[系統管理]如何自動登入Windows 作業系統

一般在Chris的工作環境中，我的電腦都會用密碼鎖住不讓別人開機進來亂用，不過如果在家裡你的電腦只有你一個人在用，或是老闆懶的每次開機後都還要先輸入密碼才可登入(時間就是金錢@@)。如果你希望讓電腦在一開機時自動幫你登入、直接進到桌面的話，那該怎麼做呢？

使用「登錄編輯程式」(Regedt32.exe) 啟用自動登入，請依照下列步驟執行：

按一下 [開始]，然後按一下 [執行]。在 [開啟] 方塊中，輸入 Regedt32.exe，然後按下 ENTER。

在登錄中找出下列子機碼：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

按兩下 [DefaultUserName] 項目，輸入您的使用者名稱，然後按一下 [確定]。

按兩下 [DefaultPassword] 項目，輸入您的密碼，然後按一下 [確定]。注意：如果 DefaultPassword 值不存在，您必須新增該值。如果要新增這個值，請依照下列步驟執行：

在 [編輯] 功能表上，按一下 [新增]，然後指向 [字串值]。

輸入 DefaultPassword，然後按 ENTER。

按兩下 [DefaultPassword]。

在 [編輯字串] 對話方塊中，輸入您的密碼，然後按一下 [確定]。

注意：如果沒有指定 DefaultPassword 字串，Windows 就會自動將 AutoAdminLogon 機碼的值從 1 (True) 變更為 0 (False)，以停用 AutoAdminLogon 功能。

在 [編輯] 功能表上，按一下 [新增]，然後指向 [字串值]。

輸入 AutoAdminLogon，然後按 ENTER。

按兩下 [AutoAdminLogon]。

在 [編輯字串] 對話方塊中，輸入 1，然後按一下 [確定]。

結束 [登錄編輯程式]。

按一下 [開始]，按一下 [關機]，然後在 [註解] 文字方塊中輸入原因。

按一下 [確定] 以關閉您的電腦。

重新啟動您的電腦。現在，您已經可以自動登入。

注意：如果要略過 AutoAdminLogon 程序，並以不同的使用者身份登入，請在登出或 Windows 重新啟動之後，按住 SHIFT 鍵。

重要：雖然自動登入功能很方便，但是，這個功能可能會帶來安全性風險。如果您設定一部電腦為自動登入，任何能夠實際接觸該電腦的人員就可以存取其中所有的內容，包括了任何網路或電腦所連接的網路。此外，啟用自動登入時，密碼會以純文字的方式儲存在登錄中。Authenticated Users 群組可以遠端讀取儲存這個值的特定登錄機碼。只有在電腦放置在安全的位置，並且您已經採取適當的步驟，確保不受信任的使用者無法從遠端存取登錄的情況下，才建議使用這個設定。

Read More

[資訊安全]FCKEditor攻擊手法說明與防護建議

前言

近年來發生多件起因為網站使用第三方元件而導致資安事件，其中又以FCKEditor所導致之資安事件最多，最有名的案例為2010年燦坤遭受之攻擊事件最為嚴重，造成個資外洩與網站被竄改等後果。由於第三方元件套件眾多，無法一一列舉，本文件將以FCKEidtor為例，簡述FCKEditor之攻擊原理，並對於自我檢查與防範此類攻擊提供建議，至於其它未提到之套件，建議客戶請程式開發廠商自行確認，謹守套件最小安裝原則，沒用到的元件不要安裝，若有檔案或帳號管理功能，務必做到存取控管或認證管理，以防止駭客利用Google Hacking收集資訊並進行後續攻擊。

FCKEditor簡介

FCKEditor（現已改版為CKEditor），為一網頁版之所見即所得編輯器，可在多數瀏覽器（Internet Explorer、Firefox、Safari、Chrome and Opera）上啟動類似Office Word的文件編輯環境，可進行線上文書編輯，廣為多種網站套件所使用。

FCKEditor除了強大的所見即所得網頁編輯器以外，為了提供更豐富的圖文體驗，也加入了檔案上傳的功能，方便使用者將圖片或Flash等檔案上傳至伺服器，豐富文件內容，不過資安問題也由此而生。單純的所見即所得編輯器是靠JavaScript運作於客戶端，弱點與臭蟲僅會影響於客戶端，資安風險較小；但是在加入了檔案上傳功能後，駭客就有機會將惡意檔案上傳於伺服器，並透過網頁伺服器的弱點加以執行。倘若駭客成功上傳並執行惡意程式，可能造成網站頁面遭受塗改、網頁掛馬、個資外洩、系統停止服務等後果，影響巨大。由於FCKEditor已經停止維護，建議停止使用，或升級為新版的CKEditor以確保弱點的修補。

正常之FCKEditor連線流程

駭客利用FCKEditor進行攻擊

相關新聞

原文網址: 燦坤資料外洩: IIS6漏洞加FCKeditor惹禍，Information Security 資安人科技網 http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=5790

FCKEditor可利用弱點

許多駭客會藉由網站的上傳功能將惡意程式上傳至網站，再加以執行以取得系統權限。這個兩個階段分別可以由以下步驟達成：

• 上傳階段：
   FCKEditor內建檔案上傳工具，並內建一測試頁面（fckeditor/editor/filemanager/connectors/test.html）提供管理者進行上傳測試之用，同樣駭客亦可利用該工具上傳惡意程式。由於上傳檔案本身的風險較大，FCKEditor本身預設是禁止使用者上傳檔案的，並且在fckeditor\editor\filemanager\connectors\aspx\ config.ascx（此路徑因伺服器而異）下設置了驗證用的Hook function。倘若管理者疏忽在未妥善驗證的情況下開放了檔案上傳功能，駭客即有機會將惡意程式上傳至伺服器。
• 執行階段：
  FCKEditor提供的檔案系統模組可以直接操縱檔案系統，進行如列出檔案列表、探查真實路徑、建立資料夾等行為 （fckeditor/editor /filemanager/browser/default/browser.html?typeall&connector=connectors/asp/connector.asp），駭客利用此弱點或手動找尋上傳之後門程式位址，並藉由網頁伺服器之弱點執行後門程式，如IIS6副檔名解析弱點可以無視副檔名執行任意檔案。

自我檢測

您可藉由以下方式發現貴單位網站上是否有使用FCKEditor：

1. 打開瀏覽器。
2. 前往www.google.com。
3. 搜尋「fckeditor site:單位FQDN」。
4. 若有發現則請廠商確認是否存在問題並修補。

建議處置

由於FCKEditor潛在操作上之安全漏洞，建議可依下列方法強化：

一、 FCKEditor移除或套件刪除

若網站已經沒有使用到FCKEditor功能，建議將FCKEditor全部移除；若需要使用到FCKEditor功能，但不需要使用檔案上傳功能，建議將檔案上傳功能之套件移除，檔案上傳功能移除方式如下：

• 移除目錄fckeditor\editor\filemanager
• 修改fckconfig.js以下設定為false
• • FCKConfig.LinkUpload
  • FCKConfig.ImageUpload
  • FCKConfig.FlashUpload
• 移除以下範例檔案
• • fckeditor\_samples
  • fckeditor\editor\filemanager\connectors\uploadtest.html
  • fckeditor\editor\filemanager\connectors\test.html 

• 移除fckeditor\editor\filemanager\connectors中不用的語言目錄。

二、 FCKEditor安全性補強

若需要使用到FCKEditor之所有功能，建議升級至最新版CKEditor，以避開舊版本之弱點。

並設定fckconfig.js以下參數限制上傳之副檔名。

• FCKConfig.LinkUploadAllowedExtensions
• FCKConfig.ImageUploadAllowedExtensions
• FCKConfig.FlashUploadAllowedExtensions 

若使用語言為asp.net，請修改fckeditor\editor\filemanager\ connectors\aspx\config.ascx中CheckAuthentication（）函數進行適當驗證，避免駭客未經驗證即可進行攻擊。

三、 IIS伺服器安全性強化

IIS伺服器建議將不需使用之執行副檔名移除，如asa、cer、cdx等，避免因疏於過濾遭駭客利用。

關閉上傳資料夾與靜態目錄之執行權限，若為IIS伺服器，請於IIS管理員中右擊該目錄選擇"屬性＂＞"目錄＂＞"執行權限＂，改為無即可。

網站目錄必須明確拒絕匿名登入帳號的寫入權限，包括 NETWORK SERVICE 與 IUSR_MachineName 兩個預設的群組，僅於特定上傳目錄開放。若上傳之檔案不須開放公開存取，最好儲存於網站根目錄之外。

四、 WAF防護設定

若網站已經沒有使用到FCKEditor功能，但已經沒人可以進行FCKEditor維護，可由WAF設定FCKEditor關鍵字來進行阻擋。

五、 限制搜尋引擎收集資訊

可於網站根目錄放置robots.txt來限制Google或Yahoo等搜尋引擎收集敏感資訊，如FCKEditor等重要目錄，設定方式可參考Microsoft等各大網站之設定或http://zh.wikipedia.org/wiki/Robots.txt

Read More

[資訊安全]如何避免或破解Netcut網路剪刀手(ARP Spoofing)造成的斷線情形

要破解使用Netcut造成的斷線問題，必須先了解Netcut的運作原理。由於Netcut使用的是ARP spoofing封包造成目標主機ARP table記錄錯誤來達成斷線目的，因此必須先由ARP協議開始說明。

在乙太網路上僅僅知道某台主機的IP address，並不能立即將封包傳送過去，必須先查明該主機的實體位址(Physical address / MAC address)才能真正發送出去，而ARP協議的功用就是在於將IP address轉換成實體位址。

網路上每一台主機都有一個ARP table，此table中記錄了最近一段時間裡其它IP address及其MAC address的對應關係。如果本機想跟某一台主機通信，則會先在ARP table中查尋對應目的主機IP address的MAC address，如果該對應記錄存在，則直接將目的主機的MAC address填入Data Link層的封包表頭中，然後將封包發送出去；如果該對應記錄不存在，則會向本網段廣播一個ARP請求封包，當目的主機聽見該請求封包後，會將本身的 MAC address填入封包並用廣播方式回送出去，本機收到此回應封包後，就會將相關訊息記錄在ARP table中，然後將目的主機的MAC address填入Data Link層的封包表頭裡。

由於ARP請求封包發送端只管接收回應訊息，卻無法分辨訊息的真偽，因此第三方主機只要建構一個ARP spoofing封包，就可以造成請求端的ARP table資訊錯誤。由於MAC address不正確，所以封包就再也無法傳送到目的主機上，這就是Netcut造成連線中斷的原因。

舉例來說，裝有Netcut的A主機向受害B主機發送假的ARP訊息，使得B主機上ARP table中對應到閘道器IP address的MAC address，更新成錯誤的MAC address。由於B主機上網必須透過閘道器傳送，閘道器的MAC address資訊錯誤，當然會造成B主機的封包再也無法傳送到閘道器上，原本建立好的連線也會因為timeout而導致斷線的情形發生。

知道Netcut的運作原理了，可是要怎樣才能預防或解決被Netcut斷線的問題呢？其實只要下達一個小小的指令就可以對Netcut完全免疫了~~方法很簡單，由於Netcut的工作原理是透過假造ARP封包，造成你主機上的ARP table記錄到錯誤的閘道器MAC address，藉此讓你的主機跟目地主機間的往來封包發生中斷，所以你只要將正確的對應位址設定成static記錄就可以避免狀況發生。

設定指令如下：

arp -s 閘道器IP address 閘道器MAC address

舉例來說，假設閘道器的IP address是192.168.88.254，打開命令提示字元，執行ping 192.168.88.254，只要ping得通就可以得到正確的閘道器MAC address。這時執行 arp -a 就可以查出192.168.88.254的對應MAC address(就是Physical Address)。例如192.168.88.254的MAC address是00-90-cc-4f-db-18，那麼只要執行 arp -s 192.168.88.254 00-90-cc-4f-db-18 就搞定了。

假如你的主機已經被斷線，這時該怎麼辦呢？很簡單，你只要借用同網段的其他主機查詢閘道器的MAC address，然後用上述方法將正確的對應資訊加入到你的主機上就行了。

注意：如果主機的閘道器IP address改變，MAC address通常也會跟著變動，這時只要下達 arp -d 就可以將原先設定的ARP table對應資訊清除掉。

網智數位-軟體開發（軟件開發） 
針對各特殊產業都可以量身定做符合貴公司的需求，別人無法克服的就是我們的挑戰  
業務合作、軟體委外開發  
業務窗口：allen@netqna.com  
聯繫電話：0920-883-870  
skype： netqna  
line：netqna  
微信：netqna  
黃先生 Allen

Read More