LSAsecret --> DefaultPassword

[PC_HERO]

Guten Tag allerseits!

Mich beschäftigt mal wieder Windows mit einer nervigen Sache:
Ich hatte neulich mit LSAsekret von Nir einen String gefunden: DefaultPassword dort wird (normalerweise) das Administrator Passwort im Klartext gespeichert wenn Autologon aktiviert ist. Scheint ja in Ordnung zu sein jedenfalls wenn man Autologon nutzt, was aber hat es damit auf sich das der String plötzlich dort auftaucht obwohl man kein Autologon nutzt?

Ich war erstmal schockiert als ich das zum erstem mal gesehen hatte und ich den DefaultPassword String nicht los geworden bin, nach einigem googlen hatte ich dann rausgefunden das DefaultPassword gelöscht werden kann wenn man die in der cmd "control userpasswords2" eingibt und das Passwort ändert bzw. die Haken bei Autologin weg nimmt (Welcher nicht gesetzt war).

Ich musste mein System ehh mal wieder Neu aufsetzen also habe ich mir gedacht weil ich nicht weiß wann und wie DefaultPassword gesetzt wird stellste bei der Install erstmal nen Passwort ala 12345 ein und checkst dann mal DefaultPassword. Habe das dann gemacht und nach der Install geschaut: Es gab keine DefaultPassword also habe ich das Admin Passwort in ein sicheres geändert in dem glauben das sei sicher.

Nach nun einigen Tagen Betrieb des neu aufgesetzten Systems Dachte ich mir gestern schauste mal nach LSAsekrets auf deinem System und siehe da: DefaultPassword war wieder gesetzt!

Ich schnalle das nicht warum das gesetzt wird und erachte das als sehr sehr grosse Sicherheitslücke (jeder Pfuttzi der LSA sehen kann und Zugriff zum Rechner hat bekommt das Root Passwort) die mich jetzt dazu zwingt mein CryptoLinux neu aufzusetzen da der Home Bereich das selbe Password hat wie der Admin Account vom Windows (weiß ist nicht sicher und nun auch dumm gelaufen und ich werde daraus lernen).

Würde mich über weiterführende Informationen zur Thematik sehr freuen und gebe ich nun nochmal nen paar Infos zu meinem System:

1. Originales WinXPsp3
2. Aktueller Patchlevel
3. Benutzer: Administrator, ein administrativer und ein eingeschränkter
4. Nutze nur den eingeschränkten Account zum arbeiten sollte ich administrative Rechte benötigen erlange ich die zb. durch start>ausführen>cmd>runas /user:administrator "shutdown -r -f -t 2300"

Ist evtl. der Befehl runas der Knackpunkt?

 

[ChiefWiggum]

Komisch, bei mir stehts auch Plaintext in LSA Secrets.


Wie bekomm ich das da dauerhaft raus?

 

[PC_HERO]

Leider weiss ich nicht wie man das permanent verhindern kann, wie bereits geschrieben weiß ich ja nichtmal wie das zu stande kam.

Löschen kannst du den Eintrag wie folgt:
start>ausführen>cmd>runas /user:administrator "control userpasswords2"

Hier eine bebilderte Beschreibung:
http://wiki.ljackson.us/Control_Userpasswords2

(Haken bei Benutzer müssen sich anmelden setzen und das Passwort einmal ändern und DefaultPassword sollte gelöscht sein). Ändert man das Passwort Normal über die Systemsteuerung wird DefaultPassword nicht gelöscht (jedenfalls nicht bei meinen Tests)!

EDIT:
Ich hab mich mal etwas weiter mit der Thematik beschäftigt und hoffe eine persistente Lösung gefunden zu haben.

Ich habe folgendes gemacht:
1. LM Hash deaktiviert
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
nolmhash 1
2. Systemsteuerung ---> Verwaltung ---> Leistung und Wartung ---> Verwaltung ---> Lokale Sicherheitsrichtlinien
Keine LAN Manager-Hashwerte für nächste Kennwortänderung speichern | TRUE
Netzwerksicherheit: LAN Manager-Authentifizierungsebene:
Nur NTLMv2-Antworten senden. LM und NTLM verweigern
Wichtig:
Diese Einstellung beeinflusst u. U. die Fähigkeit von Computern unter Windows 2000 Server, Windows 2000 Professional, Windows XP und der Windows Server 2003-Produktfamilie, über das Netzwerk mit Computern unter Windows NT 4.0 und früher zu kommunizieren. Als diese Beschreibung verfasst wurde, haben Computer unter Windows NT 4.0 SP4 und früher z. B. NTLMv2 nicht unterstützt. Computer und Windows 95 und Windows 98 haben NTLM nicht unterstützt.
3. Konten: Administrator umbenennen | neuer Name
4. Neustart
5. control userpasswords2 (alle Benutzer erfordern eine Anmeldung Passworte ändern)

Ich hoffe das problem damit behoben zu haben, sollte euch noch was einfallen so lasst es uns wissen!

http://support.microsoft.com/kb/299656
http://www.heise.de/security/Mit-roher-Gewalt--/artikel/40744/3