Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Diensthärtung 173
Schreibeingeschränkte SIDs
Ein Dienst hat drei gültige SID-Typen:
Keine (None)
Uneingeschränkt (Unrestricted)
Eingeschränkt (Restricted)
Der SID-Typ None bedeutet, dass der Dienst keine dienstspezifische SID hat. Dieser Typ
kann für alte Dienste mit Anwendungskompatibilitätsproblemen verwendet werden. Der
SID-Typ Unrestricted bedeutet, dass der Dienst eine dienstspezifische SID hat, die für die
Zugriffssteuerung verwendet werden kann, und dass diese SID zum Dienstprozesstoken
hinzugefügt wurde. Der SID-Typ Restricted wird verwendet, um explizit eine weitere
Zugriffssteuerung für den Dienst zu erzwingen. Weitere Informationen zu eingeschränkten
Token finden Sie in Kapitel 3, »Objekte: Was Sie wollen«.
Wenn ein Dienst mit dem SID-Typ Restricted markiert ist, wird die eigene SID des Dienstes
zur Liste der eingeschränkten SIDs im Prozesstoken hinzugefügt, zusammen mit drei weiteren
SIDs:
Jeder-SID (S-1-1-0)
Logon SID (S-1-5-5-0-64163)
SCHREIBEN EINGESCHRÄNKT-SID (S-1-5-33)
Wenn ein Dienst versucht, in eine Ressource zu schreiben, er aber die SCHREIBEN EINGE-
SCHRÄNKT-SID in seinem Zugriffstoken hat, wird der Zugriff verhindert, sofern nicht der
Gruppe Jeder, der SCHREIBEN EINGESCHRÄNKT-SID oder einer der Dienst-SIDs explizit
die Schreibberechtigung zugewiesen wurde. Die meisten geschützten Objekte erlauben
diesen SIDs keine Schreibberechtigungen, daher werden die meisten Schreiboperationen
standardmäßig verhindert. Das soll verhindern, dass ein Angreifer, der es geschafft hat,
einen schreibeingeschränkten Dienst zu kompromittieren, trotzdem nur eingeschränkt und
kompliziert in Systembereiche schreiben kann (zum Beispiel System32).
Leider sind nur eine Handvoll von Diensten als schreibeingeschränkt markiert. Sie können
sich den SID-Typ eines Dienstes ansehen, indem Sie den Befehl sc mit dem Befehlszeilenargument
qsidtype aufrufen (Abbildung 6.14) oder den Process Explorer verwenden. Die
Syntax für sc lautet:
sc qsidtype [Dienstname]
Abbildung 6.14 Der Befehl sc qsidtype verrät den SID-Typ eines Dienstes