🚀 go-pugleaf

Amiguitos,

en mi af�n por escribir mi art�culo sobre securizar
estaciones-servidor de Windows 2000, y no terminarlo nunca, voy por la
parte de ACLs...

trato de identificar todos los posibles sitios en que pueda ejecutarse
c�digo tras un suceso concreto; por ejemplo, al arrancar el SO, al
parar el SO, al lanzarse un debug, etc... para luego aplicarle las
ACLs y auditor�as adecuadas, y detectar/impedir la ejecuci�n de c�digo
malicioso o troyanizado.

Mi inter�s no se centra en el tipo de ACLs ahora, primero quiero
identificar sitios con estas caracter�sticas. La instalaci�n constar�a
de Windows 2000, IIS/Apache y servicios de terminal en modo
administraci�n.

Esta es la recopilaci�n que se me ha venido ocurriendo en mis ratos
libres de una instalaci�n de Windows 2000 server reci�n hecha,
�alguien puede ayudarme a recordar o hacerme saber otros sitios?

-------------------------------------------------------------

_En el sistema de ficheros_:

C:\DOCUME~1\%PROFILE%\MENINI~1\
C:\DOCUME~1\ ALLUSE~1\MENINI~1\

Un atacante podr�a agregar binarios en estos directorios para
ejecutarlos de forma arbitraria al arrancar el sistema.

C:\%SystemRoot%\win.ini

Un atacante podr�a modificar "load=" y "run=" para ejecutar c�digo de
forma arbitraria al arrancar el sistema.

C:\ %SystemRoot%\system.ini

Un atacante podr�a modificar "Shell=" para ejecutar c�digo de forma
arbitraria al arrancar el sistema.

C:\autoexec.bat

Un atacante podr�a agregar instrucciones en este fichero para ejecutar
c�digo de forma arbitraria al arrancar el sistema.

C:\ %SystemRoot%\system32\drivers

Un atacante podr�a copiar ficheros de sistema en este directorio para
cargarlos junto al kernel de Windows 2000 al arrancar el sistema y as�
ejecutar c�digo malicioso.


_En el Registro_:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

HKEY_LOCAL_MACHINE \Software\Microsoft\Windows
NT\CurrentVersion\policies\Explorer\Run

HKEY_LOCAL_MACHINE \Software\Microsoft\Windows
NT\CurrentVersion\AeDebug

HKEY_LOCAL_MACHINE \Software\Microsoft\Windows NT\CurrentVersion\Image
File Execution Options

HKEY_LOCAL_MACHINE \Software\Microsoft\Windows
NT\CurrentVersion\Winlogon

HKEY_CLASSES_ROOT\exefile\shell\open\command
HKEY_CLASSES_ROOT\comfile\shell\open\command
HKEY_CLASSES_ROOT\batfile\shell\open\command
HKEY_CLASSES_ROOT\htafile\shell\open\command
HKEY_CLASSES_ROOT\piffile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\shell\open\Command
HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command

-------------------------------------------------------------



Saludos,

-- 
- upierz

-----------------------------------
news:backbone.general
http://it.looptele.com/puf.html
finger:upierzATvmsboxDOTcjbDOTnet