🚀 go-pugleaf

zn�rt wrote:

> Bien, dijiste *cualquier* comentario... y digo yo, si el tal WFP es 
> tan peliagudo de evitar... no ser� mejor (m�s serguro) dejarlo como 
> est�? Para qu� quieres mover de sitio esas herramientas? Para 
> despistar a los script kiddies?


WFP no es peliagudo de evitar puntualmente. Lo que es peliagudo es dejar 
de proteger definitivamente ciertos ficheros sin deshabilitar WFP.

Hay que entender que WFP es un buen sistema contra 
administradores/intrusos manazas e instalaciones torpes: la parte 
referente a evitar modificar archivos de sistema, como dlls cr�ticas por 
ejemplo.

No obstante, como medida de seguridad contra intrusos es relativamente 
in�til. Un ejemplo sencillo de como modificar un fichero protegido por WFP:

Imaginemos que quiero modificar netstat.exe y poner una versi�n 
troyanizada que no muestre ciertas conexiones. Bastar�a con coger la 
versi�n modificada de netstat.exe, ponerla en la dllcache y borrar 
netstat.exe de \system32. WFP detecta que se ha borrado un fichero 
protegido y va a buscarlo a la dllcache, reponi�ndolo. Sin embargo, no 
comprueba si ese fichero de la dllcache es el correcto. Para ello, 
habria que usar sfc.exe.

WFP es un buen m�todo para evitar que se corrompan los archivos de 
sistema. No es una buena idea deshabilitarlo, y no es mi intenci�n 
hacerlo de forma definitiva.

El objetivo de mover las herramientas a otro directorio es efectivamente 
por los script kiddies: se evitan los ataques a rutas por defecto y se 
aislan las herramientas en otro directorio con permisos de solo lectura, 
pero no de ejecuci�n para SYSTEM. Las ACLs impedir�an que un atacante 
ejecura debploit u otro exploit similar y empleara una herramienta del 
sistema. Al menos se lo pondr�a m�s dif�cil y dar�a alarmas. (Recordemos 
que se habilitan servicios de terminal). Y a nosotros no nos es nada 
molesto centralizar todas las herramientas administrativas en un solo 
directorio, que facilita aplicar las ACLs, el RunAs y se a�ade un simple 
PATH para ejecutarlas desde la consola.



- upierz

-----------------------------------
news:backbone.general
http://it.looptele.com/puf.html
finger:upierzATvmsboxDOTcjbDOTnet