Select the product you need help with
服務的判別存取控制清單撰寫者的最佳實務與指導文章編號: 914392 - 檢視此文章適用的產品。 在此頁中結論服務的判別存取控制清單 (DACL) 是工作站和伺服器安全性的重要元件。本「Microsoft 知識庫」文件將告訴您，如何解譯服務的 DACL。本文同時也提供服務 DACL 撰寫者在開發與評估程式的安全性時，可用的最佳實務指導。 簡介其他相關資訊如果要顯示服務的 DACL，請搭配使用 sc 命令和 sdshow 引數，如下列範例所示，其中 service_name 是您想要顯示的服務
DACL 的名稱： sc sdshow service_name 命令產生的結果類似如下： (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS) 這個 sc 命令的範例輸出，是以 Security Descriptor Definition Language (SDDL)
語法來顯示服務的安全性說明。如需有關 SDDL 語法的詳細資訊，請造訪下列 Microsoft 網站：http://msdn2.microsoft.com/en-us/library/aa379567.aspx 判斷服務的 DACL 是否易遭受攻擊時，可以檢視幾件事。下列表格說明如何閱讀 sc
命令的結果、如何解譯每個權限字串，以及如何對權限授予的對象解譯。
(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)
您可以使用下列機碼獨立評估括弧中包含的個別字元字串： (允許/拒絕;;權限的字串;;;內建帳戶或群組的 SID 或縮寫) 權限字串中每個成對的兩個字母都對應到特定的權限：摺疊此表格
請特別留意 ChangeConf (DC) 權限，當您在判斷服務是否容易遭受權限提高的攻擊時，請搜尋 ChangeConf 權限。這個權限可以讓被指派者變更服務設定，以包含在服務啟動時所執行的二進位檔案。您也應該特別留意 WDac (WD) 與 WOwn (WO) 權限，因為它們可用來將權限提高到 LocalSystem。請確定這些權限不會被授予給低權限的使用者。下列表格以 SDDL 語法，列出用來識別被授予權限的使用者類型的代碼。 摺疊此表格
如何解譯 SDDL 格式的 DACL 字串本資訊說明如何解譯本文開頭所列的範例 DACL 字串。這個解譯個別列出每個存取控制項目 (ACE)。
下列範例 DACL 不會將 ChangeConf 權限給予已驗證的使用者： (A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO) 在這個 DACL 中，只提供已驗證的使用者 (AU) 下列權限：
LocalSystem (SY) 群組擁有和進階使用者群組相同的權限，但是同時也擁有 Stop 與 Pause 的權限。這似乎是適當的設定。下兩個簡短存取控制項目 (ACE) 給予「本機服務帳戶」和「網路服務帳戶」將服務暫停的權限。這似乎也是適當的設定，因為「本機服務」與「網路服務」都是功能強大的本機帳戶。 然而，「網路設定操作員」(NO) 群組則擁有 ChangeConf 權限。「網路設定操作員」群組已新增至 Windows XP 中，這可以讓受信任的使用者在沒有完整的管理員權限下，變更網路設定。根據預設，「網路設定操作員」群組是空的。這個群組有時候用來提供網路設定權限給特定的使用者。例如，可攜式電腦的擁有者可能被給予這個權限。「網路設定操作員」群組中的使用者通常可以控制電腦本身。但是，這個群組的用意不是給予這些使用者完整的管理員權限。此，這個服務的 DACL 不應該將 ChangeConf 權限給予「網路設定操作員」群組。 最佳實務限制服務的 DACL 只給予那些需要特定存取類型的使用者。請特別留意下列權限。如果將這些權限授予給低權限的使用者或群組，這些權限可能被用來在電腦中將權限提高至 LocalSystem：
http://msdn2.microsoft.com/en-us/library/ms685981.aspx
(http://msdn2.microsoft.com/en-us/library/ms685981.aspx)
屬性文章編號: 914392 - 上次校閱: 2007年2月15日 - 版次: 1.4 這篇文章中的資訊適用於:
| 文章翻譯
 |
回此頁最上方
