如果攻击者知道只包含在“用户”组中的用户的用户名/密码，那么他能远程滥用Windows 2008服务器吗？

Question

有一个Windows2008服务器，其中有一个具有已知密码的本地用户帐户--让它成为用户“虚拟”和密码"dummy1“。本地用户只属于“用户”组。

攻击者无法对服务器进行本地访问。

如果攻击者知道该本地用户的用户名和密码，他能远程滥用服务器吗？

Answer 1

是。

“坏事发生”的路径是使用该帐户来利用远程侦听未经修补的任何服务，然后可能使用另一种类型的攻击来提升到admin。现在他们拥有了管理，如果有任何服务或进程运行在具有域管理或其他提升权限的框上，他们可以获得该帐户的密码，然后他们拥有您的网络。

因此，第一条规则是限制它们可以访问的端口/服务，然后确保每个月都对系统进行全面修补，包括应用程序。

Answer 2

如果攻击者在任何系统上都有用户名和密码，则与不知道此类详细信息的攻击者相比，他们成功攻击该服务器的可能性增加。这没有什么神秘的:即使他们不能直接使用受损的凭证，更多的信息总是比更少的信息更好。

有些系统的配置方式可能比其他系统更安全(或更不安全)，特定用户可能拥有特定的特权，这取决于其创建的原因，使得在某些情况下风险更高或更低；如果用户与数据库、web应用程序或其他服务器应用程序相连接，那么至少可以使用它来窃取信息，这可以说是一个更大的问题，而不仅仅是为了系统而为系统“生根”，而不做其他事情。

这并不是真正的操作系统特定；无论讨论的操作系统是什么，我都会将上面的注释保持原样。

Answer 3

如果用户在系统上拥有终端服务登录权限(或者如果它是域帐户，域上的任何其他系统)，那么攻击者可以对服务器做他喜欢的任何事情，就像他是在键盘上登录一样，直到该帐户的安全信用限制。

然而，我们已经看到了许多未修补的服务和应用程序的例子，它们在以特定方式攻击时会导致权限的提高(如SQL注入、缓冲区溢出等等)。

系统上的每个帐户都是一个漏洞，因此，您应该始终警惕用户有多少访问权限、更改密码的频率、密码的强度以及允许他们登录的方式和内容。我的政策很简单，“在他们需要的时候给他们所需要的，而不给其他任何东西。”如果这意味着在非工作时间禁用帐户，或者在人们休假时锁定帐户，或者关闭终端访问，直到有人说“我需要登录这个系统”.所以就这样吧。

我宁愿被合法的要求所困扰，也不愿因为黑客的问题而在晚上熬夜。