|
|
|
 |
|
新浪科技：劉旭演示Vista高危漏洞 UAC或將形同虛設
|
|
來源： 2007-09-24 16:20:50
|
|
【eNet硅谷動力消息】1月22日，安全專家劉旭在北京演示了所謂的Vista重大安全漏洞，在即將上市的Vista正式版本中，為提高系統(tǒng)安全性，微軟引進了UAC（用戶帳戶控制）新技術，它依靠安全領域普遍遵循的“最小權限”原則，要求所有用戶以標準用戶模式運行。 雖然可以使用管理員帳戶登陸系統(tǒng)，但只是受控的管理員。除非明確行使管理員權限，否則用戶運行程序時，程序所得到的權限只相當一般用戶權限，不能對關鍵的系統(tǒng)設置進行修改，因此，即使惡意程序或病毒入侵，也不會對系統(tǒng)造成太大威脅。UAC就像在系統(tǒng)和惡意程序間建立的隔離保護墻，以提高系統(tǒng)安全性。 但據(jù)劉旭稱，Vista這套新機制的技術實現(xiàn)時，出現(xiàn)了重大安全隱患，存在可仿冒“訪問令牌”的漏洞。利用這個漏洞，當用戶以管理（administrator user）、一般用戶（standard user）甚至權限很低的訪客用戶（guest user）登陸系統(tǒng)時，惡意程序可通過偽造的訪問令牌替換系統(tǒng)生成的令牌，將用戶的權限自動提升為具有絕對控制權的超級管理員(full administrator user)權限，即不論什么類型的用戶，是本地登錄還是遠程登錄，都自動成為超級管理員，系統(tǒng)所運行的任何一個程序都自動具有了管理員權限，從而完全繞過了UAC，使UAC形同虛設。這時的Vista就同Windows XP一樣，用戶面臨了易遭受病毒、黑客攻擊的風險。 附： UAC(User Account Control : 用戶帳戶控制)是微軟為提高系統(tǒng)安全而在Windows Vista中引入的新技術，它要求所有用戶在標準賬號模式下運行程序和任務，阻止未認證的程序安裝，并阻止標準用戶進行不當?shù)南到y(tǒng)設置改變。 |
