Карта сайта Хакер в RSS Энциклопедия Хакера PDA версия сайта Почтовые рассылки Хакера    Хакер в Twitter Хакер в ВКонтакте Приложение Хакер для Facebook Хакер на Formspring.me
Журнал Новости Форум Видео Life Xakep Live (блоги)
Bugtrack Статьи Блог Поиск English
Взлом как образ мысли Взлом как образ мысли
Интервью с человеком, который, как оказалось, является не только талантливым пентестером в одной из крупных ИБ-компании, но и хакером-ветераном, который уверенными шагами вышел на свет и прикоснулся к истории российской хак-сцены....
Полный гид по накрутке онлайн-голосований Полный гид по накрутке онлайн-голосований
Конкурсы с голосованием привлекают большое количество посетителей, а трафик, как известно, — это деньги. Особый интерес вызывают конкурсы, где за победу предлагаются лакомые призы....

История пропавшего автозапуска

Bookmark and Share

Одной из особенностей Windows Vista является технология ReadyBoost, система кэширования позволяющая ускорить работу с дисками за счет использования флеш-накопителей в качестве дискового кэша. Я объяснял работу ReadyBoost в одной из своих статей, основная идея состоит в том, что флэш-память имеет существенно меньшие задержки случайного доступа нежели диски - ReadyBoost перехватывает обращения к дискам и перенаправляет запросы случайного доступа на кэш в случае если в нем хранятся необходимые данные, но последовательные запросы обращаются непосредственно к диску. В ходе моих презентаций я вставлял USB-накопитель и показывал слушателям диалог Автозапуска где появилась опция конфигурирования устройства как ReadyBoost кэша:

Во время моего первого доклада демонстрация прошла без сучка и задоринки, но в последующих попытках я не получал диалога автозапуска. В качестве временной меры мне пришлось вручную открывать свойства накопителя в проводнике и показывать опцию "Speed up my system" в диалоге автозапуска.

В последний раз я читал доклад в Барселоне на TechEd/ITforum в Ноябре и перед сессией у меня было достаточно времени - я решил разобраться почему же автозапуск не работает. В первую очередь я проверил настройки автозапуска в Панели управления. Некоторые опции были выставлены в "Ask me every time" что не должно было влиять на запуск, но и после восстановления их определений в значения по умолчанию автозапуск не появился:

Теперь мне уже надо было лезть внутрь настроек реестра и действий файловой системы для того что бы понять почему Explorer не понимает настроек Панели управления по автозапуску. Я запустил Process Monitor,  сконфигурировал его на слежение за действиями Проводника при обращении к реестру и снова попытался вставить свою флэшку. После чего я остановил перехват и перешел к данным, которые собрал Process Monitor...

Прямой просмотр выданных 22000 событий означал бы затрату многих часов, но и очевидных ошибок, которые бы стоило искать, тоже не наблюдалось, так что я задумался о некоторых ключевых словах которые бы привели меня к правильной строчке. Сначала я попробовал "autoplay", но ничего не нашел. Я знал, что Проводник ищет файл Autorun.inf в корне съемного диска, в нем могут быть указания на иконку или исполняемый файл который следует запустить при двойном клике на диске, так что следующим шагом я стал искать "autorun". Первая найденная запись похоже была мне не интересна, так как ссылалась на метку монтирования тома, информацию которую Windows генерит каждый раз когда видит новый диск:

Следующие же найденные строки была чуть ниже и все обращались к настройкам групповой политики:

Запросы к первым двум значениям выдали ошибки NAME NOT FOUND, что означало что политики не заданы, а вот запрос к HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun оказался удачным. Process Monitor показал какое значение получил Проводник из реестра по этому ключу:

Я не знал как интерпретировать число 255, так что я полез в Сеть в поисках "nodrivetypeautorun" и обнаружил, что это битовая маска определяет у каких типов устройств выключен Автозапуск. Значение 255 (0xFF) отключает Автозапуск для всех устройств!

Я использовал функцию Process Monitor для запуска Regedit и перехода непосредственно к ключу, открытому в программе, и изменил значение на 0, что включало Автозапуск для всех устройств. Дальше следовало протестировать изменения и я вытащил и тут же вставил обратно флэшку - к моему удовольствию нужный мне диалог появился. Обратите внимание, что на моей Windows Vista автозапуск не означает автоматического старта Autorun.inf, а лишь предоставляет мне выбор действий по открытию накопителя, так что никакой угрозы безопасности не возникает.

Дело было почти закрыто, но оставалась еще одна деталь. Автозапуск был выключен через настройки Групповой политики при подключении к домену Microsoft. Это объясняло то, что в первые разы автозапуск все-таки работал - мои первые показы были еще до того, как я присоединился к Microsoft. Это так же означало и то, что в следующий мой логин в домен значение в реестре снова вернется к прежнему значению, что снова сломает мой автозапуск.

Можно было исключить систему из домена или никогда не соединяться с ним. Однако, так как у меня были привилегии локального администратора, я понял что могу избежать изменений Групповой политики в отношении этого ключа реестра просто установив нужные мне права на него. Установка политик происходит под аккаунтом Local System, так что я просто открыл Regedit и убрал возможность записи для Local System:

Теперь я был уверен, что мои демонстрации будут работать. Дело было закрыто.

Источник: http://blogs.technet.com/markrussinovich/default.aspx

Читай так же:

История зависшего гаджета

История пропавшей DLL

История неудавшегося сжатия

Windows Defender: история одного торможения

Сам себе Руссинович



Теги: Windows Vista , администрирование





СВЯЗАННЫЕ СТАТЬИ
История пропавшего автозапуска
СЛЕДУЮЩИЕ СТАТЬИ
Умная стратегия обновления позволит сохранить исправность системы
10 наиболее важных Open Source проектов 2011
Oracle оставляет базы данных уязвимыми
IPv6: время действовать
Раз заплатка, два заплатка: зачем нужны бинарные патчи, и как ими пользоваться
Прав достаточно: 8 приемов для обхода групповых политик в домене
Windows 7 PORTABLE: делаем загрузочную флешку с "семеркой" на борту
Суперкомпьютер из видеокарты: задействуем возможности GPU для ускорения софта
SELinux: бронежилет для корпоративного пингвина
Генеральный директор Red Hat: "Я не имею ни малейшего понятия, что дальше"
ПРЕДЫДУЩИЕ СТАТЬИ
Атакуем кучу в xBSD: техника переполнения кучи в Free/Net/OpenBSD
Строим телефонную сеть: Asterisk - самый популярный сервер IP-телефонии
Страж файлового дерева: развертываем распределенную файловую систему DFS
Останься легальным: как лицензировать Windows №2
Операция по освобождению: борьба с утечками ресурсов в реальном времени
Наперегонки со временем: уменьшаем время отклика приложений в Linux
Останься легальным: как лицензировать Windows
История зависшего гаджета
Windows 2008: обзор новой серверной ОС от Microsoft
Лучшие WebOS
ОБСУЖДЕНИЕ СТАТЬИ
Логин:
Пароль:
Если у вас есть форумный логин - вы можете использовать его, иначе анонимный гостевой доступ.

Для оставления комментария вы можете зарегистрироваться по упрощенной процедуре.

Обсуждение этой статьи на forum.xakep.ru
Для отправки сообщения введите код, указанный на картинке
Сообщение

UserГость
28.02.2008 8:40:04
Ответить Ссылка
Интересно. ЗачОт!
UserГость
28.02.2008 9:04:40
Ответить Ссылка
Да, Марк молодец, есть всегда интересное что рассказать :)
UserГость
28.02.2008 13:02:41
Ответить Ссылка
и правильно что отключил, хотя...
да вендовцы, включайте авторан, будет больше вирусов... :)))
UserГость
28.02.2008 17:19:04
Ответить Ссылка
херня!!! уже читал подобное
UserГость
29.02.2008 8:53:13
Ответить Ссылка
Статья из разряда, куда же пропал мой ярлычек :)
UserГость
29.02.2008 11:18:46
Ответить Ссылка
такого бы автора в журнал а не на сайт, эээх..
UserГость
01.03.2008 13:21:50
Ответить Ссылка
семь бед - один ответ: gpedit.msc. и не надо 3-х страниц с картинками.
UserГость
21.02.2010 2:22:06
Ответить Ссылка
Спасибо ОГРОМНОЕ. Отлично написано.
UserГость
30.09.2010 12:00:29
Ответить Ссылка
Огромное Вам спасибо за статью и за ликвидацию безграмотности.




Keywords: zPOSTz zOSz, zINFOz z42535z
Для Авторов: edit Lock delete Lock



    Rambler's Top100