед этой воистину Черной Дырой !
Бездоменная сетка под W2K. Установлены все сервис-паки и все апдейты (SP4+40 с лишним обновлений). Доступ к дискам юзеров закрыт. Открыты лишь 1-2 папочки, и то - на чтение.
Обращаемся по сетке (прямо в проводнике) к соседу с именем user.
Естественно, видим две папочки, типа:
shared
приколы.
А теперь - внимание ! Набираем в верхней строке проводника строчку:
\\user\c$
И - о чудо ! Без всякого пароля, без никаких вопросов - получи ПОЛНЫЙ доступ !
Работает на W2K, в том числе при обращении с W2KServer.
Обращение с ХР-юши или с 98-й отсылает далеко... проверить пароли.
Проверено на трех независимых сетках - работает !
Что делать будем ?
забавно, что эти два метода действий приводят к одному резалту практически одним путем... Так что баг какой-то мистический :-o
rgt
абсолютно верно. В частности про баги :)
Просьба владельцам ХР+:
как известно, в 2000 по умолчанию "левых" юзеров нет (кроме гостя; да, я еще имею в виду юзеров видимых админом в User Manager). А вот начиная с ХР появляются довольно странные личности для бекапа и тех. саппорта.
Вопрос заключается в том какой же них пароль. Т.е. это дырка или нет. При этом я случайно это обнаружил копаясь на одной ХРшке. В тот раз подумал, что настройки такие. Во второй раз, когда копался с ХР, опять заметил эту же штукенцию...
PS: да, при некоторых обстоятельствах и в 2000 появляются юзвери отличные от гостя и Админа. Обычно это происходит после установки "наворотов" типа
MS Visual Studio (Basic/C++/C# и иже с ними)
MS Terminal Server
MS IIS
MS ASP .NET
MS SQL
Ну, и до кучи, VMware
У линуха, насколько я помню, он (мандатный доступ) тоже навешивается сверху. Хоть какая-то реализация - есть. Не от MS. Покупайте наших слонов :-))) К тому же мандатный доступ, согласно Руководящим докуменам Гостехкомиссии бла-бла-бла обязан быть в системах, начиная с класса 1В - это уровень примерно "секретно", "cов.секретно". Для уровней ниже - "конфиденциально"/ДСП - хватает дискретного. Т.е. я к тому, что правильно настроенная и используемая 2000 достаточна для обработки конфиденциальных данных.
Кстати, что такое "серьезное применение"? :roll:
Чем плоха для большого? Мы пока говорили о локальной безопасности и сетях Windows. В больших - совсем другие задачи и проблемы. Локальная безопасность - ма-а-аленький их кусок. И там никто не делает бездоменных сетей, а с появлением домена сетевая секурити становится ГО-О-О-ОРАЗДО красивше...
Именно. Кроме того - проект такого масштаба ОЧЕНЬ сложно сделать абсолютным... Даже потратив кучу времени...
Отлично :lol:
В какой системе это не так?
Еще как дает ! При установке W2K действительно наступает момент, когда Винда предлагает ввести пароль админа.
Можно оставить пустое место, в первом окне и в подтверждении - Винда предупредит, что это - небезопасно, но согласится. Можно ввести пароль, подтвердить его и забыть, как некоторые тут предлагали. Но тогда, увидев "синий экран смерти", можешь не совать туда родной дистрибутивный диск в надежде на заветную кнопочку R.
Вот и приходится админам в надежде на это заветное R (и некоторые другие моменты восстановлений в стационаре) ставить единый пароль администратора.
Да и с ХР-юшей все понятно:
Да, действительно, ВСЕГДА, даже после абсолютно свежей установки ХР-юши, имеются минимум два дополнительных аккаунта, прекрасно видных, например, ил известнейшей Линуховой крякалки паролей:
http://home.eunet.no/~pnordahl/ntpasswd/editor.html
Так что... это - не бага, а фича ХР-юши. Но пока мне нигде не встретилось описание того, как этими аккаунтами нагло воспользоваться.
------------------------------------------------------------------
Дискуссия вааще уехала в сторону.
------------------------------------------------------------------
Я, помнится, задавал весьма КОНКРЕТНЫЙ вопрос:
Почему такое не работает в W98, не работает в WinXP, наверняка не работает в Win NT - а в Win2K - в полный рост ?
Savely_S писал:
Естественно, во всех перечисленных вариантах он зависит от имени/пароля. Но такого чудесного глюка, как показывает Win2K - больше нет нигде.
Вполне понятно, почему это не работает там, где нет аккаунта админа по умолчанию. И мне малоинтересно, как Мокрософт добился того, что это не работает под WinXP. Но почему ОСОБОСТЬ W2K в этом плане никем и никак не обозначена ?
Собвственно, только об этом и был весь звук.
Стоп, я правильно понимаю проблему - что юзер ломится под своим админом на машину с другим админом юзером и несмотря на это, успешно?
Переименовать Администратора можно как ковровыми бомбардировками, так и в политике.
Почти так. Правда, у обоих юзеров при этом права админа. И кроме того, на обеих машинках существуют аккаунты админов . Или без паролей, или под одинаковыми.