c# - Microsoft 平台就绪测试未通过 .NET 性能计数器的安全测试

Question

我们正在 Windows Server 2012 Hyper-V 虚拟机上进行 Microsoft 平台就绪测试。被测试的应用程序是 .NET 应用程序。测试因安全问题而失败。 “攻击面报告”报告了两个严重级别为 1 的错误，标题为“具有弱 ACL 的内存映射部分”。这些错误针对 .NET 性能计数器。

• \BaseNamedObjects\netfxcustomperfcounters.1.0.net 部分的 ACL CLR 网络允许多个非管理员帐户进行篡改。
• 部分\BaseNamedObjects\netfxcustomperfcounters.1.0servicemodelservice 3.0.0.0 上的 ACL 允许多个非管理员帐户进行篡改。

如何修复这些错误？

错误详情如下。

• \BaseNamedObjects\netfxcustomperfcounters.1.0.net 部分的 ACL CLR 网络允许多个非管理员帐户进行篡改。
  • 描述:
    • \BaseNamedObjects\netfxcustomperfcounters.1.0.net 部分的 ACL CLR 网络允许多个非管理员帐户进行篡改。
  • 详细信息:
    • 部门:\BaseNamedObjects\netfxcustomperfcounters.1.0.net CLR 网络
  • 帐户权限
    • 经过身份验证的用户 (S-1-5-11) SECTION_MAP_WRITE
  • 发现以下进程具有此部分的打开句柄:
    • <Application Name.exe>
  • 行动:
    • 必须收紧 ACL。
• \BaseNamedObjects\netfxcustomperfcounters.1.0servicemodelservice 3.0.0.0 部分的 ACL允许多个非管理员帐户进行篡改。
  • 描述:
    • \BaseNamedObjects\netfxcustomperfcounters.1.0servicemodelservice 3.0.0.0 部分的 ACL允许多个非管理员帐户进行篡改。
  • 详细信息:
    • 部门:\BaseNamedObjects\netfxcustomperfcounters.1.0servicemodelservice 3.0.0.0
  • 帐户权限
    • 经过身份验证的用户 (S-1-5-11) SECTION_MAP_WRITE
  • 发现以下进程具有此部分的打开句柄:
    • <Application Name.exe>
  • 行动:
    • 必须收紧 ACL。

Answer 1

您的安装程序正在创建任何人都可以覆盖的文件。这意味着攻击者可以用他们自己的文件替换这些 .Dll 文件。通常的解决方案是让安装程序对该文件设置更严格的权限，要么将其设置为只能由管理员修改，要么将其设置为只读期限。

Similar case

Technical Description of Access Masks