系统账户缺省密码检查

Oo懒觉熊...

系统里用户名和密码相同是很大的安全隐患！

创建用户CRTUSRPRF时
参数PASSWORD默认是*USRPRF，密码和用户名相同

查找系统中使用缺省密码的用户
执行 ANZDFTPWD

                      Analyze Default Passwords (ANZDFTPWD)
Type choices, press Enter.
Action taken against profiles  .   *NONE         *NONE, *DISABLE, *PWDEXP

执行完命令后，会生成spool file "QPSECPWD"  

里面会列出该类用户名及状态、密码是否过期和对应的描述。

施展轻功，过而不留名者，拉出午门.... 120

[ 本帖最后由 Oo懒觉熊... 于 2008-2-16 23:58 编辑 ]

fxf_china

轻功不到家的飘过

1112

哦！~那这样不是有漏洞，随便一个权限够的帐户执行ANZDFTPWD，就可以根据列出的帐户登陆？

35200159

有可能有*SECADM权限的才有使用这个命令的权限吧,有机器时试一下.

qingzhou

Oo懒觉熊...最近表现不错~~~     



我补充一下，AS400提供Security Tools菜单，专门用来系统安全方面的分析和设置，OS400命令行执行GO SECTOOLS进入。
有兴趣的朋友自己好好每项仔细看看帮助。


SECTOOLS                        Security Tools                                 
                                                            
Select one of the following:                                                   
                                                                                
   Work with profiles
                                                         
      1. Analyze default passwords                                             
                                                                                
      2. Display active profile list                                            
      3. Change active profile list                                             
      4. Analyze profile activity                                               
                                                                                
      5. Display activation schedule                                            
      6. Change activation schedule entry                                       
                                                                                
      7. Display expiration schedule                                            
      8. Change expiration schedule entry                                       
                                                                                
      9. Print profile internals     
   
   Work with auditing
            
     10. Change security auditing                                               
     11. Display security auditing                                             
                                                                                
   Reports
                                                                     
     20. Submit or schedule security reports to batch                           
                                                                                
     21. Adopting objects                                                      
     22. Audit journal entries                                                  
     23. Authorization list authorities                                         
     24. Command authority                                                      
     25. Command private authority                                             
     26. Communications security                                                
     27. Directory authority                                                   
     28. Directory private authority                                            
     29. Document authority                                                     
     30. Document private authority                                             
     31. File authority                                                         
     32. File private authority                                                
     33. Folder authority                                                      
     34. Folder private authority                                               
     35. Job description authority                                             
     36. Library authority                                                      
     37. Library private authority                                             
     38. Object authority                                                      
     39. Private authority                                                      
     40. Program authority                                                      
     41. Program private authority                                             
     42. User profile authority                                                
     43. User profile private authority                                         
     44. Job and output queue authority                                         
     45. Subsystem authority                                                   
     46. System security attributes                                             
     47. Trigger programs                                                      
     48. User objects                                                           
     49. User profile information                                               
                                                                                
   General system security
                                                     
     60. Configure system security                                             
     61. Revoke public authority to objects                                    
     62. Check object integrity                                                
     80. Related security tasks

明亮

go SECTOOLS 菜单也不是一般用户能执行的。。

xuguopeng

原帖由 1112 于 2008-2-18 12:43 发表
哦！~那这样不是有漏洞，随便一个权限够的帐户执行ANZDFTPWD，就可以根据列出的帐户登陆？

这怎么能说是漏洞呢?