Registry je srce sistema i u okviru njega se nalaze informacije esencijalne
za rad sistema. Preko njega mozemo vrsiti kompletnu administraciju sistema
i izvravati operacije koje se ne mogu izvrsiti npr preko ini fajlova. Sve
informacije u okviru registry baze su indexovane po hijerarhijskom redosledu
i na taj nacin sintetizovane informacije se vrlo brzo izvrsavaju iako su
iste veoma komplikovane. Ako vam neko kaze da je registry baza ostala
nedirnuta nakon nekog poteza, operacije ili izvrsavanja zadatka, budite
ubedjeni da je to laz. Sistem pristupa registry bazi pri svakom kliku i
svakoj operaciji (ali bukvalno). Registry je zaseban za svakog ulogovanog
korisnika, registry baza se menja iz dana u dan...A njene prednosti se
stalno povecavaju. Evo na pr, ranije (u ranijim OS-evima), backup se vrsio
u ini fajlovima i tu je bio princip "ono sto vidis u windowsu to se tu i
nalazi".
Medjutim, s pojavom reg baze i editovanjem iste su se mogle izvrsiti brojne
customizacije sistema koje u okviru windowsa ne bismo nikako mogli podesiti
(tipa uklanjanje shorcut arrow-a, uklanjanje shared dokumenata iz my
computera itd.). A najvaznija komponenta koju registry baza omogucava je
Policy managment a u okviru istog i sledece funkcije:
- Deplyment customisation
- Folder redirection
- Hardware profilies
- Offline files
- Performance monitoring
- Roaming user profiles
- Windows Managment instrumentation
--------------------------------==<0x01b>==---------------------------------
Svaka stvar na svetu ima svoju proslost i nacin nastanka. Da bismo saznali
kako je registry izgledao i funkcionisao u ranijim OS-evima, vraticemo se u
proslost.
Kvazi registry u MS-DOS OS-u.
MS-DOS je prikupljao informacije iz dva bitna sistemska fajla: Config.sys
i Autoexec.bat.
Svrha Config.sys fajla je bila ucitavanje drajvera, a svrha Autoexec.bat
fajla je bila priprema MS-DOS-a za upotrebu. Problem je naravno sto je svaka
aplikacija vrsila kontrolu same se, a nije postojalo univerzalno resenje koje
ce vrsiti globalno nadgledanje izvrsavanja operacija.
Reg baza u Windows 3.0
Sa pojavom ovog OS-a javili su se i ini fajlovi koji su donekle prosirili
mogucnosti Config.sys i Autoexec.bat fajlova. Posto sam vise puta pomenuo
ini fajlove red je da nabrazaka i pojasnim sta su oni ustvari. To su
tekstualni fajlovi izdeljeni na sekcije i u svakoj sekciji imaju po
nekoliko informacija.
Problem kod takvih fajlova je sto ne postoji hijerarhija, zatim binarni
podaci su glomazni i u potpunosti nisu podesni za smestanje slicnih podataka.
Posto ini fajl predstavlja spregu izmedju aplikacije i OS-a, svaka
aplikacija ima svoj ini fajl sto takodje u brojnim situacijama stvara problem.
Reg baza u Windows 3.1
Kod ove verzije OS-a, registry baza je bila skladiste OLE (Object Linking
and Embedding) informacija, a win 3.5 i win 95 sadrze registry kakav sada
imamo na win xp. Medjutim i pored toga sto se umesto ini fajlova koriste
mnogo bolji i laksi nacini skladistenja informacija, i dan danas postoje
ini fajlovi koji su veoma korisni.
--------------------------------==<0x01c>==---------------------------------
Prebacujemo se iz proslosti u sadasnjost i sagledavamo kakav je registry
danas:
REGEDIT se aktivira preko RUN-a: start -> run-> regedit. Regedit sa leve
strane ima pet foldera:
HKEY_CLASSES_ROOT - sadrzi windows precice, OLE informacije, predstavlja
"srce" windows korisnickog interfejsa...
HKEY_CURRENT_USER - predstavlja link ka HKEY_USERS i on ucitava sva
podesavanja kao sto su desktop,start meni, logon itd...
HKEY_LOCAL_MACHINE - sve informacije o systemu ( podatke o hardveru,
softveru..)
HKEY_USERS - sadrzi pojedinacne podatke za svakog korisnika posebno i
svaki korisnik je predstavljen u vidu SID pod-kljuca koji se nalazi iznad
glavne grane
HKEY_CURRENT_CONFIG - predstavlja link ka HKEY_LOCAL_MACHINE i odgovara
podacima za trenutna hardverska podesavanja.
Svaki folder je ustvari jedan key. U svakom folderu se nalaze ili jos
podfoldera ili neke vrednosti(value) koje se prikazuju u desnom prozoru i
mogu biti:
STRING VALUE - textualna vrednost
DWORD VALUE - binarna vrednost ( 0 ili 1 ) -> 0 - disable, 1 - enable
BINARY VALUE - hexadecimalna vrednost
Da bi napravili novi key ili value kliknite desni klik (za key na neki
folder sa leve strane a za value sa leve strane), i izaberite. Kada
klknete desnim klikom na neku vrednost ili key imacete sledece opcije:
MODIFY - prepravljanje i
DELETE - brisanje.
--==<[ [0x02] % REGISTRY IDENTIFIERS
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Copmputer i user akaunti (security principles iliti sigurnosni elementi)
se identifikuju putem Security identifiers-a (SIDs). Ovaj postupak ide po
sledecem principu sprege
Active Directory---------------security principle--------------------SID
LSA--------------SID za local security principles--local security datbase
DSA--------------SID za domain security principles---------Active desktop
Ovako slikovito prikazano je lako za razmatranje i shvatanje:
Znaci Active Directory kreira security principle koji generise SID za to.
Local Security Authory kreira SID za local security principles koji smesta
u local security datbase.
Domain Security Authory kreira SID za SID za domain security principles
koji smesta u Active desktop.
SID je jedinstven i sistem ga nikada nece ponovo iskoristiti u istom obliku.
Ako se obrise akaunt i doda novi, taj novi akaunt ce dobiti novi SID
Sada cemo lepo uhvatiti i rasclaniti SID i objasniti svaki njegov delic:
Evo na pr (verovatno i ne postoji ovaj SID, ali bitan je shablon)
S-1-5-23-547-0123456789-0123456789-0123456789-123
SID uvek zapocinje sa "S-" . Sledeci broj predstavlja verziju SID-a (u
nasem slucaju to je verzija 1); sledeci broj pokazuje bod cijim je
ovlascenjem SID (u nasem slucaju to je 5, a to je ustvari SID pod NT
nalogom). Ove ostale brojke sto vidimo, u tri dela po 10 komada su domain
identifieri i na kraju ovaj zadnji broj je relativni identifier. E sad,
nisu svi SID-ovi ovako dugaciki, tj ima i onih koji su na pr u formi
S-1-5-18
i kao takvi spadaju u najpoznatije SID-ove.
-----------------------------------------------------------------------------
| U n i v e r z a l n i w e l l - k n o w n S I D - o v i |
-----------------------------------------------------------------------------
|Universalni well-known SID | Prepoznaje |
-----------------------------------------------------------------------------
| Null SID |Grupu bez predstavnika.Upotrebljava se najcesce|
| Value: (S-1-0-0) |kada je SID nepoznat |
-----------------------------------------------------------------------------
| World |Grupu koja ukljucuje sve korisnike. |
| Value: (S-1-1-0) | |
-----------------------------------------------------------------------------
| Local |Korisnike koji su logovani na terminale fizicki|
| Value: (S-1-2-0) |konektovane na sistem. |
-----------------------------------------------------------------------------
| Creator Owner ID |SID zamenjen SID-om korisnika koji je kreirao |
| Value: (S-1-3-0) |novi objekat. |
-----------------------------------------------------------------------------
| Creator Group ID |SID zamenjen primary-group SID-om |
| Value: (S-1-3-1) |korisnika, koji je kreirao novi objekat. |
-----------------------------------------------------------------------------
-----------------------------------------------------------------------------
| LISTA PREDEFINISANIH SID AUTHORITY KONSTANTI |
-----------------------------------------------------------------------------
| Nalog identifikatora | Value | SID string prefix |
-----------------------------------------------------------------------------
| SECURITY_NULL_SID_AUTHORITY | 0 | S-1-0 |
-----------------------------------------------------------------------------
| SECURITY_WORLD_SID_AUTHORITY | 1 | S-1-1 |
-----------------------------------------------------------------------------
| SECURITY_LOCAL_SID_AUTHORITY | 2 | S-1-2 |
-----------------------------------------------------------------------------
| SECURITY_CREATOR_SID_AUTHORITY | 3 | S-1-3 |
-----------------------------------------------------------------------------
| SECURITY_NT_AUTHORITY | 5 | S-1-5 |
-----------------------------------------------------------------------------
-----------------------------------------------------------------------------
| RID VAULESI KORISCENI OD STRANE WELL-KNOWN SID-OVA |
-----------------------------------------------------------------------------
| Nalog identifikatora | Value | Nalog identifikatora |
-----------------------------------------------------------------------------
| SECURITY_NULL_RID | 0 | S-1-0 |
-----------------------------------------------------------------------------
| SECURITY_WORLD_RID | 0 | S-1-1 |
-----------------------------------------------------------------------------
| SECURITY_LOCAL_RID | 0 | S-1-2 |
-----------------------------------------------------------------------------
| SECURITY_CREATOR_OWNER_RID | 0 | S-1-3 |
-----------------------------------------------------------------------------
| SECURITY_CREATOR_GROUP_RID | 1 | S-1-3 |
-----------------------------------------------------------------------------
Pored security identifiers-a, postoje i Globaly Unique identifiers (GUIDs).
Oni obelezavaju objekte u vidu specijalnih brojeva. Ti objekti uglavnom vec
imaju svoja imena ali iako se desi da se nazivi tih objekata podudaraju,
njihovi GUIDs-i ce ostati jedinstveni i po njima ih mozemo ralzikovati.
GUIDs-i imaju svoju strukturu i svi su strukturisani po istom sablonu: 16-o
biti hexadecimalni brojevi, rasporedjeni u grupama i to sledecim redosledom
od po: 8,4,4,4 i 12 znakova ( od slova se koriste sva od A do F, a od cifara
sva od 0 do 9). Evo na pr GUID-a od my computer-a:
{20D04FE0-3AEA-1069-A2D8-08002B30309D}
--==<[ [0x03] % REGISTRY DATABASE
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Najveci broj podataka redzistrija je u vidu hexadecimalnih zapisa, a pored
hexadecimalnih postoje i binarni i decimalni zapisi. Ajde da se podsetimo sta
su sve te stvari.
- Decimalni zapis broja 856 bice: 8*10^2 + 6*10^1 + 6*10^0 i oznaka "^" je u
nasam narudu nazvana "na" . Tj. 10^3 je "10 na treci" i istice koliko decimala
(ili seljacki receno: "koliko nula") sadrzi taj broj, i cifre su 0 - 9. Broj
10stalno ostaje isti i on se zove baza 6 (base 6), a brojevi na koliko se ta
desetka "stepenuje" se menjaju..
- Binarni zapis broja 1011 bice: 1x2^3 + 0*2^2 + 1*2^1 + 1*2^0 ili jednostavno
11. Cifre su 0 i 1. Broj 2 stalno ostaje isti i on se zove baza 2 (base 2) a
brojevi na koliko se ta dvojka "stepenuje" se menjaju..
- hexadecimalni zapis decimalnog broja 01101111 iznosi 6f (jer je 0110
hexadecimal 6, a 1111 hexadecimal f). A postoji i obrnut nacin, znaci da iz
hexadecimalnog broja dobijemo decimalni broj.
Evo na pr B02F bice: 11*16^3 + 0*16^2 + 2*16^1 + 15*16^0
Sad se pitate, pa pobogu po kom je ovo sablonu ? Evo, postoji tabela, malo je
proucite i sve ce vam biti jasno ko dan
---------------------------------------------------
| Binarno | Hexadecimalno | Decimalno |
---------------------------------------------------
| 0000 | 0 | 0 |
| 0001 | 1 | 1 |
| 0010 | 2 | 2 |
| 0011 | 3 | 3 |
| 0100 | 4 | 4 |
| 0101 | 5 | 5 |
| 0110 | 6 | 6 |
| 0111 | 7 | 7 |
| 1000 | 8 | 8 |
| 1001 | 9 | 9 |
| 1010 | A | 10 |
| 1011 | B | 11 |
| 1100 | C | 12 |
| 1101 | D | 13 |
| 1110 | E | 14 |
| 1111 | F | 15 |
---------------------------------------------------
Sledeci pojam koji je bitan za nas su "bit maske" (bit masks). Ponekad se u
redzistriju vise podesavanja pakuje u jedan broj i svaki bit u tom broju
predstavlja razlicito podesavanje. Znaci u bajtu se moze smestiti 8
podesavanja,16 podesavanja u okviru jedne reci, itd. Bit mask je prestavljen
u formi na pr 0x21.
--------------------------------==<0x03b>==---------------------------------
Regedit je tool koji omogucava administraciju reg baze i ekvivalentan
je win exploreru. Sa leve strane regedit-a se nalaze folderi, a sa desne
se nalazi sadrzaj selektovanog foldera. Znaci kljucevi su ekvivalent
folderima u win exploreru i mogu sadrzati vise podkljuceva, a naziv samog
kljuca je limitiran na 512 ANSI ili 256 UNICODE karaktera a mogu sadrzati
i sve ASCII znakove sem / * i ? . Reg baza je usko povezana sa win folderima
/fajlovima i evo i primera. Koncentrisemo se na putanju
C:\WINDOWS\system32\cmd.exe . Ova putanja se odnosi na cmd fajl koji se n
alazi u system32 podfolderu foldera windows.
Paralelno sa ovim na pr gledam
HKEY_LOCAL_MACHINE\SOFTWARE\blabla soft\
i odatle zakljucujem da vrednost "blabla soft" pripada podkljucu SOFTWARE
gavnog kljuca HLM. Znaci tu smo zaokruzili ovau malu pricicu o kljucevima
(keys)
--==<[ [0x04] % REGISTRY VALUES
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Sledece sto zapazimo u redzistriju su vrednosti (values). Svaki kljuc ima
svoje values-e. Setite se kad sam pricao da je regedit ekvivalentan win
exploreru...e pa i valuesi su ekvivalentni fajlovima i to po sledecoj
analogiji:
- NAME valuesa odgovara nazivu fajla.
- TYPE valuesa odgovara extenziji fajla sto ustvari odredjuje tip tog fajla
- DATA valuesa ogovara trenutnom sadrzaju fajla.
Odavde zakljucujemo da postoji tri dela valuesa, a to su:
Name, Type i Data (to sve vidimo kada kliknemo na neki kljuc i to seprikaze
na desnoj strani regdzistrija)
--------------------------------==<0x04a>==---------------------------------
NAME: svaki value ima svoj naziv i kod njega vlada pravilo kao i kod
imena kjuceva: naziv valuesa je limitiran na 512 ANSI ili 256 UNICODE
karaktera a mogu sadrzati i sve ASCII znakove sem / * i ?
--------------------------------==<0x04b>==---------------------------------
TYPE: Kao sto rekoh, svaki tip values opisuje tip podataka koje
sadrzi
-----------------------------------------------------------------------------
| G L A V N I T I P O V I V A L U E S A |
-----------------------------------------------------------------------------
| Tip value-a | Opis | Primer |
-----------------------------------------------------------------------------
| String (REG_SZ) |Tekst stalne duzine. | |
| |Pored dword-a, ovo je | |
| |najprisutniji tip valuesa| |
| |Javlja se u dva oblika : | |
| | | |
| |- kao naziv nekog podatka| QuickTimeAlternative |
| | |-----------------------
| |- Kao putanja |C:\Program Files\QTCo-|
| |Values ovog tipa se zavr-|mponents\QuickTime Al-|
| |savati sa nultim karakte-|ternative |
| |rom i ne sme sadrzati en-| |
| |iroment variables. | |
-----------------------------------------------------------------------------
| Binary (REG_BINARY) |Binarni podaci (Binary |0x02 0xFE 0xA9 0x38 |
| |data). |0x92 0x38 0xAB |
| |Redzistri ispisuje binar-| |
| |ne podatke u hexadecimal-| |
| |nom zapisu,a i mi sami | |
| |kada unosimo te binarne | |
| |podatke u hexadecimalnom | |
| |obliku | |
-----------------------------------------------------------------------------
| Dword (REG_DWORD) |Double-word values (32 | 0 - false/disable/no |
| |bita). | 1 - true/enable/yes |
| |Valuesi ovog tipa se pri-| |
| |kazuju u obliku nule ili | |
| |jedinice i one se zovu : | |
| |Bulenove oznake (Boolean | |
| |flags) |-----------------------
| |U dwordu se moze smestiti| 1000 je 1 sekund |
| |i vreme u milisekundama |-----------------------
| |Dword se moze pregledati | 0xFE020001 |
| |i editovati u decimalnom | 0x10010001 |
| |ili heksadecimanom zapisu| |
----------------------------------------------------------------------------- | Multi- string |binarne vrednosti koje | |
| (REG_MULTI_SZ) |sadrze liste znakova | |
| |(strings)i svaki upis je | |
| |podeljen "null" karakter-| / |
| |om (0x00), a dva null | |
| |karaktera zavrsavaju | |
| |listu. | |
-----------------------------------------------------------------------------
| Expandable string |Tekst varirajuce duzine. |%userprofile%\Favorite|
| (REG_EXPAND_SZ) |Values ovog tipa sadrzi | |
| |environment variables i | |
| |pre nego sto iskoristi te| |
| |enironment variables,pro-| |
| |gram mora da ih produzi u| |
| |odgovarajuci oblik tj. | |
| |putanju. | |
-----------------------------------------------------------------------------
-----------------------------------------------------------------------------
| O S T A L I T I P O V I V A L U E S A |
-----------------------------------------------------------------------------
| Tip value-a | Opis | Primer |
-----------------------------------------------------------------------------
| REG_DWORD_BIG_ENDIAN | / | 0X010203 smesten kao |
| | | 0x01 0x02 0x03 |
-----------------------------------------------------------------------------
| REG_DWORD_LITTLE_ENDIAN | / | 0X010203 smesten kao |
| | | 0x03 0x02 0x01 |
-----------------------------------------------------------------------------
| REG_FULL_RESOURCE | / |Za primer pogledati u |
| _DESCRIPTOR | |HKLM\HARDWARE |
| | |\DESCRIPTION\Descript-|
| | |ion |
-----------------------------------------------------------------------------
| REG_LINK |Predstavljaju link. Kori-| / |
| |snik ga ne moze kreirati.| |
-----------------------------------------------------------------------------
| REG_QWORD |Isti kao i dword samo | 0xFE02000110010001 |
| |sto za razliku od njega | |
| |ne sadrzi 32 bita vec 64 | |
-----------------------------------------------------------------------------
| REG_QWORD_BIG_ENDIAN | / |Za primer pogledati u |
| | | REG_QWORD_BIG_ENDIAN |
-----------------------------------------------------------------------------
| REG_QWORD_LITTLE_ENDIAN | / |Za primer pogledati u |
| | |REG_QWORD_LITTLE |
| | |_ENDIAN |
-----------------------------------------------------------------------------
| REG_RESOURCE_LIST |Lista REG_FULL_RESOURCE | / |
| |_DESCRIPTOR valuesa | |
| |Korisnik moze videti ovaj| |
| |tip valuesa, ali ga ne | |
| |moze menjati. | |
-----------------------------------------------------------------------------
| REG_NONE |Values nedefinisanog tipa| / |
-----------------------------------------------------------------------------
///////////////////////////////////////////////////////////////////////////
--==<[ [0x05] % REGISTRY KEYS
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Kao sto sam ranije napomenuo u redzistriju se nalazi 5 root kljuceva:
HKEY_CLASSES_ROOT (HKCR), HKEY_CURRENT_USER (HKCU), HKEY_LOCAL_MACHINE (HKLM),
HKEY_USERS (HKU), HKEY_CURRENT_CONFIG (HKCC)
Od gore nabrojanih, HKLM i HKU su najvazniji i to su jedini root kljucevi koje
win smesta na disk, dok ostali root kljucevi predstavljaju linkove do
potkljuceva u HKLM.
HKCR je link podkljuca Classes koji se nalazi u HKLM\SOFTWARE\Classes
HKCU je link podkljuca na pr: HKEY_USERS\S-1-5-19
HKCC je link podkljuca Current koji se nalazi u HKLM\SYSTEM\CurrentControlSet
\Hardware Profiles\Current
Negde na pocetku tutora sam na blic objasnio o root kljucevima, a sada cu
malo potpunije objasniti svaki ponaosob.
--------------------------------==<0x05a>==---------------------------------
HKEY_CLASSES_ROOT - Ovaj root key sadrzi dve komponente. Prvu predstavlja
sinteza fajlova koju cine tipovi fajlova zajedno sa programima koji iste te
fajlove mogu otvoriti/editovati/stampati. A druga komponenta su registracije
COM fajlova. I jos da napomenem da je ovaj root kljuc otvara najvise
mogucnosti za kustomizaciju i najveci je root kljuc u registry bazi. HKCR je
nastao spajanjem HKLM\SOFTWARE\Classes i HKCU\SOFTWARE\Classes , a ukoliko se
isti values javi u i u jednom i u drugom path-u, path HKCU\SOFTWARE\Classes i
ma vecu prednost. Sinteza ova dva patha ima brojne prednsti:
- Programi mogu registrovati per-computer i per-user asocijacije fajlova i
programskih klasa, sto znaci da jedan korisnik moze posedovati asocijaciju
fajlova koju, drugi korisnici koji sheruju komp nemaju.
- Korisnik koji sheruje jedan komp moze koristiti dva razlicita programa za
editovanje istog tipa fajla, bez medjusobnog uticaja.
- POsto su per-user asocijacije i class registracije u user profilima, oni
prate korisnike od kompa do kompa kada koriste roaming user profile.
- Pristup HKLM\SOFTWARE\Classes se moze limitirati bez cackanja po
HKCU\SOFTWARE\Classes .
--------------------------------==<0x05b>==---------------------------------
HKEY_CURRENT_USER - Sadrzi podesavanja samog korisnika (per-user) i
predstavlja link ka HKU\SID , a SID smo vec naucili sta je (pricao sam u
gornjem delu tuta).
U okviru ovog root kljuca se nalaze sledeci podkljucevi:
- AppEvents - Omogucava da se cuje odredjen zvuk pri odredjenoj radnji (zvuk
pri otvaranju foldera, zvuk pri logovanju...)
- Console - Smesta podatke za konzolni podsistem (command prompt...)
- Control panel - Sadrzi brojna podesavanja za jezik, izgled GUI-a...
- Environment - Sadrzi envionment varijable postavljene od strane korisnika.
- Identifies - Sadrzi podkljuceve za identitete u M$ Outlook-u. Ti identiteti
u OE omogucavaju da vise usera deli jedan mail klijent
- Keyboard Layout - Podaci o tastaturi
- Network - Informacije o "mapiranim" mreznim drajvovima
- Printers - Korisnicki podaci za stampace
- Software - Sadrzi podatke i podesavanja korisnickih aplikacija. U ovom
podkljucu se takodje nalaze i winove konfiguracije.
- Volatile Environment - Sadrzi envionment varijable koje su postavljene pri
logovanju korisnika.
--------------------------------==<0x05c>==---------------------------------
HKEY_LOCAL_MACHINE - Sadrzi podesavanja samog sistema (per-computer), sto
znaci da ce ista uticati na bilo kog korisnika koji se loguje na racunar.
Tu spada podesavanja drajvera, menadzment win podataka...
U okviru ovog root kljuca se nalaze sledeci podkljucevi:
- Hardware - Opis hardwera koje je win detektovao. Ovaj podkljuc se kreira
pri svakom dizanju sistema i sadrzi podatke o uredjajima i njihovim
drajverima.
- SAM - Sadrzi sigurnosu bazu win podataka, Security Accounts Manager (SAM).
Seljacki receno: tu su smestene sve sifre u windowsu i iste su nedostupne
i samom administratoru. To je u normalnim okolnostima, medjutim...Postoje
programi kojima se moze crackovati SAm i time doci do potrebnih sifri...
SAM je lik ka kljucu HKLM\SECURITY\SAM
- Security - Sadrzi sve podatke iz podkljuca SAM, kao i ostale security
podatke.
- Software - Da se ne ponavljam, procitajte obavestenje za ovaj podljuc
koje sam dao kod HKCU root kljuca
- System - sadrzi podesavanja kontrola. Podkljuc se nalazi u sledecem
pathu:
HKLM\SYSTEM\CurrentControlSet .
--------------------------------==<0x05d>==---------------------------------
HKEY_USERS - sadrzi pojedinacne podatke za svakog korisnika posebno i
svaki korisnik je predstavljen u vidu SID pod-kljuca koji se nalazi iznad
glavne grane.
U okviru ovog root kljuca se nalaze sledeci podkljucevi:
Default - Sadrze podatke koje win koristi da bi prikazao desktop pre nego
sto se bilo koji korisnik loguje na komp.
SID - Kod ovog podkljuca SID predstavlja security identifier za console
user i sadrzi per-user podesavanja i to podesavanja desktopa, podesavanja u
control panelu...
SID_Classes - Kod ovog podkljuca SID predstavlja security identifier za
console user i sadrzi per-user klase registracija i asocijacije fajlova. Win
spaja sadrzaje HKLM\software\Classes i HKU\SID_Classes kljuceva u HKCR.
Pored ovih podkljuceva, postoje jos tri u okviru HKU, a to su:
S-1-5-18 , S-1-5-19 , S-1-5-20
--------------------------------==<0x05e>==---------------------------------
HKEY_CURRENT_CONFIG - Predstavlja lik ka podacima o konfiguraciji za aktuelni
hardver profil, HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Curent
a obrnuto gledanoo, Current je link ka kljucu
HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\xxxx, gde je xxxx specijalni
broj pocevsi od 0000.
///////////////////////////////////////////////////////////////////////////
--==<[ [0x06] % OUTRO
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
--------------------------------==<0x06a>==---------------------------------
Sto se tice literature koju sam upotrebio to su sve pdf knjizice koje u sebi
sadrze keyword "registry", par stvari pokupljenih sa m$-ovog sajta (one
tabelice sto sam pravio)..i naravno my smart brain.
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
Da biste sto bolje razumeli ovaj tutorijal, preporucujem vam da procitate
moj prethodni tutorijal o redzistriju. Sa informacijama koje budete
prikupili, razumecete ovaj tutorijal sasvim dovoljno za pocetak. Izabrao
sam (ponovo) redzistri kao tematiku za moj tut, iz prostog razloga sto je
po meni redzistri najvaznija "komponenta" windows operativnog sistema.
U ovom tutorijalu cu objasniti znacaj redzistrija u pogledu (poboljsanja)
sigurnosti windoze. Moc i brojnost opcija u redzistriju impresionirace vas,
stoga dobro otvorite oci, zadrzite dah i krenite sa citanjem :>
--------------------------------==<0x01a>==---------------------------------
Prva stavka koju cu objasniti je ACL tj access control list. Sam prevod na
srpski vam objasnjava sta je to ustvari. Znaci to je komponenta windows
sigurnosti koja vrsi separaciju dozvola na racunaru tj. bukvalno receno -
kontrolise pristupe razlicitih korisnika windoze. To je jedna lista korisnika
i dozvola koje isti imaju na racunaru. ACL-u se pristupa tako sto udjemo u
redzistri, pronadjemo zeljeni kljuc sa access control listom, i idemo desni
klik -> permissions. Admin moze dodeljivati nove dozvole ili oduzimati
postojece: pokretanje procesa, fajlova, programa. Takav oblik podesavanja je
preporucen iskljucivo ukoliko postoji ogromna potreba za istim i ukoliko je
to znaci jedino resenje za resavanje nekog "problema". Pocetnicima, ova vrsta
podesavanja verovatno nije ni potrebna, ali naprednim korisnicima je itekako
potrebna jer defultni permissioni u okviru windoze su veoma oskudno podeseni.
Ovo je samo osnova o ACL cisto da vam zagolicam mastu, a o potpunoj
administraciji koja se moze izvesti preko ove security komponente cu vam
pricati u nastavku tutorijala. ACL ce se "provlaciti" gotovo kroz ceo
tutorijal.
--------------------------------==<0x01b>==---------------------------------
Bitno je istaci da postoje dva metoda podesavanja dozvola. Prvi nacin je
preko redzistrija i to direkto preko ACL, a drugi nacin je pravljenje
sigurnosnih timplejtova (security templates) koji u sebi sadrze sve lepo
ispodesavane sigurnosne dozvole (security permissions) i nakon pravljenja
takvog jednog timplejt, jednostavno rucno ucitate taj timplejt i imate sve
ispodesavano kao na tanjiru. Oni koji znaju sta je pojam "template" na pr u
web dizajnu, shvatice i sustinu timplejta kod windoze (molim samo da ne
budete bukvalisti :>). U prenosnom znacenju template je shablon sa svim
potrebnim podesavanjima koji, takodje, moze predstavljati odlicnu osnovu za
dalja (napredna) podesavanja. Elem, gorespomenute timplejte podesavamo preko
Grop Policy Object (u daljem tekstu GPO). Do Grop Policy editora stizemo tako
sto u run-u kucamo gpedit.msc
U okviru njega mozemo izvrsiti podesavanja registrja, NTFS sigurnosti,
software instalacije, logon/logoff skripti, redirekcije foldera i podesavanja
Internet Explorer-a. Princip rada je sledeci: Mi kreiramo GPO i onda
importujemo sigurnosne timplejtove u taj GPO da bismo kreirali security
policy ("sigurnosnu politiku") za nasu mrezu, sistem...Windows zatim
automatski dodeljuje komjuteru i korisniku dozvole zadate unutar sigurnosnih
timplejtova, ukoliko je taj GPO "pristupacan".
///////////////////////////////////////////////////////////////////////////
=>[0x02] % CONFIGURING SECURITY VIA KEYS
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
--------------------------------==<0x02a>==---------------------------------
Ako imate admin prava na OS-u, mozete podesavati dozvole za pojedinacne
korisnike ili citave grupe i sve to naravno preko ACL-a. Postupak je sledeci:
Za pocetak normalno udjite u redzistri i pronadjite kljuc u okviru koga
zelite da menjate dozvole i desni klik -> permissions i otvori ce vam se nov
prozor sa listom korisnika/grupa a ispod se nalaze dozvole selektovanog
korisnika/grupe:
- Full Control - Omogucava korisniku ili grupi korisnika potpunu
administraciju nad kljucem. Znaci korisnik moze da otvara, edituje i preuzima
vlasnistvo nad selektovanim kljucem.
- Read - Omogucava korisniku ili grupi korisnika iskljucivo da "citaju" kljuc
(ali ne mogu da sacuvaju promene koje su napravljene u okviru kljuca). Znaci
to je read-only dozvola.
- Special Permissions - Omogucava korisniku ili grupi korisnika posebne
kombinacije dozvola. Do ove opcije dolazi se preko dugmeta advanced u okviru
ACL-a.
Cesto se desava da su check polja zamagljena i da ne moze da se cekiraju
dozvole za selektovanog korisnika ili grupu. To znaci da ta opcija trenutno
nije dozvoljena. To se desava iz prostog razloga sto taj kljuc nasledjuje
dozvole od maticnog kljuca. Postoji nacin zastite kljuca od "nasledjivanja
dozvola" i o tome cu pricati u delu tutorijala pod nazivom "special
permissions (assigning)"
--------------------------------==<0x02b>==---------------------------------
Sto se tice kontrole dozvola korisnika putem ACL-a, ukratko cu vam objasniti
nacine dodavanja i skidanja korisnika sa ACL. Dodavanje vrsimo tako sto u
redzistriju pronadjemo kljuc za koji zelimo da oznacimo dozvole koje ce
korisnici ili grupe korisnika imati. Zatim idemo desni klik pa permissions
i klik na "add". U novootvorenom prozoru kliknemo na location, selektujemo
komp, domain ili organizacijsku jedinicu sa koje zelimo da dodamo korisnike
na ACL. Ovde se moze desiti da ne znate tacan naziv ili ceo naziv korisnika
ili grupe koje dodajete ACL-u. Ali postoji resenje za to. Jednostavno u
okviru prozora kod koga dodajete usere kliknite na advanced pa na Find Now.
Pojavice vam s ekompletna lista korisnika i grupa i jednostavno dodajte ACL-u
korisnike ili grupe koje zelite. Na kraju u "permissions for .." prozoru
podesite dozvole za dodate korisnike i grupe korisnika.
Dodavanje korisnika u ACL je veoma korisno za neke stvari tipa pristup vasem
redzistriju sa udaljenih mesta ako je to potrebno. Na pr zadesiti se u
tunguziji, podigli ste server kuci i zelite da iz tunguzije da izmenite neke
stavke u redzistriju sto je hitnije moguce a ne mozete da dodjete do kompa
jer vam je hiljadama kilometara udaljen. Jednostavno mozete pristupiti kompu
sa vaseg na pr laptopa iako ste kilometrima daleko i izvrsiti potrebne zahvate.
To je samo jedan banalni primer i u praksi ima dosta koristi od dodavanja
korisnika na ACL, Medjutim postoji i losa strana dodavanja korisnika na ACL
pogotovo ukoliko neko nema velikih iskustava sa tim ili jednostavno napravi
slucajnu gresku u koracima i na taj nacin napravi veliku rupu u operativnom
sitemu, tj. vetil kroz koji informacije mogu da izlecu sa vaseg kompa.
Kada zelimo maknuti nekog od korisnika sa ACL-a, to mozemo vrlo lako uraditi.
U redzistriju pronadjemo kljuc za koji zelimo da oznacimo dozvole koje ce
korisnici ili grupe korisnika imati. Zatim idemo desni klik pa permissions
i klik na Remove. Simple as that :> Ipak i ovde moramo obratiti paznju na
odredjene stvari. Sve sto vidimo u okviru ACL (a tu se nalazi po defaultu)
predstavlja nesto najminimalnije, tek toliko da korisnici mogu startuju i
koriste windozu. Ukoliko uklonite korisnike ili korisnicke grupe iz kljuca,
ti korisnici nece biti u stanju da "citaju" kljuceve sto dalje implicira na
to da ti isti korisnici nece biti u stanju da "upravljaju" windozom i
njegovim aplikacijama. A zamislite onda sta bi se tek desilo kada bi uklonili
Administrators group iz kljuca :> Ladno ne biste mogli ni vi sami da upravljate
vasim OS-om. A ako uklanjate pojedinacne korisnike, to i nije tako "opasno",
jer ni sam windows ne pruza dozvole individualnim korisnicima i ne treba da
uklanjate pojedincane korisnike iz ACL-a, jer na taj nacin ih sprecavate da
pristupaju njihovim sopstvenim podesavanjima, a koji naravno treba da imaju
punu kontrolu.
--------------------------------==<0x02c>==---------------------------------
Ukoliko zelimo da izvrsimo podesavanja dozvola koja su znatno detaljnija od
full control i read dozvola, to mozemo izvrsiti preko Special Permissions
opcije (dugme Advanced u okviru ACL-a). U okviru ove opcije mozete vrsiti
znatno detaljnija podesavanja tipa "citanje", "pisanje" kljuceva, editovanje
podkljuceva..Kada ste izvrsili podesavanja pojavice se apply padajuca lista
sa sledecim opcijama:
- This key only - Primenjuje podesene dozvole zamo na selektovani kljuc
- This key and subkeys - Primenjuje podesene dozvole na selektovani kljuc i
sve podkljuceve u okviru tog kljuca.
- Subkeys only - Primenjuje podesene dozvole na sve podkljuceve u okviru
selektovanog kljuca, ali ne i na sam kljuc.
U permission listi imacete opcije allow (dozvoliti) i deny (odbiti) za
sledece dozvole:
- Full Control - Sva moguca podesavanja
- Query Value - Citanje vrednosti u okviru kljuca
- Set Value - Postavljanje vrednosti u okviru kljuca
- Create Subkey - Kreiranje podkljuca u okviru kljuca
- Enumerate Subkeys - Identifikacija podkljuca u okviru kljuca
- Notify - Primanje obavestenja o dogadjajima od strane kljuca
- Create Link - Kreiranje simbolicnih linkova unutar kljuca
- Delete - Brisanje kljuca ili njegove vrednosti
- Write DAC - Pisanje kljucevog DAC-a ( discretionary access control list)
- Write Owner - Izmena vlasnika kljuca
- Read Control - Citanje DAC-a
Pominjao sam "nasledjivanje" dozvole od maticnog kljuca a da malo detaljnije
objasnim to. Ukoliko je nasledjivanje omoguceno, podkljucevi nasledjuju
dozvole njihovih maticnih kljuceva. Drugim recima, ukoliko kljuc omogucava
grupi punu kontrolu, svi njegovi podkljucevi takodje omogucavaju grupi punu
kontrolu. Ukoliko su polja za cekiranje dozvola u okviru ACL-a za selektovanu
grupu korisnika zamagljena, to znaci da ne mozete menjati nasledjivacke
dozvole kljuca. Sto se tice podesavanja nasledstva kod kljuceva, mozemo na pr
da zastitimo podkljuceve od nasledstva dozvola od strane maticnih kljuceva i
to u okviru Advanced Security Settings For.. prozoru, gde decekiramo
Inheritable Permissions. Takodje mozemo da izvrsimo i zamenu ACL podkljuceva
u uokviru kljuca, resetovanjem kompletne grane kako bi odgovarao kljucevom
ACL-u a to se postize tako sto cekirate opciju: Replace Permissions Entires
On All Child Objects...
--------------------------------==<0x02d>==---------------------------------
Da bismo razumeli defaultne dozvole, neophodno je razlikovati 3 grupe u
okviru windoze, a to su: Users, Power Users i Administrators. Svaka od ove
tri grupe ima poseban nivo dozvola.
Users - Ova grupa je najsigurnija jer po defaultu toj grupi nije dozvoljeno
da izmenjuje podatke u okviru OS-a i druga podesavanja. Oni mogu cackati
iskljucivo programe sertifikovane od strane windoze , koje administrator
zadaju njihovim kompovima. Ova grupa moze da vrsi potpunu kontrolu svojih
profila ukljucujuci i HCKU. Napredni korisnici cesto ne vrse kreiranje ovakvih
grupa jer korisnici uglavnom i ne pokrecu legalne aplikacije, pa se admini
stoga ipak okrecu pravljenjem sigurnosnih timplejtova .
Power users - Ova grupa korisnika u odnosu na "Users" grupu, moze pokretati
i programe koji nisu sertifikovani od strane windowsa. Po defaultim
podesavanjima, power users grupi je omoguceno da vrsi veliki broj podesavanja
u okviru OS i aplikacija. Ukoliko imate legalne aplikacije koje korisnici koji
pripadaju grupi Users ne mogu da pokrenu, a ne zelite da primenjujete
sigurnosne timplejtove, jednostavno prebacite korisnike u Power Users grupu i
korisnici ce moci da pokrecu te aplikacije. Korisnici ove grupe mogu da
instaliraju vecinu aplikacija, ali ne mogu menjati sistemske fajlove i
instalirati servise. Power Users se prema dozvolama nalaze izmedju Users i
Administrator grupe i naravno, na kraju krajeva, korisnici ove grupe ne mogu
sebe dodavati u Administrators grupu.
Administrators - Ova grupa moze da vrsi sva moguca podesavanja i ima potpunu
kontrolu nad sistemom. Oni mogu vrsiti sva podesavanja u redzistriju -
preuzimati vlasnistvo nad kljucevima i menjati ACL. Ni u kom slucaju nemojte
dodavati neke druge korisnike u Administrator grupu, jer to je isto kako kad
bi nekome dali kljuceve od vaseg stana ili kola. Naravno, niko nece vrsiti
podesavanja i upravljanja nego vi sami.
///////////////////////////////////////////////////////////////////////////
=>[0x03] % CONFIGURING SECURITY ACCESS
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
--------------------------------==<0x03a>==---------------------------------
Nadgledanje desavanja u okviru redzistrija naziva se auditing. Auditing se
sastoji iz tri koraka. Prvo treba da ukljucimo Audit Policy. To se moze
uraditi preko GP editora. Znaci otici u control panel (classic view) ->
administrative tools -> local security policy nakon toga kliknuti na
Audit Policy (sa leve strane prozora). U desnom delu prozora dvoklik na na
Audit Object Access i chekirati Success and Failure.
Na taj naci je Audit Policy ukljucen. Nakon toga treba u redzistriju
izvrsiti "audit" individualnih kljuceva i to na sledeci nacin:
pronadjite zeljeni kljuc i desni klik na njega -> permissions -> advanced
tab "Auditing" -> add -> location -> selektovati zeljeni komp, domen ili
organizaciju u okviru cijih korisnika i korisnickih grupa zelimo da vrsimo
audit. Zatim u polju "Enter the object name.." uneti ime korinsnika ili
korisnicke koju zelimo dodati audit listi i onda OK. U prozoru "auditing
entry for.." u acces listi cekirati i successful i failed za one aktivnosti
za koje zelite da vrsite audit uspesnih i neuspesnih pokusaja. Posle
ukljucivanja Audit Policy, treba to sve lepo proveriti preko Event Viewera.
--------------------------------==<0x03b>==---------------------------------
Postavlja se pitanje, da li mozemo U POTPUNOSTI zastititi redzistri tako da
korisnik ne moze da pristupi njemu. Odgovor je NIKAKO :> , iz prostog razloga
sto redzistri sadrzi podesavanja koje korisnik mora da bude u stanju da
"procita" kako bi win iole normalno radio. A uz sve to korisnici moraju imati
punu kontrolu nad svojim profilima. Znaci jednostavno ne mozete potpuno
spreciti pristup redzistriju, ali mozete napraviti kompromis - ograniciti
dozvole korisnicima. Ukoliko ste admin mozete donekle onemoguciti pristup
redzistriju ukljucivanjem opcije Prevent Access to registry editing tools.
Ako ste to ukljucili, onda ce se u slucaju da neki korisnik pokusa da
pristupi regeditu, videce error: "registry editing has disabled by
administrator". Tu sad postoji problem. Na taj nacin se onemogucava pristup
redzistriju preko M$ regedita, ali ne i preko nekih alternativnih reg editora.
Drugi nacin je upotrebom Software Restriction Policies, ali cak ni na taj
nacin ne mozemo zastititi redzistri da korisnik ne moze da mu pristupi.
--------------------------------==<0x03c>==---------------------------------
U ovom pasusu iznad sam pricao o lokalnom pristupu redzistriju
(tj zastiti od iste). Sada cu sve to objasniti samo o "daljinskom" (remote)
pristupu redzistriju. Na windozi, korisnici lokalnih administrator i backup
operator grupa mogu da pristupaju redzistriju daljinskim putem. Posto je
Domain Admins grupa clan svake lokalne Aministrator grupe, svi domain
administratori mogu da pristupe redzistriju svakog kompa koji je ukljucen u
taj domain. Winodws XP mnogo vise zadaje restrikcija za pristup redzistriju
u odnosu na prethodne verzije. Da bi se omogucilo nekoj grupi da pristupa
redzistriju na daljinu neophodno je u glavnoj jedinici kreirati
administratorsku grupu za svaku organizacijsku jedinicu. To se radi tako sto
se ta grupa doda u ACL kljuca:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg
///////////////////////////////////////////////////////////////////////////
=>[0x04] % SECURITY TEMPLATES
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
--------------------------------==<0x04a>==---------------------------------
Sigurnosni timplejtovi (security templates) se koriste za pravljenje
security policy za vas komp ili mrezu. Pravljenje sigurnosnih timplejtova
je znatno bolje i efikasnije od prethodno pomenutih tehnika posto sigurnosni
timplejtovi omogucavaju da se izvrse konkretnija i komplikovanija sigurnosna
podesavanja za veliki broj racunara koja znatno olaksavaju i ubrzavaju posao
u odnosu na druga sigurnosna podesavanja. Kod njihovog pravljenja
upotrebljavamo razlicite alatke. Prvo koristimo sigurnosne timplejtove za
kreiranje i editovanje timplejtova. Zati koristimo Security Configuration And
Analysis i Group Policy konzolu da bi smo primenili timplejtove. Preko
timplejtova mozemo podesavati sledece kategorije:
- Account policies - Password Policy, Account Lockout Policy i Kerberos Policy
- Local Policies - Audit Policy, User Rights Assignment i Security Options
- Event Log - Application, System i Security Event Log podesavanja
- Restricted Groups - Clanstvo security-sensitive grupa
- System Services - Startup i dozvole za system servise
- Registry - Dozvole za for registry kljuceve
- File system - Dozvole za fajlove i foldere
Sigurnosni timplejtovi su najobicnniji .inf fajlovi. Znaci txt fajlovi sa inf
extenzijom i veoma lice na .ini fajlove, sto znaci da ih opusteno mozete
kopirati i editovati po potrebi. Postoji mogucnost i da sami napravite svoj
security template "od nule" tj. "from scratch", ali to nije preporucljivo
posto ima puno posla a rizik je preveliki, tako da je bolje da editujete vec
postojece predefinisane windowsove sigurnosne timplejte. Bitno je napomenuti
da samo clanovi Administratorske grupe imaju mogucnost da menjaju defaultni
security template folder - %SystemRoot%\Security\Templates .
--------------------------------==<0x04b>==---------------------------------
Za rad sa sigurnosnim timplejtovima najbolje je koristiti MMC (m$ managment
console). Princip je sledeci:
u run-u ukucajte mmc i sibnite enter i u novootvorenom prozoru idite na
file - add/remove snap-in -> add -> selektujte Securiry Templates i onda add
Nakon toga selektujte Security Configuration And Analysis i opet Add. Zatim
zatvorite prozor i OK. Sacuvajte podesavanja - File -> Save i sacuvajte na pr
kao m4rk0Temps.msc i fajl ce po defaultu biti sacuvan u Administrative Tools
folderu. Da bi ga na brzaka startovali, idemo
start -> all programs ->administrative tools -> m4rk0Temps ili kako ste ga vec
nazvali.
--------------------------------==<0x04c>==---------------------------------
U windozi vec postoji nekoliko predefinisanih sigurnosnih timplejtova. Znaci
nemate potrebu da pravite nove timplejtove, vec jednostavno da editujete
postojece po potrebi. Predefinisani timplejtovi se nalaze na sledecoj lokaciji:
%SystemRoot%\Security\Templates i to sledeci:
- Default security (security.inf) - Defaultna sigurnosna podesavanja
postavljena pri instaliranju wina. Takodje sadrzi i sistemske i redzistry
dozvole. Posto ovaj timplejt sadrzi defaultna sigurnosna podesavanja,
u slucaju da nesto zeznete, ovaj timplejt ce vam omoguciti da vratite sistem na
originalna windows sigurnisna podesavanja, tako sto cete ovaj timplejt ucitati
preko Security And AnalYsis konzole, a ne preko Group Policy.
- Compatible (Compatws.inf) - Ovaj timplejt "olaksava" restrikcije koje su
zadate Users grupi dovoljno da mogu da pokrecu legalne aplikacije. Na ovaj
nacin se zadaje mogucnost da se korisnici prebacuju iz Users grupe u Pawer
Users grupu ili Administrator grupu. Ovaj timplejt takodje omogucava dozvole
koje user grupe imaju na sistemskim fajlovima i aplikacijama tako da oni
mogu da mogu da upravljaju aplikacijama i fajlovima koji nisu sertifikovani
od strane winodwsa. Preko ovog timplejta administratori pomeraju korisnike iz
Power users grupe u User grupu.
- DC Security (DC Secutity.inf) - Ovaj timplejt je kreiran kada je server
pokrenut od strane domain kontrolera. Utice na fajlove, redistri i
sistemske servise.
- Secure (Secure*.inf) - Ovaj timplejt izvrsava najfinija podesavanja. Na pr
Securedc.inf je za domain kontrolere, a Securews.inf je za workstatione.
Primenjuje snazne sifre, audit podesavanja.. Ogranicava korisnike LAN Manager
i NTLM konfigurisanjem windowsa da salje samo NTLM v2 odgovore i
konfigurisanjem servera da odbijaju LAN Manager odgovore. I na kraju, ovaj
timplejt ogranicava anonymous korisnike sprecavajuici od enumeracije account
naziva, enumeracije shareova, i prevodjenja SID-ov.
- Highly Secure (Hisec*.inf) - Ovaj timplejt predstavlja skup prethodnih
timplejtova i zadaje jos veca ogranicenja. Hisecdc.inf je za domain
kontrolere i Hisecws.inf je za workstatione. Ovaj timplejt na pr postavlja
nivo enkripcije i upisivanje u windows neophodno za autentifikaciju i za
prenos podataka preko sigurnosnih kanala i to zashteva snaznu enkripciju
i upisivanje. Na kraju ovaj timplejt uklanja sve korisnike iz Power Users
grupa i proverava da li su iskljucivo Domain Admins grupe i lokal
Administraori su korisnici lokal Admnistrator grupe.
- System root security (Rootsec.inf) - Ovaj timplejt opisuje root dozvole
za win fajl sistem. Sadrzi dozvole koji nisu vezani za redzistri. Prihvata
dozvole za root %SystemDrive% -a.
- No Terminal Server user SID (Notssid.inf) - Ovaj timplejt uklanja
nepotrebne Terminal Server SID-ove sa file sistem i redzistri kada je
pokrenut Terminal Server u aplikacijski kompatibilnom modu. Ako je to moguce,
pokrenite Terminal Server u full sigurnosnom modu (u modu u kome se Terminal
Server uopste ne koristi).
--------------------------------==<0x04d>==---------------------------------
Postoji mogucnost da napravite sopstveni timplejt iako nije bas preporucljivo.
To se radi na sledeci nacin:
U okviru Security Templates idite desni klik na folder u okviru koga zelite da
kreirate novi timplejt i onda kliknite New Template. U Template Name polju
unesite naziv novog timplejta, a u Description polju unesite korisne
informacije za timplejt koji kreirate. U levom delu prozora dvoklik na
novokreirani timplejt da bi ga otvorili. Selektujte sigurnosno polje kao sto
je redzistri i onda ispodesavajte sigurnosna podesavanja u desnom delu prozora.
Drugi nacin i mnogo preporucljiviji je da uzmete neki predefinisani timplejt
i sacuvate ga kao novi fajl i onda ga editujete po potrebi:
Otici na C:\WINDOWS\security\templates i desni klik na zeljeni predefinisani
timplejt i save as i samo unesite naziv novog fajla (tj sigurnosnog timplejta)
i onda samo save. U levom delu prozora dvoklik na
novokreirani timplejt da bi ga otvorili. Selektujte sigurnosno polje kao sto
je redzistri i onda ispodesavajte sigurnosna podesavanja u desnom delu prozora.
Da vidimo sada kako se sve ovo ponasa na redzistri kljucevima. U levom delu
prozora dvoklik na zeljeni timplejt i onda klik na Registry i pojavice vam se
lista reg kljuceva u desnom delu prozora. Da bismo dodali kluc ovoj listi,
idemo desni klik na registry i samo Add Key. Posto lista vec obuhvata sve
kljuceve HKLM-a, napravicemo izuzetak ko dpodesavanja koja timplejt odredio za
HKLM\SOFTWARE i HKLM\SYSTEM. Da bismo editovali kljuc idemo desni klik i
selektujemo neku od sledecih opcija.
1. Configure This Key Then
- Propagate Inheritable Permissions To All Subkeys - Kljucev podkljuc
nasledjuje sigurnosna podesavanja kljuca predpostavljajuci da ta sigurnosna
podesavanja podkljuca ne blokiraju nasledjivanje. U slucaju da dodje do
konflikta, dozvole podkljuceve dozvole zamenjuju dozvole nasledjene od strane
maticnog kljuca
- Replace Existing Permissions On All Subkeys With Inheritable Permissions -
Dozvole kljuca u potpunosti zamenjuju sve dozvole njegovog podkljuca, sto znaci
da ce svaka podkljuceva dozvola biti identicna dozvolama maticnog kljuca.
2. Do Not Allow Permissions On This key To Be Replaced - Selektujte ovu opciju
ako necete da podesavate dozvole kljuceva i podkljuceva
///////////////////////////////////////////////////////////////////////////
=>[0x05] % COMPUTER CONFIGURATION AND NEW SECURITY FEATURES
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\
--------------------------------==<0x05a>==---------------------------------
Security Configuration and Analysis omogucava da uporedimo trenutno stanje
sigurnosnih podesavanja sa podesavanjima zadatih preko sigurnosnih timplejtova.
Ova analiza mogu biti odlican pokazatelj greski i inicijator resavanja istih.
Na sledeci nacin se vrsi analiza sigurnosti upotrebom Security Configuration
and Analysis alatke:
Idemo desni klik na Security Configuration and Analysis (koga smo dodali
konzoli u 0x04b pasusu ovog tuta) i klik na Open Database. Kada smo dospeli
u Open Database prozoru, mozemo uraditi sledece dve stvari:
- Da bismo kreirali novu Analysis bazu podataka, u polje File Name upisemo
naziv nove baze podataka i idemo na Open i onda Import Template prozoru
selektujemo timplejt i kliknemo na Open.
- Da bismo otvorili postojecu Analysis bazu podataka, kliknucemo na Analyse
Computer Now i prihvatiti defaultni log fajl ili odrediti novi.
Na taj nacin ce Security Configuration and Analysis uporediti trenutnu
sigurnost racunara sa onom koja je dobijena kao rezultat analize baze podataka.
Ukoliko ste imporotvali veci broj sigurnosnih timplejtova u bazu podataka,
svi ce biti spojeni u jedan jedini timplejt. Ukoliko to izazove neki konflikt,
poslednji ucitani timplejt ima prednost (znaci prvi timplejt leti napolje,
poslednji ostaje). Nakon zavrsetka analize, izacice vam rezultati koji su
isti kao i kod sigurnosnih timplejtova. Razlika je u tome sto Security
Configuration and Analysis prikazuje sledece pokazatelje:
- Crveni X - Podesavanja su u bazi za analiziranje i kompu, ali te dve
verzije ne ne odgovaraju jedna drugoj.
- Zelena "kvachica" - Podesavanja su u u bazi za analiziranje i kompu
i jedna drugoj drugima odgovaraju.
- Znak pitanja - Podesavanje nije u bazi za analiziranje i nije analizirano.
To se desava verovatno zato sto korisnik nije imao dovoljni nivo dozvola
da izvrsi pokretanje Security Configuration and Analysis.
- Znak uzvika - Podesavanja su u bazi za analiziranje i kompu, ali ne i u
kompu. Redzistri kljuc se nalazi u bazi, ali ne i na kompu.
Bazu podataka mozemo apdejtovati klikom na dugme Edit Security i na taj nacin
apdejtujemo bazu podataka a ne i sam timplejt..
--------------------------------==<0x05b>==---------------------------------
Nakon sto smo napravili sigurnosni timplejt i analizirali ga, sada treba da
ga prihvatimo tj ucitamo u komp, a to radimo na sledeci nacin:
Desni klik na Security Configuration and Analysis i idemo na Open database.
u Open Database prozoru, mozemo uraditi sledece dve stvari:
- Da bismo kreirali novu bazu podataka, u polje File Name upisemo
naziv nove baze podataka i idemo na Open i onda Import Template prozoru
selektujemo timplejt i kliknemo na Open.
- Da bismo otvorili postojecu bazu podataka, uncemo naziv postojece baze
podataka u File Name polje i onda Open.
Na kraju idemo desni klik na Security Configuration and Analysis i idemo na
Configure Computer Now i onda prihvatimo defaultni log fajl ili odredimo novi.
Sve ovo je uglavnom primenljivo za pojedinacne kompove, ali ako zleimo da
radimo sa sigurnosnim timplejtovima na vecim mrezama, treba da koristimo
Group policy - kreiramo novi GPO i zatim ga editujemo. U GP editoru idemo
desni klik -> Security Settings -> Import Policy -> oznacite zeljeni timplejt
i Open.
--------------------------------==<0x05c>==---------------------------------
Zajedno sa SP2 windoza je pored odredjenih sigurnosnih zakrpa i aplikacija
dobila Security center i Firewall. A takodje je poprvalila i sledece bugove:
MS04-025 (867801) - Kumulativni Security Update za Internet Explorer
•
MS04-024 (839645) - Ranjivost u Windows Shell Moze Izazvati Remote Code
Izvrsenje
•
MS04-023 (840315) - Ranjivost u HTML Help Moze Izazvati Code Izvrsenje
•
MS04-022 (841873) - Ranjivost u Task Scheduler Moze Izazvati Code
Izvrsenje
•
MS04-018 (823353) - Kumulativni Security Update za Outlook Express
•
MS04-016 (839643) - Ranjivost u DirectPlay Moze Izazvati Denial of
Service
•
MS04-015 (840374) - Ranjivost u Help u Support Center Moze Izazvati
Remote Code Izvrsenje
•
MS04-014 (837001) - Ranjivost u the Microsoft Jet Database Engue
Moze Izazvati Code Izvrsenje
•
MS04-013 (837009) - Kumulativni Security Update za Outlook Express
•
MS04-012 (828741) - Kumulativni Update za Microsoft RPC/DCOM
•
MS04-011 (835732) - Security Update za Microsoft Windows
•
MS04-007 (828028) - ASN.1 Ranjivost Moze Izazvati Code Izvrsenje
•
MS04-004 (832894) - Kumulativni Security Update za Internet Explorer
•
MS04-003 (832483) - Buffer Overrun u MDAC Function Moze Izazvati Code
Izvrsenje
•
MS03-051 (813360) - Buffer Overrun u Microsoft FrontPage Server
Extensions Moze Izazvati Code Izvrsenje
•
MS03-049 (828749) - Buffer Overrun u the Workstation Service Moze
Izazvati Code Izvrsenje
•
MS03-048 (824145) - Kumulativni Security Update za Internet Explorer
•
MS03-045 (824141) - Buffer Overrun u the ListBox u u the ComboBox
Control Moze Izazvati Code Izvrsenje
•
MS03-044 (825119) - Buffer Overrun u Windows Help u Support Center
moze voditi do to Sistemskog greske
•
MS03-043 (828035) - Buffer Overrun u Messenger Service Moze Izazvati
Code Izvrsenje
•
MS03-041 (823182) - Ranjivost u Authenticode Verification Moze Dozvoliti
Remote Code Izvrsenje
•
MS03-040 (828750) - Kumulativni Patch za Internet Explorer
•
MS03-039 (824146) - Buffer Overrun u RPCSS Service Moze Izazvati Code
Izvrsenje
•
MS03-034 (824105) - Flaw u NetBIOS Voditi ka Razotkrivanju informacija
•
MS03-032 (822925) - Kumulativni Patch za Internet Explorer
•
MS03-030 (819696) - Neoznacen Buffer u DirectX Moze Omoguciti
Sistemski Kompromis
•
MS03-027 (821557) - Necekiran Buffer u Windows Shell Moze Omoguciti Sistemsku
grsku
•
MS03-026 (823980) - Buffer Overrun u RPC Uterface Moze Izazvati Code
Izvrsenje
•
MS03-024 (817606) - Buffer Overrun u Windows Voditi ka Propadanju Podataka
•
MS03-023 (823559) - Buffer Overrun u HTML Converter-u Moze Izazvati Code
Izvrsenje
•
MS03-021 (819639) - Flaw u Windows Media Player Moze Dozvoliti Pristup
Media Library
•
MS03-020 (818529) - Kumulativni Patch za Internet Explorer
•
MS03-018 (811114) - Kumulativni Patch za Internet Information Service
•
MS03-015 (813489) - Kumulativni Patch za Internet Explorer
•
MS03-014 (330994) - Kumulativni Patch za Outlook Express
•
MS03-013 (811493) - Buffer Overrun u Windows Kernel Message Hulug Moze
Dovesti do Podizanje Privilegija
•
MS03-010 (331953) - Flaw u RPC Endpout Mapper Moze Izazvati Denial of
Service Attacks
•
MS03-008 (814078) - Flaw u Windows Script Engue Moze Izazvati Code
Izvrsenje
•
MS03-007 (815021) - Neoznacen Buffer u Windows Component Moze Izazvati
Gresku u Serveru
•
MS03-005 (810577) - Microsoft Security Bulletin MS03-005
•
MS03-004 (810847) - Kumulativni Patch za Internet Explorer
•
MS03-001 (810833) - Neoznacen Buffer u Locator Service Voditi ka
Code Izvrsenju
•
MS02-072 (329390) - Neoznacen Buffer u Windows Shell Moze Omoguciti
sistemsku gresku
•
MS02-071 (328310) - Flaw u Windows WM_TIMER Message Hulug Moze Omoguciti
Podizanje Privilegija
•
MS02-070 (329170) - Flaw u SMB Signug Moze Omoguciti da Group Policy
bude Modifikovan
•
MS02-068 (324929) - Kumulativni Patch za Internet Explorer
•
MS02-066 (328970) - Kumulativni Patch za Internet Explorer
•
MS02-063 (329834) - Neoznacen Buffer u PPTP Implementation Moze Omoguciti
Denial of Service Attacks
•
MS02-062 (327696) - Kumulativni Patch za Internet Information Service
•
MS02-055 (323255) - Neoznacen Buffer u Windows Help Facility Moze Omoguciti
Code Izvrsenje
•
MS02-050 (Q329115) - Certificate Validation Flaw Moze Omoguciti Prevaru
Identiteta
--------------------------------==<0x05d>==---------------------------------
Security Centar je po meni zanimljivo zamisljen ali do mojega lose odradjen.
Na svakom kompu koji obradjuje, ja iskljucim odmah po instalu wina taj
Security Centar. Al da pomenem sta sve u sebi ima, onima koji ga drze na svom
kompu. On vrsi nadgledanje sledece tri win komponente: Windows Firewall,
Automatic Updates, Virus protection. Upozorava vas da izvrsite apdejt ukoliko
je update baza zastarela. Security centar mozete kontrolisati preko Active
Directory Group policy opcija. U redzistriju pronadjite sledeci path:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center i tu mozete izvrsiti
sledeca podesavanja
-----------------------------------------------------------------------------
| Naziv kljuca | Vrsta | Vrednost
-----------------------------------------------------------------------------
| AntiVirusDisableNotify | REG_DWORD | 0x00 - Disable AV alerts
| | | 0x01 - Prikazi AV alerts
-----------------------------------------------------------------------------
| AntiVirusOverride | REG_DWORD | 0x00 - WSC nadgleda AV
| | | 0x01 - WSC ne nagleda AV
-----------------------------------------------------------------------------
| FirewallDisableNotify | REG_DWORD | 0x00 - Disable FW alerts
| | | 0x01 - Prikazi FW alerts
------------------------------------------------------------------------
