zabezpečení od Microsoftu Advisory: Zvýšení oprávnění pomocí obejití izolace služeb Windows

Podpora Windows Vista Service Pack 1 (SP1) končí 12. července 2011. Pokud chcete i nadále dostávat aktualizace zabezpečení pro Windows, ujistěte se, že používáte Windows Vista s aktualizací Service Pack 2 (SP2). Další informace naleznete na této webové stránce společnosti Microsoft: Podpora některých verzí systému Windows končí.

Společnost Microsoft vydala bezpečnostní zpravodaj společnosti Microsoft týkající se tohoto problému pro IT profesionály. Informační zpravodaj zabezpečení obsahuje další informace související se zabezpečením. Chcete-li zobrazit tento informační zpravodaj zabezpečení, navštivte následující web společnosti Microsoft:

http://www.microsoft.com/technet/security/advisory/2264072.mspx

ÚVOD

Funkce Windows Service Isolation popsaná v tomto informačním zpravodaji neopravuje chybu zabezpečení. Některým zákazníkům může pomoct funkce hloubkové ochrany. Izolace služby například umožňuje přístup ke konkrétním objektům bez nutnosti spustit účet s vysokými oprávněními nebo oslabit ochranu zabezpečení objektu. Pomocí položky řízení přístupu, která obsahuje identifikátor SID služby, může služba SQL Server omezit přístup ke svým prostředkům.

Chcete-li ručně nakonfigurovat identitu pracovního procesu (WPI) pro fondy aplikací ve službě IIS, postupujte takto.

Služba IIS 6.0

  1. Ve Správci služby IIS rozbalte položku Místní počítač, rozbalte položku Fondy aplikací, klikněte pravým tlačítkem myši na fond aplikací a pak vyberte příkaz Vlastnosti.
  2. Klikněte na kartu Identita a potom klikněte na Konfigurovatelné. Do textových polí Uživatelské jméno a Heslo zadejte uživatelské jméno a heslo účtu, pod kterým má být pracovní proces spuštěn.
  3. Přidá vybraný uživatelský účet do skupiny IIS_WPG.

Služba IIS 7.0 a novější verze

  1. Na příkazovém řádku se zvýšenými oprávněními otevřete následující složku:

    %kořenová_složka_systému%\system32\inetsrv
    Další informace o tom, jak spustit příkaz se zvýšenými oprávněními, naleznete na následující webové stránce společnosti Microsoft:

    http://windows.microsoft.com/en-US/windows7/Command-Prompt-frequently-asked-questions

  2. Zadejte APPCMD.exe příkazů a po každém z nich stiskněte klávesu ENTER:

    appcmd set config /section:applicationPools /
    [name='string'].processModel. identityType:SpecificUser /
    [name='string'].processModel. userName:string /
    [name='string'].processModel. heslo:řetězec
    Poznámka: Syntaxi příkazů je nutné upravit v závislosti na následujících skutečnostech:

    • řetězec je název fondu aplikací
    • userName je uživatelské jméno účtu, který je přiřazen k fondu aplikací
    • Heslo je heslo k účtu.

Další informace