[WinSER_02] NTFS 및 공유 (feat. ADMIN$, C$, D$, IPC$)

1. windows 파일시스템

 

- FAT: FAT12, FAT16, FAT32, exFAT

- NTFS

- ReFS

- OFS: NT 4.0의 구 계획인 카이로의 일부분으로 계획 폐기

- WinFS: 윈도우 비스타에서 선보일 예정이었으나 폐기

** 나무위키 참고**

 

[+] NTFS : FAT 시스템을 대체하기 위해 개발된 윈도우 파일 시스템

  - 사용자마다 다른 보안을 적용 가능

  - 파일/폴더의 개별적으로 권한을 설정가능(폴더 설정한 권한보다 파일에 설정한 권한 우선)

  - 시스템 폴더는 Administrators/Power Users 그룹만 수정 가능

  - 파일 단위로 계정이 언제 파일을 열어보거나, 열려다 실패했는지 알 수 있는 감사(Auditing) 기능이 있다.

  - 마스터 파일 테이블(MFT)은 각 파일 정보를 포함한 1KB 레코드이며 각 파일별로 1:1 대응한다.

  - 기본 보안 설정은 Everyone그룹에 대해 모든 권한 허용이다.

 

[+] 윈도우 파일 시스템 특징

**NTFS보다 FAT의 장점?? 다른 OS와 호환성이 좋고(MAC의 경우 인식이 되지 않음)

 

2. NTFS의 공유 폴더 권한 및 파일 권한

- Windows는 파일 및 폴더에 대한 액세스를 제한하기 위해 두 가지 권한인 NTFS 권한과 공유 권한 제공하는데 

   두 권한은 모두 파일 또는 폴더의 속성 창에서 할당할 수 있다.  

1) 공유 폴더 권한은 원격지에서 이 시스템의 접속해서 공유 폴더에 저장된 파일/폴더를 사용할 때 적용된다.
     =>설정은 해당 폴더의 속성 창에서 -> 고급 공유로 가서 -> 권한으로 가서 -> 공유 탭에서 설정

2) NTFS 권한은 NTFS 파일 시스템으로 포맷된 볼륨(HDD)에 저장된 모든 파일/폴더에 적용

 

 

[+] 공유 폴더 권한

 

[+] 상속 포기 설정

- 공유 - [보안] - [고급] - [편집]

 

2. 개체 소유권

 - NTFS 볼륨이나 AD 도메인 내의 모든 개체는 소유권을 가지게 된다.

- 소유권은 기본적으로 해당 파일/폴더를 생성한 사람이 소유자로 지정

- 소유자는 소유권을 타인에게 주거나 다시 뺏어 올 수 있고, 심지어 소유자는 접근 거부일 때에도 자신이 생성한 해당 개체에 대해서 사용 권한을 변경할 수 있다!! 이를 방지하려면 관리자가 사용자가 생성한 파일/폴더에 대한 소유권을 즉시 변경해 두는 것인데 Administrators 그룹은 파일 또는 기타 개체에 대한 타인의 소유권 가져오기 권한(Rights)을 가지고 있다. 파일/디렉터리 복원 사용자 권한을 가진 모든 사용자와 그룹도 개체 소유권을 변경할 수 있다. 
=> 개체의 소유권을 가져오려면 Administrator 계정 또는 소유권 가져오기 권한(Permission), 또는 파일 또는 디렉터리 복원 사용자 권한(Rights)이 있는 사용자로 로그인해야 작업할 수 있다.

 

- 각 폴더별 권한 설정

[+]모두 읽기만

- 소유자를 제외하고는 파일을 읽기 또는 다른 이름/위치로만 저장이 가능 

[+] 모든 유저 공유

- 모든 유저가 읽고/쓰기 가능

[+] 숨김 공유 폴더

- 공유 시 뒤에 달러($)를 입력하면, 폴더의 존재를 아는 사람만 접속 가능(리스트에는 보이지 않는다.)

 

[+] 특정 사용자만 접근 가능

- ser1_user2폴더는 보이기는 하지만 폴더 접근 불가

 

3. Win 공유 폴더

- 위치 : 시작-관리도구-컴퓨터 관리-공유폴더-공유

- 기본 공유 폴더 : ADMIN$, C$, D$, IPC$ 

 

[+] 기본공유폴더

 

- ADMIN$

이 서버를 원격에서 관리할 때 사용됨, Windows가 설치된 폴더(시스템 루트인 C:\Windows를 의미함)로써 Administrators, Backup Operators, Server Operators 그룹 사용자만 접속 가능 => 원격 관리로 보이고

- C$

루트 폴더인 C:\ 드라이브로써 Administrators, Backup Operators, Server Operators 그룹 사용자만 접속 가능 =>기본 공유

- IPC$

원격 관리와 공유된 리소스에 대한 확인에서 사용되는데 통신의 기본이라서 삭제 는 불가하함, => 원격 IPC로 보임

 

[+] 기본 공유폴더 제거

- 일시적(리부팅시 활성화)

> C:\>net share c$ /delete
> C:\>net share admin$ /delete

 

- 레지스트리 수정

> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parametersr의 값을 0으로 설정

 

[+] Null Session Share 취약점 존재

- IPC$를 통한 원격접속을 할 때 패스워드를 Null로 설정하여 접속할 수 있는 취약점

- 악용 : 공격자가 시스템의 유저명, 공유정보 등을 열람 또는 일부 레지스트리 접근 가능 또, DoS공격될 가능성