सिस्टम शटडाउन एनटी अथॉरिटी सिस्टम के कारण होता है। उपयोगकर्ता स्तर के साथ नीचे: विंडोज के किसी भी संस्करण में NT AUTHORITYSYSTEM के लिए विशेषाधिकार बढ़ाना

ध्यान!!! ध्यान!!! ध्यान!!!
खतरनाक कीड़ा!!!

लक्षण:नेटवर्क पर काम करते समय, अचानक एक संदेश आता है जो आपको सूचित करता है कि डेटा सहेजने वाले सभी प्रोग्राम को बंद करना आवश्यक है क्योंकि... 60 सेकंड के बाद. एक रिबूट घटित होगा.

निदान:नेटवर्क वर्म w32.ब्लास्टर.वॉर्म 16 जुलाई को RPC DCOM सेवा में पाई गई एक भेद्यता का फायदा उठाता है, जो सभी में मौजूद है। ऑपरेटिंग सिस्टम विंडोज़ परिवार 2000, विंडोज एक्सपी और विंडोज 2003। यह भेद्यता एक बफर ओवरफ्लो है, जो कि आक्रमण किए गए कंप्यूटर के पोर्ट 135, 139 या 445 पर पहुंचने वाले उचित रूप से तैयार किए गए टीसीपी/आईपी पैकेट के कारण होता है। यह, कम से कम, DoS हमले को अंजाम देने की अनुमति देता है (DoS का अर्थ है "सेवा से इनकार", या "सेवा से इनकार", इस मामले में, हमला किए गए कंप्यूटर को रिबूट किया जाता है), और, अधिकतम, किसी भी कोड को निष्पादित करने के लिए आक्रमण किये गये कम्प्यूटर की स्मृति में। जब नया वर्म फैलता है, तो यह पोर्ट 135 पर हमला करता है और सफल होने पर, TFTP.exe प्रोग्राम लॉन्च करता है, जिसका उपयोग करके यह अपनी निष्पादन योग्य फ़ाइल को हमलावर कंप्यूटर पर डाउनलोड करता है। इस स्थिति में, उपयोगकर्ता को RPC सेवा को रोकने और फिर रीबूट करने के बारे में एक संदेश दिया जाता है। रीबूट के बाद, वर्म स्वचालित रूप से प्रारंभ हो जाता है और खुले पोर्ट 135 वाले कंप्यूटरों के लिए कंप्यूटर से पहुंच योग्य नेटवर्क को स्कैन करना शुरू कर देता है। यदि कोई पता चलता है, तो कीड़ा हमला शुरू कर देता है, और सब कुछ फिर से दोहराता है। इसके अलावा, इस समय प्रसार की दर को देखते हुए, कृमि जल्द ही एंटीवायरस कंपनियों की सूची में पहला स्थान ले लेगा।

दवा:कृमि से खुद को बचाने के तीन तरीके हैं। सबसे पहले, माइक्रोसॉफ्ट बुलेटिन में विंडोज के सभी कमजोर संस्करणों के लिए पैच के लिंक शामिल हैं जो आरपीसी दोष को बंद करते हैं (ये पैच 16 जुलाई को जारी किए गए थे, इसलिए जो लोग नियमित रूप से अपने सिस्टम को अपडेट करते हैं उन्हें चिंता नहीं करनी चाहिए)। दूसरे, यदि पोर्ट 135 को फ़ायरवॉल द्वारा बंद कर दिया गया है, तो वर्म कंप्यूटर में प्रवेश नहीं कर पाएगा। तीसरा, DCOM को अक्षम करना अंतिम उपाय के रूप में मदद करता है (यह प्रक्रिया Microsoft बुलेटिन में विस्तार से वर्णित है)। इस प्रकार, यदि आप पर अभी तक किसी कृमि ने हमला नहीं किया है, तो यह दृढ़तापूर्वक अनुशंसा की जाती है कि जितनी जल्दी हो सके अपने ओएस के लिए माइक्रोसॉफ्ट सर्वर से एक पैच डाउनलोड करें (उदाहरण के लिए, विंडोज अपडेट सेवाओं का उपयोग करें), या पोर्ट 135, 139 को ब्लॉक करने को कॉन्फ़िगर करें। और फ़ायरवॉल में 445. यदि आपका कंप्यूटर पहले से ही संक्रमित है (और RPC त्रुटि संदेश की उपस्थिति का स्पष्ट रूप से मतलब है कि यह संक्रमित है), तो आपको DCOM को बंद करना होगा (अन्यथा प्रत्येक बाद के हमले के कारण रिबूट होगा), फिर पैच को डाउनलोड और इंस्टॉल करें। वर्म को नष्ट करने के लिए, आपको रजिस्ट्री कुंजी HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run से "windows auto update"='msblast.exe' प्रविष्टि को हटाना होगा, फिर फ़ाइल msblast.exe को ढूंढें और मिटाएं - यह है कृमि का शरीर. आप सिमेंटेक वेबसाइट पर कृमि हटाने की प्रक्रिया के बारे में अधिक पढ़ सकते हैं।

फिलहाल, सभी एंटीवायरस कृमि का पता नहीं लगाते हैं; आप केवल अपडेट जारी होने के बाद ही उनसे सुरक्षा की आशा कर सकते हैं।

यदि आपको अभी तक ऐसा कोई संदेश नहीं मिला है, तो अंकल बिल से पैच डाउनलोड करें:

यहां एनटी 4.0 और 2000, 2003 सर्वर के लिए दवा के लिंक दिए गए हैं

मामला प्रेस में जाने से कुछ ही दिन पहले, मेटास्प्लोइट ने अधिग्रहण कर लिया
एक ताज़ा मॉड्यूल जिसके बारे में हम आपको बताए बिना नहीं रह सकते। करने के लिए धन्यवाद
नए गेटसिस्टम कमांड के साथ, समझौता किए गए सिस्टम पर जाना अब संभव है
उपयोगकर्ता स्तर से रिंग0 तक, एनटी प्राधिकरण\सिस्टम अधिकार प्राप्त करना! और यह - किसी में
विंडोज़ के संस्करण.

19 जनवरी 2010 को, 0-दिवसीय भेद्यता सार्वजनिक हो गई, जिससे अनुमति मिल गई
किसी भी समय विशेषाधिकारों का उन्नयन विंडोज़ संस्करण, एनटी 3.1 से शुरू होकर, जारी किया गया
1993 में, और नए फैशन वाले "सात" के साथ समाप्त हुआ। हैकर टैविस द्वारा शोषण-db.com पर
ऑरमैंडी ने KiTrap0d शोषण के दोनों स्रोतों और संकलित संस्करण को प्रकाशित किया
बाइनरी, उपयोग के लिए तैयार। कोई भी मूल शोषण का प्रयास कर सकता है
इच्छुक। ऐसा करने के लिए, आपको बस संग्रह से vdmexploit.dll और vdmallowed.exe निकालने की आवश्यकता है,
किसी तरह इसे पीड़ित मशीन में स्थानांतरित करें, और वहां exe फ़ाइल चलाएं। में
परिणाम, चाहे कोई भी उपयोगकर्ता खाता हो
लॉन्च, सिस्टम उपयोगकर्ता विशेषाधिकारों, यानी एनटी के साथ एक कंसोल दिखाई देगा
प्राधिकार\प्रणाली. जाँच करने के लिए, आप अपनी मशीन पर स्प्लोइट चला सकते हैं,
पहले एक नियमित उपयोगकर्ता के रूप में सिस्टम में लॉग इन किया था। लॉन्च के बाद
स्प्लोइट अधिकतम विशेषाधिकारों के साथ एक नई cmd.exe विंडो खोलेगा।

यह क्या देता है? ऐसी स्थिति की कल्पना करें जहां शोषण कुछ एप्लिकेशन के माध्यम से टूट जाता है और
पर एक खोल मिलता है रिमोट कंप्यूटर. इसे इंटरनेट के लिए एक रैली बिंदु बनने दें
एक्सप्लोरर - इस मामले में, हमलावर के पास अधिकारों के साथ सिस्टम तक पहुंच होगी
वह उपयोगकर्ता जिसके खाते के अंतर्गत ब्राउज़र लॉन्च किया गया था। मैं बहस नहीं करता, बहुत
अक्सर यह व्यवस्थापक अधिकारों वाला एक खाता होगा (उपयोगकर्ता गलती पर है), लेकिन
अगर नहीं? यह वह जगह है जहां आप अपने विशेषाधिकार बढ़ाने के लिए KiTrap0d का उपयोग कर सकते हैं
एनटी प्राधिकरण\सिस्टम के लिए! इसके अलावा, वे उपयोगकर्ता भी जो समूह के सदस्य हैं
व्यवस्थापक, सिस्टम के कुछ क्षेत्रों तक नहीं पहुँच सकता, उदाहरण के लिए,
उपयोगकर्ता पासवर्ड हैश पढ़ना (इस पर अधिक जानकारी नीचे दी गई है)। और एनटी सिस्टम खाता -
शायद! इन सबके साथ, लेख के प्रकाशन के समय एक भी पैच नहीं था
Microsoft ने भेद्यता के लिए कोई समाधान जारी नहीं किया है.

ऑपरेशन सिस्टम अधिग्रहण

हम कार्रवाई में मूल कारनामे का प्रदर्शन नहीं करेंगे, क्योंकि 25
जनवरी में मेटास्प्लोइट में एक नई स्क्रिप्ट जोड़ी गई, जिसकी बदौलत आप इसका उपयोग कर सकते हैं
KiTrap0d और भी अधिक सुविधाजनक हो गया है। प्रारंभ में मॉड्यूल डेटाबेस में शामिल विकल्प था
अस्थिर और हमेशा काम नहीं करता था, लेकिन सभी त्रुटियाँ सामने आने से पहले आधा दिन भी नहीं बीता
सफाया कर दिया। अब मॉड्यूल अन्य सभी अपडेट के साथ डाउनलोड हो गया है,
इसलिए इंस्टॉल करने के लिए, बस "मेटास्प्लोइट अपडेट" मेनू आइटम का चयन करें।
अब, रिमोट सिस्टम तक पहुंच होने पर, आप "रन किट्रैप0d" टाइप कर सकते हैं और ला सकते हैं
कार्रवाई में जुटेंगे. “लेकिन चूंकि शराब पीने का इतना चलन है, तो आइए इस मामले पर अमल करें
एक विशेष टीम,'' परिणामस्वरूप मेटास्प्लोइट डेवलपर्स ने सोचा
यह एक अद्भुत "उन्नत विशेषाधिकार" कमांड है, जिसके माध्यम से पहुँचा जा सकता है
मीटरप्रेटर एक्सटेंशन - हम वास्तव में इसे पसंद करते हैं :)।

इसलिए, हमारे पास रिमोट सिस्टम तक पहुंच है (उदाहरण उदाहरण)।
ऑपरेशन "ऑपरेशन ऑरोरा" लेख में दिया गया है और हम कंसोल में हैं
मेटास्प्लोइट। आइए देखें कि हम अधिकारों के साथ कैसा प्रदर्शन कर रहे हैं:

मीटरप्रेटर > गेटुइड

हाँ, नियमित उपयोगकर्ता. शायद वह भी समूह का हिस्सा है
प्रशासक, लेकिन इससे हमें कोई फर्क नहीं पड़ता। हम उस मॉड्यूल को कनेक्ट करते हैं जिसमें इसे लागू किया गया है
जिस गेटसिस्टम कमांड में हम रुचि रखते हैं, उसे प्रदर्शित करके जांचें कि यह लोड हुआ है या नहीं
सहायता स्क्रीन:

मीटरप्रेटर > प्राइवेट का उपयोग करें
एक्सटेंशन निजी लोड हो रहा है...सफलता।
मीटरप्रेटर > गेटसिस्टम -एच
उपयोग: गेटसिस्टम
अपने विशेषाधिकार को स्थानीय प्रणाली के विशेषाधिकार तक बढ़ाने का प्रयास करें।
विकल्प:

एच सहायता बैनर.
-टी उपयोग करने की तकनीक. (डिफ़ॉल्ट "0").
0: सभी तकनीकें उपलब्ध हैं
1: सेवा - नामित पाइप प्रतिरूपण (मेमोरी/एडमिन में)
2: सेवा - नामित पाइप प्रतिरूपण (ड्रॉपर/एडमिन)
3: सेवा - टोकन दोहराव (मेमोरी/एडमिन में)
4: शोषण - KiTrap0D (मेमोरी/उपयोगकर्ता में)

जैसा कि आप देख सकते हैं, KiTrap0D मर्ज कमांड की कार्यक्षमता का केवल एक हिस्सा लागू करता है।
यदि आप किसी ऐसे उपयोगकर्ता के साथ शेल हथियाने में कामयाब रहे जिसके पास पहले से ही अधिकार हैं
व्यवस्थापक, फिर NT AUTHORITY\SYSTEM स्तर तक बढ़ाने के लिए आप इसका उपयोग कर सकते हैं
तीन अन्य तकनीकें (-t कुंजी आपको वह चुनने की अनुमति देती है जिसकी आपको आवश्यकता है)। वैसे भी, निर्दिष्ट किए बिना
कोई पैरामीटर नहीं, हम मेटास्प्लोइट को बताएंगे कि वह क्या उपयोग कर सकता है
कोई भी दृष्टिकोण. इसमें KiTrap0D भी शामिल है, जो हमारे विशेषाधिकारों को स्तर तक बढ़ा देगा
"सिस्टम", चाहे वर्तमान में हमारे पास कोई भी अधिकार हो।

मीटरप्रेटर > गेटसिस्टम
...सिस्टम मिल गया (तकनीक 4 के माध्यम से)।

हाँ, हमें विशेषाधिकारों के सफल उन्नयन और एक हमले के बारे में एक संदेश प्राप्त हुआ
यह KiTrap0D था जिसका उपयोग किया गया था - जाहिर तौर पर इसकी प्राथमिकता है। क्या हम सच में
सिस्टम में गुलाब? आइए अपना वर्तमान यूआईडी (उपयोगकर्ता पहचानकर्ता) जांचें:

मीटरप्रेटर > गेटुइड

खाओ! मेटास्प्लोइट कंसोल और NT AUTHORITY\SYSTEM अधिकारों में केवल एक कमांड
हम आपकी जेब में. इसके अलावा, आम तौर पर कहें तो, कुछ भी संभव है। मैं तुम्हें याद दिला दूं, एक भी नहीं
पत्रिका के प्रकाशित होने के समय माइक्रोसॉफ्ट की ओर से कोई पैच नहीं था।

डंपिंग पासवर्ड

चूंकि आपके पास पहले से ही सिस्टम खाते तक पहुंच है, इसलिए आपको इसे इससे निकालना होगा
कुछ काम की चीज़। मेटास्प्लोइट के पास एक अद्भुत हैशडंप कमांड है -
सुप्रसिद्ध pwdump उपयोगिता का अधिक उन्नत संस्करण। इसके अलावा, आखिरी में
मेटास्प्लोइट के संस्करण में उपयोग की जाने वाली स्क्रिप्ट का एक संशोधित संस्करण शामिल है
LANMAN/NTLM हैश निकालने के लिए एक आधुनिक सिद्धांत और अभी तक इसका पता नहीं लगाया गया है
एंटीवायरस. लेकिन बात वह नहीं है. यह महत्वपूर्ण है कि हैशडंप कमांड को निष्पादित किया जाए
एनटी प्राधिकरण\सिस्टम अधिकार आवश्यक हैं। अन्यथा प्रोग्राम एक त्रुटि उत्पन्न करेगा
"[-] priv_passwd_get_sam_hashes: ऑपरेशन विफल: 87"। ऐसा इसलिए होता है क्योंकि
उपयोगकर्ता पासवर्ड के LANMAN/NTLM हैश विशेष रजिस्ट्री शाखाओं में संग्रहीत किए जाते हैं
HKEY_LOCAL_MACHINE\SAM और HKEY_LOCAL_MACHINE\SECURITY, जिन तक पहुंच भी नहीं है
प्रशासक. उन्हें केवल सिस्टम खाता विशेषाधिकारों के साथ ही पढ़ा जा सकता है।
सामान्यतया, शोषण का उपयोग करें और फिर हैशडंप कमांड का उपयोग करें
रजिस्ट्री से स्थानीय रूप से हैश निकालना बिल्कुल भी आवश्यक नहीं है। लेकिन अगर ऐसा है
अवसर तो है, क्यों नहीं?

मीटरप्रेटर > गेटुइड
सर्वर उपयोगकर्ता नाम: NT AUTHORITY\SYSTEM

मीटरप्रेटर > हैशडम्प चलाएँ
[*] बूट कुंजी प्राप्त करना...
[*] SYSKEY 3ed7 का उपयोग करके hboot कुंजी की गणना करना[...]
[*] उपयोगकर्ता सूची और कुंजियाँ प्राप्त की जा रही हैं...
[*] उपयोगकर्ता कुंजियों को डिक्रिप्ट किया जा रहा है...
[*] पासवर्ड हैश को डंप किया जा रहा है...

प्रशासक:500:aad3b435b51404eeaad3b435b51404ee:...
अतिथि:501:aad3b435b51404eeaad3b435b51404ee:...
सहायता सहायक:1000:ce909bd50f46021bf4aa40680422f646:...

हैश प्राप्त हो गए हैं. जो कुछ बचता है वह उन्हें किसी क्रूर जबरदस्ती करने वाले को खिलाना है, उदाहरण के लिए,
l0phtक्रैक.

मैं अपने विशेषाधिकार कैसे वापस पा सकता हूँ?

एक हास्यास्पद स्थिति तब उत्पन्न हुई जब मैंने अधिकारों को सामान्य स्थिति में लाने का प्रयास किया
उपयोगकर्ता वापस. मुझे जो rev2self कमांड मिला वह काम नहीं कर रहा है और मैं अभी भी काम नहीं कर रहा हूँ
"NT AUTHORITY\SYSTEM" बना रहा: जाहिर है, इसे तीन के साथ काम करने के लिए डिज़ाइन किया गया है
गेटसिस्टम में लागू अन्य दृष्टिकोण। यह वापस लौटने के लिए निकला
विशेषाधिकार, उस उपयोगकर्ता द्वारा शुरू की गई प्रक्रिया के टोकन को "चोरी" करना आवश्यक है,
जिसकी हमें जरूरत है. इसलिए, हम सभी प्रक्रियाओं को ps कमांड के साथ प्रदर्शित करते हैं और उनमें से चयन करते हैं
उपयुक्त:

मीटरप्रेटर > पी.एस
प्रक्रिया सूची
============
पीआईडी ​​नाम आर्क उपयोगकर्ता पथ
--- ---- ---- ---- ----
0
4 सिस्टम x86 एनटी प्राधिकरण\सिस्टम
370 smss.exe x86 NT AUTHORITY\SYSTEM\SystemRoot\System32\smss.exe
...
1558 explorer.exe x86 WINXPSP3\user C:\WINDOWS\Explorer.EXE
...

जैसा कि हम देख सकते हैं, explorer.exe सामान्य उपयोगकर्ता के अंतर्गत ही लॉन्च किया गया है
खाता है और उसका PID=1560 है। अब, वास्तव में, आप इसका उपयोग करके "टोकन चुरा सकते हैं"।
कमांड स्टील_टोकन। पीआईडी ​​को एकमात्र पैरामीटर के रूप में इसे पास किया जाता है
आवश्यक प्रक्रिया:

मीटरप्रेटर > स्टील_टोकन 1558
उपयोगकर्ता नाम के साथ चोरी हुआ टोकन: WINXPSP3\user
मीटरप्रेटर > गेटुइड
सर्वर उपयोक्तानाम: WINXPSP3\user

"सर्वर उपयोगकर्ता नाम" फ़ील्ड को देखते हुए, ऑपरेशन सफल रहा।

यह काम किस प्रकार करता है?

अंत में, यह उस भेद्यता की प्रकृति के बारे में बात करने लायक है जिसके कारण यह उभरी
स्प्लोइट. सुरक्षा उल्लंघन सिस्टम प्रोसेसर में त्रुटि के कारण होता है
#GP व्यवधान (जिसे nt!KiTrap कहा जाता है)। इसकी वजह कर्नेल विशेषाधिकार हैं
हो सकता है मनमाना कोड. ऐसा इसलिए होता है क्योंकि system
32-बिट x86 प्लेटफ़ॉर्म पर होने पर कुछ BIOS कॉलों की ग़लत जाँच करता है
एक 16-बिट एप्लिकेशन चल रहा है. भेद्यता का फायदा उठाने के लिए, शोषण पैदा होता है
16-बिट एप्लिकेशन (%windir%\twunk_16.exe), कुछ में हेरफेर करता है
सिस्टम संरचनाएं और प्रारंभ करने के लिए NtVdmControl() फ़ंक्शन को कॉल करता है
विंडोज़ वर्चुअल डॉस मशीन (उर्फ एनटीवीडीएम सबसिस्टम), जो पिछले के परिणामस्वरूप है
हेरफेर से #GP सिस्टम इंटरप्ट हैंडलर को कॉल किया जाता है और
जब शोषण शुरू हो जाता है. वैसे, यह एकमात्र सीमा की ओर ले जाता है
शोषण जो केवल 32-बिट सिस्टम पर काम करता है। 64-बिट में
ऑपरेटिंग सिस्टम में 16-बिट एप्लिकेशन चलाने के लिए कोई एमुलेटर नहीं होता है।

रेडीमेड कारनामे वाली जानकारी सार्वजनिक रूप से उपलब्ध क्यों हो गई? उपलब्धता के बारे में
शोषण के लेखक ने पिछले साल की शुरुआत में माइक्रोसॉफ्ट को भेद्यता के बारे में सूचित किया था
यहां तक ​​कि इस बात की भी पुष्टि हो गई कि उनकी रिपोर्ट विचारार्थ स्वीकार कर ली गई है। केवल गाड़ी
और अब वहाँ. एक साल तक कंपनी की ओर से कोई आधिकारिक पैच नहीं आया, और लेखक ने निर्णय लिया
जानकारी सार्वजनिक रूप से प्रकाशित करें, उम्मीद है कि चीजें तेजी से आगे बढ़ेंगी। चलो देखते हैं,
क्या पत्रिका की बिक्री के समय तक पैच उपलब्ध होगा :)?

अपने आप को शोषण से कैसे बचाएं?

चूँकि भेद्यता को हल करने के लिए अभी तक कोई पूर्ण अद्यतन नहीं है,
आपको वर्कअराउंड का उपयोग करना होगा. सबसे विश्वसनीय विकल्प है
MSDOS और WOWEXEC सबसिस्टम को अक्षम करें, जो तुरंत शोषण से वंचित कर देगा
कार्यक्षमता, क्योंकि यह अब NtVdmControl() फ़ंक्शन को कॉल करने में सक्षम नहीं होगा
एनटीवीडीएम प्रणाली शुरू करने के लिए। विंडोज़ के पुराने संस्करणों में यह इसके माध्यम से किया जाता है
वह रजिस्ट्री जिसमें आपको HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW शाखा ढूंढनी होगी
और इसके नाम के साथ कुछ चिन्ह जोड़ें। आधुनिक ओएस के लिए
आपको 16-बिट एप्लिकेशन चलाने पर प्रतिबंध लगाने की आवश्यकता है
समूह नीतियां. ऐसा करने के लिए, GPEDIT.MSC पर कॉल करें, फिर अनुभाग पर जाएँ
"उपयोगकर्ता कॉन्फ़िगरेशन/प्रशासनिक टेम्प्लेट/विंडोज़ घटक/संगतता
एप्लिकेशन" और विकल्प सक्रिय करें "16-बिट तक पहुंच प्रतिबंधित करें
अनुप्रयोग"।

वाह!

शोषण के लेखक की ओर से भेद्यता का विवरण:

http://archives.neohabsis.com/archives/fulldisclosure/2010-01/0346.html

माइक्रोसॉफ्ट से समाधान:

http://support.microsoft.com/kb/979682

चेतावनी

जानकारी शैक्षिक उद्देश्यों के लिए प्रस्तुत की गई है। इसमें इसका उपयोग करना
अवैध उद्देश्यों के लिए आपराधिक दायित्व हो सकता है।

हाल ही में, अधिक सटीक रूप से एक सप्ताह पहले, मैंने एक कीड़ा पकड़ लिया था, और मेरे पूरे चाय निर्माण में ऐसा कभी नहीं हुआ था! रात का समय है - आप तकनीशियन को नहीं बुला सकते, और पैसा केवल कार्ड पर है - जेब में 200 रूबल हैं, मुझे कंप्यूटर की सख्त जरूरत है!

फ़ोन के माध्यम से मैं खोज इंजन में जाता हूँ और विषय शीर्षक में लिखा नाम टाइप करता हूँ - मेरी माँ, मुझे क्या पता चला - यह प्राणी 1993 से इंटरनेट पर रह रहा है, और Microsoft Corporation को इसके बारे में पता है, निर्माता ने उन्हें सूचित किया विशेष रूप से. आज, जब यह कीड़ा आपके कंप्यूटर में घुस जाता है, तो यह प्रशासकीय अधिकार प्राप्त कर लेता है और कोई भी चाल चलने में सक्षम हो जाता है।

कई दर्जन मंचों का पता लगाने के बाद, एक दिन में सैकड़ों युक्तियाँ पढ़ने के बाद, बिना यह जाने कि कैसे सोना है, मैं अपने सिस्टम की गहराई में चढ़ जाता हूँ और, काँपते हाथों से, दृढ़ता के साथ उन फ़ोल्डरों और फ़ाइलों को खोलना शुरू कर देता हूँ जिनके बारे में मैं पढ़ता हूँ एक भूखे भेड़िये का, मैं कारण ढूंढ रहा हूं, लेकिन... मैं इसके लिए बहुत अनुभवहीन हूं, फिर से, फोन के माध्यम से, मैं हमारी वेबसाइट पर जाता हूं और हमारे मॉडरेटर में से एक को लिखता हूं... समस्या बहुत पेचीदा है मुझे पीड़ा न देने के लिए, वह व्यक्ति मुझे सिस्टम को तोड़कर नया स्थापित करने की सलाह देता है, लेकिन मैंने स्वयं ऐसा कभी नहीं किया है! वह मुझे फोन पर बताता है (लंबी दूरी की कॉल पर कोई खर्च नहीं करना) इसे चरण दर चरण कैसे करना है, और मैं बैठकर इसे लिख लेता हूं। उसके बाद, वह परिणाम की प्रतीक्षा करता है, और मैं बैठता हूं और समझता हूं कि मुझे संचित जानकारी के लिए बहुत खेद है... और मैं निर्णय लेता हूं, अगर मैं इसे ध्वस्त कर दूं, तो मेरे पास हमेशा समय होगा, लेकिन अब मैं अपने दम पर लड़ूंगा अपना।

किसी भी मामले में, मुझे पता था कि हमारे गुरु मेरे बगल में थे और वे सलाह देंगे कि क्या करना है और कैसे करना है। इस बीच, अपने जोखिम और जोखिम पर, मैं निम्नलिखित कार्य करता हूं:

1) बैनर 60 सेकंड के बाद कंप्यूटर को रीबूट करने के लिए बंद कर देता है - इसका मतलब है कि इस समय को बढ़ाने की जरूरत है, और एक फोरम सदस्य की सलाह पर मैं मैं घड़ी को एक साल पीछे करने में कामयाब हो जाता हूं!

2) मैं पहले से ही शांति से और धीरे-धीरे AnvirTaskManager के माध्यम से संपूर्ण रजिस्ट्री और कार्यक्रमों को देख रहा हूं - वह एकमात्र व्यक्ति था जिसने उपस्थिति के बारे में पूछा था नया कार्यक्रम, लेकिन एक मूर्ख की तरह मैंने इसे गुजर जाने दिया।

3) वहां कुछ भी समझ में नहीं आ रहा है, मैं लॉन्च करता हूं पूर्ण स्कैन AVAST, पहले से ही सेटिंग्स में सभी एक्सटेंशन इंस्टॉल कर चुका है।

3.5 घंटे के बाद उसने मुझे 6 संक्रमित फ़ाइलें दीं - वे यहाँ हैं

Win32 मैलवेयर-जेन (2 टुकड़े)

फेकइंस्ट-टी (2पीसी)

मैं इन कीटों का इलाज करने की कोशिश किए बिना ही उन्हें हटा देता हूं।

4)फिर मैं रेवो यूनिस्टेलर पर जाता हूं और पिछले कुछ दिनों में मैंने जो कुछ भी इंस्टॉल किया था, उसे अनवीरटास्कमैनेजर और रेग ऑर्गनाइज़र के साथ हटा देता हूं।

5) मैं AVZ लोड करता हूं और इसे लॉन्च करता हूं।

और यहाँ एक समस्या उत्पन्न होती है - मेरी डिस्क दो C और N में विभाजित है। C को सामान्य रूप से स्कैन किया जाता है और कुछ भी नहीं मिलता है, जैसे ही यह N को स्कैन करना शुरू करता है, पूरा कंप्यूटर स्तब्ध हो जाता है। मैं रीबूट करता हूं - बैनर अब पॉप अप नहीं होता है और मैं शांत हो जाता हूं, इंटरनेट काम करता है, लेकिन मोज़िला नहीं खुलता है, मैं Google Chrome से गुजरता हूं।

मैं ऑन-लाइन मोड में एन की जांच करता हूं। विशुद्ध रूप से! मैं एन खोलता हूं, एक फ़ोल्डर चुनने का प्रयास करता हूं - कंप्यूटर फिर से फ्रीज हो जाता है! इसे खोलने के कई प्रयासों के बाद, मैंने इसे AVAST के साथ फिर से स्कैन किया और, कुछ भी नहीं मिलने पर, मैंने सब कुछ C में कॉपी करने का निर्णय लिया।

सी में कॉपी करने के बाद, मैं सभी एन साफ़ करता हूं और कॉपी में जाता हूं - सब कुछ काम करता है!!!

एक घंटे पहले मैंने मोज़िला डाउनलोड और अपडेट किया और अब मैं जीवन का आनंद ले रहा हूं। मैंने सब कुछ जांच लिया और अब मैं डॉ. डब्लू क्यूरेल्ट को अपडेट करूंगा और इसे रात भर लगाऊंगा - बस अपने विवेक को शांत करने के लिए! इसलिए ध्यान रखें, प्रिय साथियों, सब कुछ इतना डरावना नहीं है। अपने कंप्यूटर की सुरक्षा के लिए, संलग्न फ़ाइल में बताए अनुसार करें!!!

हमारे पीसी स्वस्थ रहें!!!

सभी पाठकों एलेक्सी को आदर सहित!

परियोजनाओं में से एक के हिस्से के रूप में, मुझे एक एप्लिकेशन को कॉन्फ़िगर करना था जिसे प्रदर्शन करना था बैकअपएक दूरस्थ एमएस एसक्यूएल सर्वर पर डेटाबेस से दूसरे सर्वर पर फ़ाइल भंडारण तक। उपयोग करने के लिए दूरस्थ भंडारणजिस खाते के अंतर्गत MS SQL चल रहा है उसका उपयोग किया जाता है। हमारे मामले में, MS SQL को एक स्थानीय खाते के अंतर्गत लॉन्च किया गया था नेटवर्क सेवा(एनटी प्राधिकरण\नेटवर्कसेवा)। स्वाभाविक रूप से, इस स्थानीय खाते का रिमोट शेयर पर कोई अधिकार नहीं है। बेशक, एमएस एसक्यूएल को एक डोमेन खाते (या) के तहत काम करने के लिए स्विच करना संभव था, लेकिन आप कॉन्फ़िगर कर सकते हैं दूरदराज का उपयोगशेयर करने के लिए और NT AUTHORITY\NetworkService के अंतर्गत।

नेटवर्क सेवा खाते के अंतर्गत अन्य कंप्यूटरों तक पहुंच की अनुमति कैसे दें

यदि आपको कई कंप्यूटरों तक पहुंच प्रदान करने की आवश्यकता है, तो सबसे आसान तरीका उन्हें एक समूह में संयोजित करना और समूह तक पहुंच प्रदान करना है। AD में एक नया समूह बनाएं और इसमें सभी कंप्यूटर खाते जोड़ें जिन्हें नेटवर्क सेवा अधिकारों के साथ नेटवर्क संसाधन तक पहुंच मिलनी चाहिए। फ़ोल्डर गुणों में, समूह को आवश्यक अनुमतियाँ प्रदान करें।

अन्य स्थानीय खातों के बारे में क्या?

के माध्यम से किसी संसाधन तक पहुंच प्रदान करते समय खाताकंप्यूटर, क्या अन्य सभी स्थानीय खातों तक पहुंच प्रदान की गई है? नहीं - पहुंच केवल खातों के लिए उपलब्ध होगी प्रणालीऔर नेटवर्क सेवा. किसी भी स्थानीय खाते को नेटवर्क संसाधन तक पहुंच की अनुमति देने की आवश्यकता है, उसे व्यक्तिगत रूप से पहुंच प्रदान करनी होगी।