Цитата
ShaddyR:
Iska, а ты все сообщения подряд читаешь или по какому-то другому принципу?
2016 - RDP
Я читал. И не могу понять. Пакетные файлы мы ему разрешаем исполнять — ну, и смысл запрета тогда в чём был?
Цитата
ShaddyR:
пользователь может и не сунуться. А запущенное от его имени - вполне. Или ты свято веруешь в то, что все дыры по получению\смене привилегий под пользователем в серверных ОС давно заделаны? Оставлять дырку в заборе со словами "та тут никто обычно не ходит" - ну-ну.
2016 - RDP
Я свято верую в то, что либо мы используем существующую парадигму, либо меняем профессию. Дырки в заборе используют ошибки в существующем легальном программном обеспечении, в том числе и самой ОС, как, например, это было с обработчиком изображений в библиотеке WIA, как это было с обработчиком lnk-файлов, с обработчиком иконок и т.п. Понимаете? Не требовалось для этого ни пакетных файлов, ни скриптов, ни исполняемых файлов — достаточно было просто зайти в Проводнике в каталог с включённым отображением иконок, с включённым отображением превьюшек, просто попытаться запустить ярлык — и этого было достаточно.
Цитата
ShaddyR:
Большая часть вредоносов использует командную строку как таковую, а НЕ bat'ники.
2016 - RDP
Поясните. Мне таковые не попадались.
Цитата
ShaddyR:
Юзер может запускать только ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором.
2016 - RDP
Так описанная Вами политика никак не поможет отличить «ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором» от созданных пользователем. Она просто разрешает исполнение
любых пакетных файлов и запрещает открытие интерпретатора команд.
