정상적인 사용자가 PDC에 로칼 그룹 생성하기
게시일: 2002/01/04 | 글쓴이: doa | 3465 번 | 프린트 | 메일
정상적인 사용자는 PDC에 로칼 그룹을 생성할 수 있다. 이 기능으로 사용자들은 자신의 공유 자원을 훨씬 쉽게 접근하기위해 스스로 권한을 할당할 수 있게된다. Sales 관리자는 로칼 Sales 그룹을 생성하고 이 그룹내에 사용자와 전역 그룹을 둘 수 있다. 이 것을 하기위해
net localgroup groupname ["UserName1" "UserName2" "GlobalGroup1" ...]
/add /comment:"text" /domain
를 실행하면 된다. 추가적인 사용자나 그룹을 추가하기위해
net localgroup groupname "UserName3" "SalesDom\UserName4" "GlobalGroup2" /add /domain
을 수행한다. 사용자나 전역 그룹을 제거하기위해
net localgroup groupname "UserName2" "SalesDom\UserName4" /delete /domain
을 수행하고 로칼 그룹을 제거하기위해
net localgroup groupname /delete /domain
을 수행한다. 반복적인 제출에의해 공격받았다면 원하지않는 그룹을 수작업으로 제거한 후 KB 기사 Q140380를 사용해서 SAM을 압축할 수 있다. 3번째 방법과 Windows NT 4.0 리소스 킷 - 보충2의 RegBack와 RegRest를 사용하라.
사용자가 도메인에 로칼 그룹을 추가하는 권한을 사용않기위한 도구를 알아보기위해 Q169556를 검사한다.
groupmonitor를 이용해서 이러한 형태의 공격을 일시적(Microsoft가 적당한 픽스를 만들때까지)으로 막을 수 있다.
(