免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 4683 | 回复: 6

系统账户缺省密码检查 [复制链接]

论坛徽章:
0
发表于 2008-02-16 23:56 |显示全部楼层
系统里用户名和密码相同是很大的安全隐患!

创建用户CRTUSRPRF时
参数PASSWORD默认是*USRPRF,密码和用户名相同

查找系统中使用缺省密码的用户
执行 ANZDFTPWD

                      Analyze Default Passwords (ANZDFTPWD)
Type choices, press Enter.
Action taken against profiles  .   *NONE         *NONE, *DISABLE, *PWDEXP



执行完命令后,会生成spool file "QPSECPWD"  

里面会列出该类用户名及状态、密码是否过期和对应的描述。



施展轻功,过而不留名者,拉出午门.... 120



[ 本帖最后由 Oo懒觉熊... 于 2008-2-16 23:58 编辑 ]

论坛徽章:
0
发表于 2008-02-18 08:24 |显示全部楼层
轻功不到家的飘过

论坛徽章:
0
发表于 2008-02-18 12:43 |显示全部楼层
哦!~那这样不是有漏洞,随便一个权限够的帐户执行ANZDFTPWD,就可以根据列出的帐户登陆?

论坛徽章:
0
发表于 2008-02-18 13:55 |显示全部楼层
有可能有*SECADM权限的才有使用这个命令的权限吧,有机器时试一下.

论坛徽章:
0
发表于 2008-02-19 13:23 |显示全部楼层
Oo懒觉熊...最近表现不错~~~     



我补充一下,AS400提供Security Tools菜单,专门用来系统安全方面的分析和设置,OS400命令行执行GO SECTOOLS进入。
有兴趣的朋友自己好好每项仔细看看帮助。


SECTOOLS                        Security Tools                                 
                                                            
Select one of the following:                                                   
                                                                                
   Work with profiles
                                                         
      1. Analyze default passwords                                             
                                                                                
      2. Display active profile list                                            
      3. Change active profile list                                             
      4. Analyze profile activity                                               
                                                                                
      5. Display activation schedule                                            
      6. Change activation schedule entry                                       
                                                                                
      7. Display expiration schedule                                            
      8. Change expiration schedule entry                                       
                                                                                
      9. Print profile internals     
   
   Work with auditing
            
     10. Change security auditing                                               
     11. Display security auditing                                             
                                                                                
   Reports
                                                                     
     20. Submit or schedule security reports to batch                           
                                                                                
     21. Adopting objects                                                      
     22. Audit journal entries                                                  
     23. Authorization list authorities                                         
     24. Command authority                                                      
     25. Command private authority                                             
     26. Communications security                                                
     27. Directory authority                                                   
     28. Directory private authority                                            
     29. Document authority                                                     
     30. Document private authority                                             
     31. File authority                                                         
     32. File private authority                                                
     33. Folder authority                                                      
     34. Folder private authority                                               
     35. Job description authority                                             
     36. Library authority                                                      
     37. Library private authority                                             
     38. Object authority                                                      
     39. Private authority                                                      
     40. Program authority                                                      
     41. Program private authority                                             
     42. User profile authority                                                
     43. User profile private authority                                         
     44. Job and output queue authority                                         
     45. Subsystem authority                                                   
     46. System security attributes                                             
     47. Trigger programs                                                      
     48. User objects                                                           
     49. User profile information                                               
                                                                                
   General system security
                                                     
     60. Configure system security                                             
     61. Revoke public authority to objects                                    
     62. Check object integrity                                                
     80. Related security tasks

论坛徽章:
0
发表于 2008-02-19 15:02 |显示全部楼层
go SECTOOLS 菜单也不是一般用户能执行的。。

论坛徽章:
0
发表于 2008-02-20 09:42 |显示全部楼层
原帖由 1112 于 2008-2-18 12:43 发表
哦!~那这样不是有漏洞,随便一个权限够的帐户执行ANZDFTPWD,就可以根据列出的帐户登陆?


这怎么能说是漏洞呢?
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP