Printable View
[QUOTE=oie71;212783]А как прописать права на Mountpoints2 через политику - ключики то лежат в ветке карентюзер и политикой их достать не получается :(
на все новые профиля можно через Default. А на уже существующие как?[/QUOTE]
HKEY_USERS - там настройки пользователей хранятся. Кроме Default другие разделы ещё посмотрите.
Об какой политике речь?
о политике домена под 2003 сервером.
у меня больше 100 машин - вручную заколебаюсь ходить по реестрам...
тоесть, я спрашивал, как прописать права на HKEY_USERS/бла-бла/бла-бла... через политику 2003 домена
или, может кто знает как из батника прописать права на ветку/ключ реестра - тогда можна будет засунуть батник в политику "OnLogon" и все юзеры на автомате получат права (вернее отрубят себе права :) ) при входе в систему.
[QUOTE=oie71;212844]о политике домена под 2003 сервером.
у меня больше 100 машин - вручную заколебаюсь ходить по реестрам...
тоесть, я спрашивал, как прописать права на HKEY_USERS/бла-бла/бла-бла... через политику 2003 домена
или, может кто знает как из батника прописать права на ветку/ключ реестра - тогда можна будет засунуть батник в политику "OnLogon" и все юзеры на автомате получат права (вернее отрубят себе права :) ) при входе в систему.[/QUOTE]
Скажите что за ключ вам сменить нужно батник написать можно. Боюсь что к каждого пользователя уникальный HKEY_USERS\S-1-5-20 и т.д. ключи.
Cacls - можно настроить доступ к файлам
reg - работа с ключами реестра
Настройка доступа к ключам реестра как делается через bat файлы мне неизвестно... хотя можно попробовать Secedit применить нужный шаблон к ПК
да я все о том-же :) - о autorun...
хочу автоматом УБРАТЬ (задать) права на
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
и все подветки через политики 2003 домена или через батник
[quote=oie71;212896]да я все о том-же :) - о autorun...
хочу автоматом УБРАТЬ (задать) права на
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
и все подветки через политики 2003 домена или через батник[/quote]
Знаете, автоматом для всех я не стал бы это делать. Я заметил, что не только explorer.exe туда обращается. Некоторые программы могут перестать работать нормально вплоть до вызова синнего экрана. Всё, чтобы эффективно отключить авторан описано здесь ([b]zerocorporated[/b] написал рег файл):
[url]http://virusinfo.info/showthread.php?t=20291[/url]
Если это всё вложить в батник, будет более, чем достаточно. :)
Paul
[quote=zerocorporated;212887]Настройка доступа к ключам реестра как делается через bat файлы мне неизвестно...[/quote]
SetACL.exe ([url]http://SetACL.sf.net[/url])
Я это читал.
батник давно уже в политике.
получается, что п.5 , все-таки, не рекомендуется?
А как насчёт autorun.vbs? - если использовать только батник такого содержания (см. ниже) - они будут подгружатся автоматом или нет?
[code]
REGEDIT4
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
"NoDriveAutoRun"=dword:000000ff
"NoFolderOptions"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000
[/code]
@oie71 Тексты вставляй через [CODE], они правильнее читаться будут.
@[b]oie71[/b]
[code][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\AutoplayHandlers\CancelAutopla y\Files]
"*.*"=""[/code]
указывает на то, что ни одного из указанных там файлов не должен автозапускаться. ('*.* = 'любой' - здесь 'никакой').
Paul
надеюсь эта авторановская зараза отстанет.
Спасибо.
[quote=oie71;213245]надеюсь эта авторановская зараза отстанет.[/quote]
Я тоже надеюсь, но не забудьте, что поведение пользователей всё равно всё определяет - скоро будут известны эти меры по всей России, и что-нибудь придумают против этого - это же Windows. ;)
Paul
У меня Симантек корп 10 - иногда пропускает гад...
Посему все эти батнички , все-таки, пользу приносят.
[quote=oie71;213326]Посему все эти батнички , все-таки, пользу приносят.[/quote]
Конечно, как же без них? Для безопасности надо сначала ОС и сетевые приложения настроить, и только потом поставить себе 'защиту'... :)
Paul
Защищаем сами носители. Утилита [URL="http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe"]Flash Drive Disinfector[/URL] создает каталоги с именем autorun.inf на дисках (не забудьте подключить флешки и др. съемные носители) - не удаляейте эти каталоги (в тех же целях вручную создавать файлы autorun.inf не рекомендуется, по непроверенным данным появились зловреды, которые переписывают файл autorun.inf)
[QUOTE=Pili;213333]Защищаем сами носители. Утилита [URL="http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe"]Flash Drive Disinfector[/URL] создает каталоги с именем autorun.inf на дисках (не забудьте подключить флешки и др. съемные носители) - не удаляейте эти каталоги (в тех же целях вручную создавать файлы autorun.inf не рекомендуется, по непроверенным данным появились зловреды, которые переписывают файл autorun.inf)[/QUOTE]
А в чем защита заключается?
zerocorporated, на вашу флешку, если вы подсоедините её к зараженному компьютру (например у знакомых), не запишутся зловреды типа autorun.inf, соответственно такая флешка не заразит другие системы.
[QUOTE=Pili;213411]zerocorporated, на вашу флешку, если вы подсоедините её к зараженному компьютру (например у знакомых), не запишутся зловреды типа autorun.inf, соответственно такая флешка не заразит другие системы.[/QUOTE]
Ну, у меня по любому не запишутся - зашита от записи аппаратная есть :)
Честно сказать не понял что зловреду файл autorun.inf записать помешает? то что он получив список файлов в папке увидит папку с именем autorun.inf и все? Нужно поэкспериментировать...
zerocorporated, я не про вашу конкретно систему, ваша система (и флешка тоже) может и защищена, а фотоаппарат, а сотовый? А у других?
Попробуйте создать каталог, а потом файл с тем же именем, сразу поймете фокус ) Утилита делает чуть лучше, ставит атрибуты и в каталог кладет файл "lpt3.This folder was created by Flash_Disinfector"
[QUOTE=Pili;213427]zerocorporated, я не про вашу конкретно систему, ваша система (и флешка тоже) может и защищена, а фотоаппарат, а сотовый? А у других?
Попробуйте создать каталог, а потом файл с тем же именем, сразу поймете фокус ) Утилита делает чуть лучше, ставит атрибуты и в каталог кладет файл "lpt3.This folder was created by Flash_Disinfector"[/QUOTE]
:) Оригинально
Возможно встреваю не по теме. Но я таким образом пытался бороться с вирусом, удалял autorun.inf, создавал свой - всё равно он удалялся (причём даже если окошко с редактированием кода файла открыто) и вирус прописывал свой. То есть правило, о недоступе к файлу, который открыт и который имеет такое же имя легко обходится вирусом. Хотя я так экспериментировал на жёстких дисках, в флешках по-другому?
[quote=Surifon;213636] Но я таким образом пытался бороться с вирусом, удалял autorun.inf, создавал свой - всё равно он удалялся (причём даже если окошко с редактированием кода файла открыто) и вирус прописывал свой. То есть правило, о недоступе к файлу, который открыт и который имеет такое же имя легко обходится вирусом. Хотя я так экспериментировал на жёстких дисках, в флешках по-другому?[/quote]
Меры по предотвращению авторана можно только принимать на [i]здоровой[/i] ОС.
К Flash_Disinfector'у скептически отношусь - думаю, что метод срабатывает против [i]хороших, добрых[/i] программ, но что зловред научится его обходить если других мер не предпринимать, которые ранее обсудились...
Paul
Нашел интересную утилиту, программа отключает автозапуск USB устройств, анализирует файлы, которые были предназначены для автовыполнения и блокирует потенциально опасные операции [url]http://virusinfo.info/showthread.php?p=213697#post213697[/url]
День добрый!
По поводу Flash_Desinfector и иже с ним.
Раньше я использовал похожую но свою защиту:
1. Флешка конвертируется в NTFS (это если отформатирована в FAT/FAT32).
2. На ней создается файл autorun.inf с содержимым:
[code][autorun]
Icon=[I]имя_иконки[/I].ico
Label=[I]имя_флешки[/I][/code]
3. На этот файл устанавливаются атрибуты RHSA.
4. Так же на нее скидывается иконка и на нее устанавливаются такие же атрибуты.
5. Для файла autorun.exe в "Безопасности" для всех запрещаются следующие опции:
Создание файлов/запись данных
Создание папок/дозапись данных
Запись атрибутов
Запись дополнительных атрибуьов
Удаление
Смена разрешений
Смена владельца
Это проделывал под учеткой администратора домена. В результате, снять защиту с записи мог только администратор конкретного домена в конкретном домене. Ибо именно он оказывался прописанным во владельцах. На других машинках домена и в других доменах это не проходило (не должно было, во всяком случае).
Вроде бы все работало нормально. Но, может быть, просто не привелось использовать ее на зараженной машинке. Кроме того, при вставке флешки, она появлялась со своей иконкой и именем. А понты, как известно, дороже денег. Ну и для понтов же такую же шнягу на хардах проделал.
Но вот прочитал про Дезинфектор и решил его испробывать.
Скачал, запустил ... Никакого эффекта. Ну я понял, что мешают мои аутораны на дисках. Удалил с одного. Запустил снова. На нем появилась директория autorun.inf с файлом "lpt3.This folder was created by Flash_Disinfector", у которого сняты практически все возможные разрешения. Таким образом я не могу удалить этот файл и эту папку.
Посему, два вопроса:
1. Как по вашему, насколько была эффективна применяемая мною защита?
2. Как теперь удалить эту папку? Хочу понтов, а она их не дает сделать.
[quote=GrAnd;247000]Это проделывал под учеткой администратора домена. В результате, снять защиту с записи мог только администратор конкретного домена в конкретном домене. Ибо именно он оказывался прописанным во владельцах. На других машинках домена и в других доменах это не проходило (не должно было, во всяком случае).
1. Как по вашему, насколько была эффективна применяемая мною защита?[/quote]Чушь. У любого локального администратора есть неотъемлемое право стать владельцем объекта, а у владельца есть неотъемлемое право менять атрибуты.
[quote=Vinni;247020]Чушь. У любого локального администратора есть неотъемлемое право стать владельцем объекта, а у владельца есть неотъемлемое право менять атрибуты.[/quote]
И действительно чушь ... Не учел этого я что-то.
Зашел под локальным админом и за три приема удалил этот файл.
А у системы есть право менять владельца и/или рзрешения?
Если так, то троян, захвативший систему и действующий от ее имени, может превосходно этим воспользоваться. Так получается?
Впрочем, защита предлагаемая Дезинфектором, тоже, как оказалось, легко снимается.
В CLI зашел в папочку autorun.inf и дал команду "DEL *.*". Или еще по короткому имени удалить можно (а по длинному почему-то не хочет, наверное из-за имени "устройства" lpt3). С другими вариантами удаления не экспериментировал - надоело.
После чего папочка превосходно удалилась.
Так что, защита Дезинфектора такая же туфтень, как и моя, даже туфтовее. А моя хотя бы понты тюнинговые на флешки/диски навешивает.
[QUOTE=GrAnd;247114]
А у системы есть право менять владельца и/или рзрешения?
Если так, то троян, захвативший систему и действующий от ее имени, может превосходно этим воспользоваться. Так получается?
[/QUOTE]
У системы есть такие права на сколько мне известно.
[QUOTE]А у системы есть право менять владельца и/или рзрешения?[/QUOTE]
да есть и как не обидно, даже больше чем у админа>:(
например у
system
.есть права запуска процессов от имени пользователя (про рунас ненапоминать, это просто оболочка для сервиса ;))
."ходить" на стол "Winlogon"
и т.д.
чего нет ни у одного пользователя
Я думаю если нельзя избавиться от авторанов на уровне системы, тогда почему не попробывать пойти программным путем. Вот нашел правда еще не тестировал хочется услышать ваше мнение по поводу этих программ.
StopAutorun 1.31 ссылка: [url]http://soft.oszone.net/program/5319/StopAutorun/[/url] эта программа Freeware и еще одна но уже Shareware
1st Disk Drive Protector 3.0 ссылка: [url]http://soft.oszone.net/program/5268/1st_Disk_Drive_Protector/[/url]
[QUOTE=acid;261159]Я думаю если нельзя избавиться от авторанов на уровне системы[/QUOTE]
[url]http://virusinfo.info/showthread.php?t=20291[/url]
Хотел узнать а сколько всего разделов MountPoints2 в реестре, я нашел 3. HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
HKEY_USERS\S-1-5-21-1547161642-436374069-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
Удалил и перегрузил комп и уже чистые разделы занес для мониторинга Касперу при этом запретив изменения и удаления в разделах а как на счет чтения тоже запретить?
[QUOTE=acid;261387] а как на счет чтения тоже запретить?[/QUOTE]
Нет, ни в коем случае!
Paul
это все здорово а как избавиться(запретить изменения) авторана не устройств а именно системы?
тот что загружаются при запуске ОС?
[quote=evilone_;261465]как избавиться(запретить изменения) авторана ... системы?[/quote]В OS семейство Windows NT есть такая замечательна вещь как "Разграничение прав доступа” (permisisons). Можно поставить запрет на изменение (добавление), в местах автоматического запуска программ (Registry, User Startup, All Users Startup).
Конечно, если пользователь работает с правами “Ограниченного Пользователя”, то данные запреты будут на много эффективней, нежели, если пользователь все делает с правами Администратора.
[QUOTE=Firza;261489] "Разграничение прав доступа” (permisisons). Можно поставить запрет на изменение (добавление), в местах автоматического запуска программ (Registry, User Startup, All Users Startup).
[/QUOTE] О, а если можно подробнее где именно настраивается эти параметры? работа по администратором (ХР СП2)
пасиб
[QUOTE=evilone_;261494]О, а если можно подробнее где именно настраивается эти параметры? работа по администратором (ХР СП2)
пасиб[/QUOTE]
Если локальные диски у вас отформатированы под файловую систему NTFS то у каждого объекта (Файлы, папки) есть права доступа. Их можно изменять если [B]снять[/B] галочку в свойствах папки "Использовать простой и общий доступ к файлам". Потом в свойствах папки появиться вклад "Безопасность". В ней можно настроить права доступа.
В реестре тоже можно настраивать права. В стандартной программе regedit можно правой кнопкой нажать на нужном нам ключе и зайти во вкладку "Разрешения"
P.S: Хочется ещё добавить что нужно знать что вы делаете. Изменив неправильно права доступа вы можете навредить системе.
Нашел и четвертый MountPoints2 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, тож загнал в Каспера. Воткнул флешку потом картридер и они создали два пустых раздела в HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume без ключей внутри, которые при перезагрузки пропадают.
Прочел все возможные посты в интернете. Неужели так и придется решать проблему через тернии к звездам (типа, отключением автозапуска, использованием альтернативного метода открытия файлов, всё ручками, а проблемы от того, что ты чайник и не догоняешь, что другого решения нет). Флешка была заражена. AVZ не помог, KIS 2009 удалил 2 файла , но проблему не решил, BitDefender не видит. Cureit (от доктора) нашел (autorun.inf I:\Win32.HLLW.Autoruner.2489, удален). Вроде, без проблем сейчас …
так автозапуск дисков отключается любым твикером зачем мудрить?
TuneUp Utilities 2008:
[img]http://img508.imageshack.us/img508/5540/07312008142234ji6.jpg[/img]
лучше скажите на какие ветки и какие права ставить чтобы запретить программам прописывать себя в автозагрузку?
[QUOTE=evilone_;261817]так автозапуск дисков отключается любым твикером зачем мудрить?[/quote]
Обходится раз-два-три, [b]evilone_[/b]. В этом как раз прикол. :)
[QUOTE=evilone_;261817]лучше скажите на какие ветки и какие права ставить чтобы запретить программам прописывать себя в автозагрузку?[/QUOTE]
Любой достойный анти-вирус/HIPS может следить за этим если вы это задаёте в настройках...
И чтобы более подробно отвечать на ваш вопрос: в старых добрых временах всё ограничивалось до следующих способов:
[url]http://www.oszone.ru/3338/[/url]
Естественно можно запретить запись туда.
Но увы, сейчас мне лично известны уже примерно 60 способов (не могу их привести по определённым соображениям), и я нахожу всё новые и новые...
Paul
Мне всё время казалось, что компьютер должен облегчать и ускорять, в какой-то мере упрощать, экономить время. Решение любой проблемы зависит от того, насколько правильно определена первопричина. Лечить надо причину, а не следствия. Как я понимаю, дальше будет хуже (я о проблеме заражения вирусом съемных носителей информации). Фотоаппараты, мр3 плееры, флешки, всё это используется в разных условиях и не только с проверенными источниками или техникой.