[W2K3S] Alternatief voor "guest" account

[Verwijderd]

Bestaat er een manier om een user te creeren met bijna dezelfde specs. als het guest account? Ik wil dit weten omdat ik een share heb op mijn Windows 2003 server (Ja , en ik heb geen AD/DC draaien, hij draait alleen voor het sharen van files) welke ik met het guest account zonder inloggen kan benaderen.
Maar voor zover ik verstand heb van Windows machines (ben zelf een noveller) weet ik dat het enablen van het guest account hetzelfde is als bv. het open zetten van de deur van je huis.

[Alpha_Mouse]

gewoon je Win2003 server fileserver maken

en dan de mappen die je wilt delen aan de buitenwereld toegang geven tot everyone

(dus fullcontroll v allow)

[Verwijderd]

Alpha_Mouse schreef op 20 juli 2004 @ 15:27:
gewoon je Win2003 server fileserver maken

en dan de mappen die je wilt delen aan de buitenwereld toegang geven tot everyone

(dus fullcontroll v allow)

Dat klopt, en dat werkt.
Maar het probleem komt op het moment dat je ook een user toevoegd welke schrijfrechten heeft. Zodat een bepaald persoon ook kan inloggen en dat deze ook files kan plaatsen.
Hierna moet iedereen inloggen en dat wil ik niet. Ik wil dat je gewoon de server kan benaderen en toegang hebt tot de files. En dat die ene persoon die moet schrijven gewoon een mapping legt naar de server met inloggegevens.

[Verwijderd]

Of is het mogelijk dmv. policies om het guest account alleen rechten te geven op een bepaalde map, zodat het guest account verder afgeschermd wordt?

[Verwijderd]

Is hier nou echt geen oplossing voor?

[Ook]

Nou volgens mij niet nee, ik denk echt dat dat Guest account weer aan moet. Op zich toch ook niet zo'n ramp als je em bv van naam wijzigt oid?

[Verwijderd]

Ook schreef op 21 juli 2004 @ 09:48:
Nou volgens mij niet nee, ik denk echt dat dat Guest account weer aan moet. Op zich toch ook niet zo'n ramp als je em bv van naam wijzigt oid?

Maar als ik het guest account enable, dan kan iedereen ook inloggen op mijn server. En niet alleen op mijn share, toch? En dat is niet de bedoeling

[ Voor 6% gewijzigd door Verwijderd op 21-07-2004 10:00 ]

[Firefox]

Je kan eventueel de Local Logon rechten in de local security policy blokkeren voor de user Guest of de group (Guests).
Dan kunnen ze iig niet op de console inloggen als dat je probleem is.

[Verwijderd]

Firefox schreef op 21 juli 2004 @ 10:09:
Je kan eventueel de Local Logon rechten in de local security policy blokkeren voor de user Guest of de group (Guests).
Dan kunnen ze iig niet op de console inloggen als dat je probleem is.

Kijk dat bedoel ik nou. Hier heb ik iets aan. Thx...
Dat zal ik doen.

Maar dan heb ik nog een vraag.
Ik heb ooit gezien dat een collega van me zo kon inbreken bij het bedrijf Xerox op een van hun W2K servers dmv "net use ......" en dan nog wa commando's, gebruik makend van het guest account. Hierna kon hij zo in het register, en users aanmaken ed.
Na contact te hebben gehad met Xerox bleek dat ook zei dachten dat ze het guest account goed dicht gespijkerd hadden, dus niet.

Als ik dit uitvoer, hoe beveiligd ben ik dan?

[Verwijderd]

daar heb je niks aan... logon locally rechten op een server is default alleen voor local admins en server admins.

maar je had al een thread over dit "probleem"

[ Voor 10% gewijzigd door Verwijderd op 21-07-2004 16:09 ]

[Firefox]

Verwijderd schreef op 21 juli 2004 @ 10:23:
[...]


Kijk dat bedoel ik nou. Hier heb ik iets aan. Thx...
Dat zal ik doen.

Maar dan heb ik nog een vraag.
Ik heb ooit gezien dat een collega van me zo kon inbreken bij het bedrijf Xerox op een van hun W2K servers dmv "net use ......" en dan nog wa commando's, gebruik makend van het guest account. Hierna kon hij zo in het register, en users aanmaken ed.
Na contact te hebben gehad met Xerox bleek dat ook zei dachten dat ze het guest account goed dicht gespijkerd hadden, dus niet.

Als ik dit uitvoer, hoe beveiligd ben ik dan?

Idd, het is een server, dus dit hoeft zelfs niet eens (gewoon enabelen, en probeer maar in te loggen als guest. Zie je vanzelf of het werkt.)

Wat betreft de NET USE:
het net commando is net zo goed aan rechten gekoppeld als elk ander commando.
met "net start" en "net stop" kun je idd services starten en stoppen, maar alleen als de gebruiker waarmee je een verbinding maakt dat mag.

de Guest User mag default dus echt geen ene mallemoer op een server uqa services. Wel mag een Guest-user connecten naar shares die met standaard rechten zijn aangemaakt (nl: Everyone=read). Policy die ik hanteer is dat die rechten dus per definitie *altijd* worden veranders in minstens "Authenticated users =...", of bijvoorkeur "Domain Users =..."

Als jouw collega met "guest" iets kon doen op een server met gebruikers aanmaken, dan was dat of een bug exploit in 2000 (waar ik me zo 123 nix van kan herinneren) of de rechten van dat Guest account aldaar was ietwat aangepast (wat ik heel bizar en dom zou vinden van het genoemde bedrijf)

[Verwijderd]

je kunt natuurlijk ook gewoon 2 shares aanmaken, dan heb je het probleem ook niet....

[Alpha_Mouse]

waarom maak je geen login script met de netwerk mapping.

kan je alle user groups filteren met de juiste rechten.

[Verwijderd]

Verwijderd schreef op 21 juli 2004 @ 16:08:
daar heb je niks aan... logon locally rechten op een server is default alleen voor local admins en server admins.

maar je had al een thread over dit "probleem"

Ja, het loopt een erg richting het probleem van de andere draad. Dit was niet de bedoeling.

[Verwijderd]

Firefox schreef op 21 juli 2004 @ 16:36:
[...]


de Guest User mag default dus echt geen ene mallemoer op een server uqa services. Wel mag een Guest-user connecten naar shares die met standaard rechten zijn aangemaakt (nl: Everyone=read). Policy die ik hanteer is dat die rechten dus per definitie *altijd* worden veranders in minstens "Authenticated users =...", of bijvoorkeur "Domain Users =..."

Jij zegt dus dat het geen kwaad kan. Maar waarom lees ik overal dan dat het Guest account enablen niet slim is?

[Verwijderd]

het guest account kan default niet zoveel, maar zonder authenticatie rechten geven is gewoon niet slim.

een alternatief is er dus ook niet. ik snap ook niet waarom je nu nog steeds niet alle users (met zlefde pw als lokaal) op de server hebt aangemaakt en op die manier mensen lees en schrijfrechten geeft.
aangezien dat veel werk is, kan je beter een domaintje opzetten...

[Verwijderd]

Verwijderd schreef op 22 juli 2004 @ 10:26:
het guest account kan default niet zoveel, maar zonder authenticatie rechten geven is gewoon niet slim.

een alternatief is er dus ook niet. ik snap ook niet waarom je nu nog steeds niet alle users (met zlefde pw als lokaal) op de server hebt aangemaakt en op die manier mensen lees en schrijfrechten geeft.
aangezien dat veel werk is, kan je beter een domaintje opzetten...

Ik heb een domain geprobeerd, alsof dat niet veel werk is.
Vooral is ons netwerk hier. Volgens mij draait hier een Linux server welke een soort van domain controller speelt. Als ik dan mijn W2K3 server ook met dat domain wil laten samenwerken gaat het nogal fout. Dus daar begin ik niet aan.

[Verwijderd]

Verwijderd schreef op 21 juli 2004 @ 10:23:
[...]


Kijk dat bedoel ik nou. Hier heb ik iets aan. Thx...
Dat zal ik doen.

Maar dan heb ik nog een vraag.
Ik heb ooit gezien dat een collega van me zo kon inbreken bij het bedrijf Xerox op een van hun W2K servers dmv "net use ......" en dan nog wa commando's, gebruik makend van het guest account. Hierna kon hij zo in het register, en users aanmaken ed.
Na contact te hebben gehad met Xerox bleek dat ook zei dachten dat ze het guest account goed dicht gespijkerd hadden, dus niet.

Als ik dit uitvoer, hoe beveiligd ben ik dan?

Dat is een heel ander verhaal mijns inziens, namelijk anonieme connecties met een computer (anonymous logins). Deze worden langzaam maar zeker meer dichtgezet in windows, maar vormen wel een achterdeur.

In een nieuwsbrief van Mark Minasi (bekend auteur op dit gebied), #37 wordt hier uitgebreid op ingegaan. Archief nieuwsbrief

Je moet wel registreren, maar het is sowieso een uitermate nuttige nieuwsbrief.

[MewBie]

Ik had ook zo'n soort probleem als jij, en ik heb dat als volgt opgelost.

- Op je eigen pc met ik neem aan XP dr op, MOET je een password invullen voor je account anders werkt het niet.
- Op je server maak je een account aan met dezelfe naam+pass
- Jij kan dan op je server gewoon je share benaderen zonder dat in moet loggen
- Blokker even alle andere schijven met rechten en wat dirs op de schijf waarop je een dir geshared heb. (is het makkelijkst als de dir "los" op een schijf staat, of nog makelijker een aparte partitie/hardeschijf voor je gesharede dirs)

[Verwijderd]

Verwijderd schreef op 22 juli 2004 @ 11:12:
[...]

Dat is een heel ander verhaal mijns inziens, namelijk anonieme connecties met een computer (anonymous logins). Deze worden langzaam maar zeker meer dichtgezet in windows, maar vormen wel een achterdeur.

In een nieuwsbrief van Mark Minasi (bekend auteur op dit gebied), #37 wordt hier uitgebreid op ingegaan. Archief nieuwsbrief

Je moet wel registreren, maar het is sowieso een uitermate nuttige nieuwsbrief.

Ik ben het "as we speak" aan het lezen. Lijkt me zeer interessant.
Thx...