番茄花園等WinXP爆出嚴重漏洞

（一）番茄花園版的漏洞發現及分析和預防
此次分析的版本是《番茄花園 Windows XP Pro SP2 免激活 V 2.8》和《番茄花園 Windows XP Pro SP2 免激活 V2.9》及《番茄花園 Windows XP Pro SP2 免激活 V 2.7》，其他版本不詳。

1.發現過程：
本人負責維護自己網路的安全，所以經常掃描自己網段的安全性和有無漏洞。這幾天例行掃描，發現有部分IP的用戶名只有Administrator用戶，這個現象本沒有什麼，只是個人隨便試試，發現可以進入，而原版是不可能的，於是本人想弄清是什麼版本的系統。

使用net use命令和用戶名Administrator建立空連接(沒有密碼，卻可以成功連接)，然後用at命令計劃任務關閉Windows Firewall/Internet Connection Sharing (ICS)服務(為了關閉Windows防火牆)，然後用opentelnet開啟對方的telnet，至此，得到Administrator許可權的shell。然後在telnet下運行net share C＄=C:\開啟對方c盤的默認共享，然後用copy命令把對方%systemroot%\system32下的oemlogo.bmp和oeminfo.ini複製到本地磁碟，打開oemlogo.bmp發現正是番茄花園v2.8版。

2.分析過程
本人發現問題后，於是去番茄花園的官方網站下載了v2.8和最新的v2.9進行分析。為了更負責任的測試結果，番茄花園的V2.7、V2.8、V2.9 三個版本的操作系統，幾天來安裝了有20多次。
在虛擬機安裝，不做任何設置的修改，然後再在真機環境下對虛擬機進行入侵測試，同樣可以入侵。在此證明問題不是出在使用者身上，問題而是在系統本身。OK，下面開始找系統問題所在。查看帳戶，安裝完后，只有Administrator開啟，密碼為空；默認共享只有IPC＄開啟，其他的Admin＄和每個盤符的默認共享也全部關閉；遠程桌面為關閉狀態；Remote Registry服務同樣為關閉狀態。看似系統是相當相當安全。可實際上為何還能那麼輕鬆突破入侵呢？第一時間想到的就是原來的系統默認設置遭到了修改。於是打開註冊表查看limitblankpassworduse的值，果然是0；這個鍵值的默認值本來是1，而被人為修改為0。使用番茄花園版v2.8或者v2.9的朋友，可以打開註冊表編輯器regedit，查看項HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下的鍵值limitblankpassworduse，看鍵值是否為0；然後安裝一次原版xp sp2，看這個鍵值；對比一下便知。最後又下載了V2.7測試，2.7沒有發現類似安全漏洞。

3.總結
這個問題的發現很遺憾。可以說，大番茄是一位絕頂高手。這個問題的出現，可以有這麼幾種猜測：一、大番茄的確是一位高手，東西隱藏的太深了；二、大番茄「失誤」造成，不過很難理解，像大番茄這麼一個絕頂高手會出現這麼一種技術失誤？三、大番茄不懂這個鍵值，但是假如真的不懂，那大番茄這種絕頂高手的水平，豈不是……？
OK，不過不管大家怎麼猜測，不過希望大番茄能很負責的給大家一個解釋，希望大番茄並非有意而為之。
至於最新的V2.8和V2.9的捆綁問題，這個就見仁見智的問題了，不做評論，大家都有各自的看法。

4.解決方法
為了防止使用番茄花園版V2.8、V2.9造成損失。可以自行修改limitblankpassworduse的鍵值為1來解決。

（二）東海的電腦公司版的問題分析

1.對東海的電腦公司版4.x系列和5.x系列的分析
東海的電腦公司版的安全性問題，一直為大家所詬病。其中大有討伐者，也大有擁護崇拜者。而其中討伐者，論點就是空密碼的New帳戶，還有遠程桌面的開啟。其中擁護崇拜者，論點就是安全性問題是使用者沒有設置密碼造成的等等。OK，下面開始分析問題到底誰是誰非，到底問題是出在什麼地方。
我想大家有很多人有原版XP SP2系統，原版XP SP2系統安裝完畢后Administrator密碼基本上都是選擇是留空的，或者是新添加的帳戶基本上也是密碼留空的，而且也都開啟著每個盤符的默認共享，也都開啟著Remote Registry服務。不過不知道大家有沒有測試過原版系統在沒有設置密碼的時候，關閉防火牆后能否正常入侵呢？我想測試過的應該知道，就算自己建立一個Administrators許可權的空密碼的New帳戶，也不能通過New帳戶入侵，就算這時候開啟遠程桌面，也不能正常連接。為什麼？為什麼唯獨東海的電腦公司版卻可以入侵？很顯然，問題不僅僅是出在空密碼的New帳戶上，也不僅僅是出在遠程桌面的開啟上，那問題關鍵會是出在什麼地方上呢？顯而易見，系統的某些默認設置被修改了。對東海的討伐者也都沒有找到關鍵所在，而眾多擁護者顯然大多數是沒有主見、人云亦云者，也正是東海能在眾多討伐者當中全身而退的原因所在，東海給大家的解釋就是大家沒有能給帳戶設置密碼，而東海為何卻不解釋原版XP SP2系統的Administrator帳戶也是空密碼，卻沒有入侵的報告呢？
OK，既然問題是出在系統的某處默認設置被修改了，那是哪兒的設置被修改了呢？其實番茄花園版的安全漏洞和東海的電腦公司版的安全漏洞有異曲同工之妙。相同點就是都是修改了limitblankpassworduse的鍵值。不同點呢，東海的電腦公司版除了修改了這個鍵值，還新建立的一個空密碼的New帳戶，還打開了遠程桌面。也就是說，電腦公司版在入侵之前就已經打開了大門，而番茄花園的V2.8、V2.9需要先行入侵后再打開這些後門，而其本質卻是一樣的。但正是因為番茄花園的系統關閉了幾乎所有的安全設置，但是卻打開了一個至關重要的關鍵的深藏在註冊表中的一個設置，由於設置隱藏的相當深，這也是目前為止還沒發現有人報告番茄花園版有安全漏洞的原因。


2.對東海的電腦公司版6.0進行分析
可以說，6.0版本的系統是走向了另一個極端，或者說是默認是另一個極端，但是卻又提供了另一個極端的設置。OK，且看6.0的設置。6.0在原版設置的基礎上關閉了幾乎所有的網路訪問的設置。關閉了各磁碟的默認共享，關閉了IPC＄等等。用6.0版本的朋友不知道有沒有發現在他的系統裡面提供了這麼一個腳本：打開區域網共享。呵呵，可謂是一顆地雷。使用6.0的朋友，我想為了共享也有很多人運行了這個腳本了吧？殊不知，運行了這個腳本后，整個系統的安全性和以前版本的5.x，4.x系列無異。



（三）有關此類安全問題的教學
教學兩個字，有點過大。相信winzheng有很多深藏不露的高手，估計也有不少安全方面的可謂是專家級別的。本文且當作是拋磚引玉，望眾多高手過來指點。
安全問題包括很多方面，一是系統的本身的策略設置是否足夠安全，能否正常阻止非法訪問；二、病毒木馬問題，這個問題嘛，矛和盾的問題，最主要還是要有良好的上網習慣。關於殺毒軟體的問題，目前來說，的確還沒有令人滿意的殺毒軟體，說來也是，殺毒軟體都是事後防治，沒有一個能在病毒特徵碼收錄之前就能識別的，當然了，要真的能實現，那將是殺毒界的重大的變革，殺毒界的一切東西都得推翻重新再來；三、流氓軟體問題，流氓軟體這幾年來，一直在國家法律的空白處打擦邊球，處於灰色地帶，而殺毒軟體都是商業公司，懾於沒有法律條文做支持，也不敢隨便就查殺流氓軟體。
OK，今天主要是講一下有關係統設置的問題。微軟自從出了SP2之後，安全問題相對來說已經做得相當好了。到目前為止，XP SP2系統，不管在安全性上，還是在穩定性上，都要強於微軟以前版本的操作系統。對於Windows 2000系統，我想大家還是拋棄吧，2000除了系統佔用少，其他地方和XP SP2相比沒有任何優勢，況且XP還可以使用Classic主題來減少系統佔用，Windows 2000不管是在安全性問題上，還是在兼容性問題上，還是磁碟讀取上，都和XP存在不小的差距。至於有人說，2000系統設置好了，安全性一樣足夠好，當然了，高手出手，用Windows 98，Windows95都一樣安全，何況是2000，問題是2000的默認設置和XP比是相當不安全，可以輕輕鬆鬆的遠程開啟telnet，輕輕鬆鬆的拿到Administrators許可權的shell。要想2000足夠安全，只有關掉135-139之間的所有UDP、TCP埠，以及445埠；而關閉這些埠雖然保證安全了，卻又不能進行區域網共享，而如果為了區域網共享，卻必須面對這些危險。而XP SP2卻可以做到在保證安全性的前提下進行區域網共享。其中2000的安全問題，箇中原因肯定有微軟因為利益問題不想再對2000進行支持。而從使用者角度來說，2000絕對是一經典系統，而我們使用系統當然也絕不能因為對於2000的感情而拒絕更換操作系統，而現實中也確實存在不少這樣的朋友。
剛才講了選擇系統的問題，現在再說一下有關係統設置優化的問題。我也說過了，XP SP2的安全性上，已經得到了很大的提高。可以這麼說，有些問題要看微軟想不想做得問題，微軟的實力是不容置疑的，微軟對於自己的系統的設置也當然比外人，比民間更清楚，也更清楚每一個設置的每一個細節問題。對於XP sp2，安全完畢后，其實只要第一時間升級所有安全補丁，即可保證安全。如果無需區域網共享，還可以進行包括關閉默認共享了，關閉Remote Registry服務，關閉server服務等等。有關優化問題，切記，不要亂優化，微軟的每一個設置都是經過深思熟慮的，都是考慮了各種情況的，微軟對於自己的系統的了解程度肯定比外人更了解。系統優化是不具備通用性的，優化都是針對個人的使用習慣、嗜好、需求等等，而且每一步優化都要知道我要做什麼，我做的這優化會帶來什麼影響和後果，而這影響和後果是否我自己所期望的。OK，這些問題不僅僅說的是用戶使用，包括光碟製作者。一個負責任的光碟作者，不要以自己的嗜好來做公開發布的盤。而且亂優化的問題帶來的安全問題，也是負責任的光碟製作者所不能接受的，除非光碟作者是一個並不負責任的人。最後再忠告一次大家，切記不要亂優化，如果自己並不了解此優化會帶來哪些細節問題，請不要進行，因為XP SP2原版設置所考慮的安全性問題及兼容性問題已經足夠好了。有關番茄花園的安全漏洞問題，還有東海的電腦公司版的安全漏洞問題，亦都是修改了系統的默認設置所致。
另：
使用番茄、東海、YLMF系統用戶立即給系統打補丁 現在網路到處轉載的番茄花園漏洞問題希望引起大家的注意 這是一個不容易被人察覺的系統漏洞，系統limitblankpassworduse是1意思是，拒絕網路用戶以管理員許可權登陸。我說這句話應該可以很明白的說清楚這個重要性了。 當對方系統limitblankpassworduse是0，並且用戶密碼為空，我們就可以很容易的通過IPC來進入對方系統，並且可以隨意啟動停止服務，包括防火牆在內。實際上我在VM下測試的時候發現，只要此註冊表為0，就算你打開了防火牆，但只要你開啟共享，就可以利用IPC簡單侵入。 而其它limitblankpassworduse是1，並且用戶密碼也是空的，用這種方法就無法侵入。可以說XP SP2默認狀態下已經比較安全，需要網路安全方面的高手才能找到系統的漏洞。而這種漏洞即使是一個菜鳥會使用。 這就是為什麼前段時間不少人指責東海系統的原因，可惜那時候沒人找到東海系統的真正問題是出在這裡。這次番茄花園的系統又出現類似的漏洞。 希望大家立即檢查周圍計算機，修補漏洞，減少損失。下面附上贏政 bestwishtoall提供的兩個補丁，一個是註冊表形勢，一個是批處理形勢，任選其一就可以了。 現在已知涉及此漏洞的系統 番茄花園 Windows XP Pro SP2 免激活 V 2.9 有漏洞 番茄花園 Windows XP Pro SP2 免激活 V 2.8 有漏洞 番茄花園 Windows XP Pro SP2 免激活 V 2.7 無漏洞 東海 GhostXP_SP2電腦公司特別版 V6.0 有開啟此漏洞的批處理 東海 GhostXP_SP2電腦公司特別版 V5.5 有漏洞 東海 GhostXP_SP2電腦公司特別版 V5.2 有漏洞 東海 GhostXP_SP2電腦公司特別版 V5.1 有漏洞 東海 GhostXP_SP2電腦公司特別版 V5.0 有漏洞 東海 GhostXP_SP2電腦公司特別版 V4.x 有漏洞，此版本漏洞更多，直接開遠程桌面 1.雨林木風Ghost WinXP2 Y2.0裝機版 有漏洞 2.雨林木風Ghost Winxp2 純凈會員版 Y1.7 有漏洞 3.雨林木風Ghost WinXP2 Y1.85國慶版 有漏洞 另外還有一些早期系統也有這個問題，微軟在XP SP2 和2003 SP1中都沒有這個漏洞。 XP SP1是否有此漏洞還不確定，但沒有SP的XP肯定有此漏洞，所以沒有安裝SP補丁的用戶，立即安裝SP補丁。 2000 SP4之前肯定都有這個漏洞，SP4以及以後版本是否有此漏洞暫時不確定。

我一直用「番茄花園」，其實它和其他版本的XP SP2一樣，都不能「默認」了事。及時補丁，去舍和關閉一些服務埠，裝上第三方防火牆，才能保障安全。

用過許多版本，「番茄花園」還真不錯。

剛查了下，連註冊表內「limitblankpassworduse」鍵名都沒有。

這些漏洞都是視窗系統原來共有的，設置時禁止「遠程桌面」和「空連接」，配製好防火牆，問題不大。

「防火牆」常警示有外來攻擊，還沒有發生被攻破的情況。我一直沒有屏蔽那種警示，很想知道那路好漢對我這麼關心和專註。

雨林木風的國慶版也有這個問題。。。。。。

我的雨林木風ghost版也是為0，趕快修改。

我的查過了，鍵值為1，呵呵，應是打補丁的原因吧。謝謝樓主！

俺用的是蕃茄版，改了為1，謝謝！

我也試一下哈

樓主辛苦了

laodai 說得不錯。
偶深有體會。