Bash.org.ru IT Happens Истории ## 10001 – 11000

#10835: Всем sudo, пацаны!

12:45 12.04.2013, IT happens

Бывают горе-юзвери, а вот я пришёл трудиться в контору, где работал горе-админ.

Поначалу казалось, что всё неплохо. Есть два сервака: контроллер домена на W2003 и машина на W2008 для раздачи интернета. Два года назад в этой же конторе с раздачей интернета отлично справлялся домашний роутер (причём сотрудников было в полтора раза больше). Если админу показалось, что слишком ненадёжно, то можно было взять за 300-400 долларов что-то вроде ZyWALL USG 50, а не раскручивать руководство на тысячу за операционку плюс полторы за комп. Или на крайний случай взять недорогой комп за те же 300–400 долларов и воткнуть туда Убунту. Ну да бог с ним — вдруг не хотел ковыряться в линуксе или c настройкой ZyWall? Или откаты получал?

Админского пароля никто не знал, обещали к середине дня созвониться и выяснить. Ладно, пока было чем заняться: разгрести склад и понять, что за оборудование там лежит. Но тут один из руководителей отделов попросил меня поменять имя пользователя и пароль. «А то, — говорит, — уже год сидим все под одной учёткой test с нехитрым паролем». Якобы прошлый горе-админ сказал, что для тестов, но так и не изменил.

Глянул я права этого test. Оказался… администратор домена! Причём у стандартного администратора домена был сложный пароль. То есть вся контора год сидела с правами не просто локального админа, а админа всех машин. Любой «Кидо», который не знает антивирь, — и хана сетке.

Естественно, лезу под этим «тестом» на контроллер домена. Дальше — просто ужас. Горе-админ всё-таки решил обезопаситься и в групповой политике добавил всех админов домена в группу с ограниченными правами. Никто из юзверей ничего установить не мог, зато все могли управлять контроллером домена. Не представляю, как админ устанавливал ПО. Видимо, на время отключал эту политику, затем возвращал.

Дальше лезу на шлюз. Конечно же, файрвол на внешнем интерфейсе не включён. Все службы доступа и службы печати доступны (это при том, что пароль админа домена несложно подобрать).

Это только первый рабочий день. Не знаю, чего ждать дальше.