Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Администрирование » Windows системы
Страницы: Пред. 1 2 3
RSS
Как мониторить состояние текущих учетных записей?, Как можно отслеживать чтоб пользователь не присвоил себе права админа
 
#41
Это нравится:0Да/0Нет
23.09.2005 23:14:02
Цитата
запускать скопированный скрипт
Хм, если у мя перехват сис вызовов то толкуто...
 
 
 
#42
Это нравится:0Да/0Нет
23.09.2005 23:15:57
Цитата
Я приверженец мысли Ричарда Столлмана
А я Николса Вирта - "Долой жирный программы!!!" тобиш виндовс, линукс и многие другие ;-)
 
 
 
#43
Это нравится:0Да/0Нет
27.09.2005 22:08:07
А на поставленный человеком вопрос слабо ответить вместо многочисленного флуда и оффтопа? :?:

Может Вы нам рабочий пример написали?
Здравая критика была высказана лишь раз (да и то от невнимательности и неразвитости фантазии).

Цитата
Хм, если у мя перехват сис вызовов то толкуто...
а если я до этого САМ залочил человеку систему? закрыл БИОС и выставил загрузку итдитп так что Ты и не вставишь ни кейлогерров ни чего либо еще?
если я подготовил офигенный список программ и выставил всему остальному запрет?

По хорошему в такой сети без AD очень плохо будет!
 
 
 
#44
Это нравится:0Да/0Нет
28.09.2005 12:54:10
Цитата
крыл БИОС и выставил загрузку итдитп так что
если я сумел получить прова админа то значит перечислиные методы не помогли, а если помагли то значит у меня не прав админа. насчет АД не уврен а КД наверно надо.
 
 
 
#45
Это нравится:0Да/0Нет
28.09.2005 13:08:20
Цитата
LiLO пишет:
Там указано, что сервак сам будет коннектиться к клиентам, запускать скопированны

Ок. Мы скопировали на машину скрипт и запустили его удаленно. Скрипт должен сохранить события на сервере. ПОД КАКОЙ УЧЕТНОЙ ЗАПИСЬЮ ОН БУДЕТ ЭТО ДЕЛАТЬ?

ЗЫ. Зачем огород городить, если можно с сервера через wmi напрямую сливать события и писать их в базу.

Если лень писать скрипты, есть logparser клик.
 
 
 
#46
Это нравится:0Да/0Нет
28.09.2005 13:36:49
Цитата
LiLO пишет:
Может Вы нам рабочий пример написали?

Так я уже писал.
Включаешь “Remote Registry Service” и делаешь

logparser "SELECT
RESOLVE_SID(REPLACE_CHR(EXTRACT_TOKEN(Strings,4,'|'),'{}%','')) AS Group,
RESOLVE_SID(REPLACE_CHR(EXTRACT_TOKEN(Strings,1,'|'),'{}%','')) AS
NewMember, RESOLVE_SID(SID) AS AddedBy, TimeGenerated FROM  \\remoteMachin\Security  WHERE
EventID IN (660;632;636) ORDER BY NewMember, Group"

и получаешь

Код
Группа                              Новый член   Кем добавлен   Время генерации   
STO\EnterpriseAdmins   STO\fred   STO\ADMINISTRATOR   7/12/2004 11:21:24   
STO\HumanResources   STO\fred   STO\ADMINISTRATOR   7/12/2004 11:20:52   
STO\Accounting                       STO\jim    STO\ADMINISTRATOR   7/12/2004 11:21:03


А уж куда класть и как хранить смотри подробнее в logparser-е.
 
 
 
#47
Это нравится:0Да/0Нет
28.09.2005 16:38:44
а не проще вогнать компы в домен и раздать права в АД???
сервер -контроллер домена....у меня так ...и проблем никаких...
 
 
 
#48
Это нравится:0Да/0Нет
28.09.2005 16:43:52
Цитата
qwestor пишет:
А что нельзя АД завести
Цитата
Dem пишет:
Пока низзя.

2 Karmultuk

Ты топ читал?
 
 
 
#49
Это нравится:0Да/0Нет
28.09.2005 20:42:21
2ZOR: Хм. глянул сайт. Я лопухнулся! Признаю!
2offtopic:
Цитата
ПОД КАКОЙ УЧЕТНОЙ ЗАПИСЬЮ ОН БУДЕТ ЭТО ДЕЛАТЬ?
ok! мы запускаем на сервере psexec -u <targetmachine>\<localadministrator> -p <getsome> \\<targetmachine> -s -c -f -d <fullpathtoprog> <scriptparameters>

ex <fullpathtoprog> = c:\winnt\temp\myscript.cmd or c:\docume~1\<localadmin>\local settings\temp\myprog.exe etc.
-s = run remote process in SYSTEM account (it means SYSTEM!)
-c = copy programm and delete it after job
-f = copy forced
-d = dont wait for process to terminate

Как оповестить сервер, что работа выполнена - просто сделать обращение telnetом скажем на порт 666. Прочесть лог файрволла кто стукнулся и обратиться снова psexec'ом на клиент за инфой.

НО ЛУЧШЕ ПРИСЛУШАТЬСЯ ZORа!
так как его идея МНОГО лучше моей!
 
 
 
#50
Это нравится:0Да/0Нет
04.10.2005 13:43:17
ОК! Тогда вопрос по этому парсеру - так и должно быть - интерфейс командной строки? Он точно никак не оптимизируется? я так понял туда нужно типа SQL запросы писать?
 
 
 
Страницы: Пред. 1 2 3
Читают тему