Каковы риски безопасности при запуске службы Windows как «Локальная система»?

Question

Я написал службу Windows .NET, которая работает как «Локальная система». Недавно я прочитал, что запуск локальной системы может предоставить хакерам учетные данные, позволяющие им захватить систему. Какие существуют риски и как их предотвратить, когда я запускаю службу в качестве локальной системы.

Answer 1

Службы, работающие как LocalSystem, являются частью доверенного пространства системы. Технически говоря, они имеют привилегию SeTcbName. Это означает, среди прочего , что такие службы могут изменять любые параметры безопасности, предоставлять им любые привилегии и в целом делать все, что может делать Windows.

В результате любой недостаток в вашем сервисе - неанизированный ввод, передаваемый системным функциям, неверные пути поиска dll, переполнения буфера и т. Д. - становится критической дырой в безопасности. Вот почему ни один системный администратор в корпоративной среде не разрешит установку вашей службы, если она работает под LocalSystem. Используйте учетные записи LocalService и NetworkService.

Answer 2

Я думаю, что главная проблема в том, что если кто-то обнаружит ошибку безопасности в вашем сервисе, которая позволяет ему получать доступ к системным ресурсам и / или выполнять код - он получает доступ / выполняет с правами локальной системы (которые аналогичны встроенным в администраторы) , Вопрос в том, уверены ли вы, что ваш сервис защищен от хакеров? : P

Answer 3

Для любой службы, которую вы запускаете, или, я полагаю, для любого приложения, вы должны иметь приложение, которое удаляет ненужные разрешения, чтобы уменьшить влияние хакеров.

Итак, если службе не нужно записывать в локальный каталог или удалять, удалите это разрешение.

Также вы можете посмотреть, нужен ли вам доступ к ключам реестра.

Существуют различные разрешения, которые вы можете удалить, чтобы ограничить наносимый урон.

Редактировать: Вы можете сделать поиск для S2. Службы Windows для получения дополнительной информации о рисках, связанных с локальной системой. http://www.sans.org/top20/