{"id":346,"date":"2012-08-10T20:08:32","date_gmt":"2012-08-10T18:08:32","guid":{"rendered":"https:\/\/www.asafety.fr\/?p=346"},"modified":"2015-11-11T00:57:45","modified_gmt":"2015-11-10T22:57:45","slug":"controle-des-acls-et-des-attributs-sous-windows-xp-7-et-8","status":"publish","type":"post","link":"https:\/\/www.asafety.fr\/en\/administration-reseaux-et-systemes\/controle-des-acls-et-des-attributs-sous-windows-xp-7-et-8\/","title":{"rendered":"Contr\u00f4le des ACLs et des attributs sous Windows XP, 7 et 8"},"content":{"rendered":"

<\/p>\n

Le contr\u00f4le des listes ACL (Access Control List) s’applique sur les fichiers\/dossiers d’un syst\u00e8me Windows sur NTFS. Ce m\u00e9canisme permet de param\u00e9trer finement les droits d’acc\u00e8s \u00e0 une ressource particuli\u00e8re, et ce de mani\u00e8re discr\u00e9tionnaire. Les ACLs peuvent s’appliquer \u00e0 un utilisateur en particulier ou \u00e0 un groupe d’utilisateurs. Un utilitaire en ligne de commande permet de les manipuler simplement. Beaucoup de solutions logicielles de contr\u00f4le d’acc\u00e8s exploitent les ACLs, afin de restreindre l’acc\u00e8s \u00e0 un emplacement pr\u00e9cis du syst\u00e8me. On compte notamment les solutions de protection de donn\u00e9es, de restriction d’acc\u00e8s (dans un environnement universitaire par exemple) ou bien m\u00eame de contr\u00f4le parental. C’est au travers de tels m\u00e9canismes de restriction qu’il est parfois visible des fen\u00eatre du type :<\/p>\n

\"Restriction<\/a>

Restriction d\u2019acc\u00e8s sous Windows 7<\/p><\/div>\n

Aussi utile que cela puisse paraitre pour confiner son environnement face \u00e0 certains utilisateurs, les ACLs sont aussi r\u00e9guli\u00e8rement exploit\u00e9es par des personnes malintentionn\u00e9es. En effet, une des priorit\u00e9s d’un\u00a0intrus\u00a0sur un syst\u00e8me est de d\u00e9ployer ses propres outils afin d’en conserver un acc\u00e8s \u00e0\u00a0posteriori. Ces outils n\u00e9cessite d’\u00eatre plac\u00e9s sur le syst\u00e8me cible et ce de mani\u00e8re p\u00e9renne. L’assaillant exploite donc diverses techniques pour camoufler, prot\u00e9ger l’acc\u00e8s et rendre invisible ses fichiers \u00e0 la vue de l’administrateur technique. L’une de ces m\u00e9thodes est bien \u00e9videmment les ACLs. L’assaillant peut cr\u00e9er un nouvel utilisateur (invisible) sur le syst\u00e8me et brider l’acc\u00e8s \u00e0 son r\u00e9pertoire d’outil qu’\u00e0 ce nouvel utilisateur. M\u00eame les administrateurs seront bloqu\u00e9s \u00e0 l’entr\u00e9e. Pour op\u00e9rer une telle manipulation, l’utilitaire “cacls” natif sous Windows XP, 7 et 8 est celui utilis\u00e9.<\/p>\n

[bash]&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;C:\\&amp;amp;amp;amp;gt;cacls&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;REMARQUE\u00a0: Cacls \u00e9tant d\u00e9sapprouv\u00e9, utilisez Icacls.&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;Affiche\/modifie les listes de contr\u00f4le d’acc\u00e8s des fichiers&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;CACLS nomfichier \/T] [\/M] [\/L] [\/S[:SDDL]] [\/E] [\/C]&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;[\/G util:perm]&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n[\/R util […]] [\/P util:autor […]] [\/D util […]]&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nnomfichier Affiche les listes ACL.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/T Modifie les listes ACL des fichiers dans&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nle r\u00e9pertoire et les sous-r\u00e9pertoires.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/L Fonctionne sur le lien symbolique par opposition&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\u00e0 la cible&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/M Modifie les listes ACL des volumes mont\u00e9s dans un r\u00e9pertoire&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/S Affiche la cha\u00eene SDDL pour la liste DACL.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/S:SDDL Remplace les listes ACL par celles sp\u00e9cifi\u00e9es dans&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nla cha\u00eene SDDL (non valide avec \/E, \/G, \/R, \/P ou \/D).&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/E Modifie la liste ACL au lieu de la remplacer.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/C Continue la modif. des ACL et ignore les erreurs&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/G util:autor Accorde des acc\u00e8s \u00e0 l’utilisateur&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nPerm : R Lecture&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nW \u00c9criture&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nC Modification (en \u00e9criture)&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nF Contr\u00f4le total&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/R util R\u00e9voque les acc\u00e8s de l’utilisateur&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n(valide uniquement avec \/E).&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/P util:autor Remplace les acc\u00e8s de l’utilisateur&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nPerm peut \u00eatre\u00a0: N Aucun&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nR Lecture&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nW \u00c9criture&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nC Modification (en \u00e9criture)&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nF Contr\u00f4le total&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n\/D util Refuse l’acc\u00e8s \u00e0 l’utilisateur&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nUtilisez des caract\u00e8res g\u00e9n\u00e9riques pour sp\u00e9cifier plusieurs&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nfichiers dans une commande. Vous pouvez sp\u00e9cifier plusieurs utilisateurs&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\ndans une commande.&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;Abr\u00e9viations\u00a0:&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nCI – H\u00e9ritage de conteneur.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nLes r\u00e9pertoires h\u00e9ritent de l’entr\u00e9e de contr\u00f4le d’acc\u00e8s.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nOI – H\u00e9ritage d’objet.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nLes fichiers h\u00e9ritent de l’entr\u00e9e de contr\u00f4le d’acc\u00e8s.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nIO – H\u00e9ritage unique.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nL’entr\u00e9e de contr\u00f4le d’acc\u00e8s ne s’applique pas au fichier\/r\u00e9pertoire&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nen cours.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nID – H\u00e9rit\u00e9.&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nL’entr\u00e9e de contr\u00f4le d’acc\u00e8s a h\u00e9rit\u00e9 de la liste de contr\u00f4le&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nd’acc\u00e8s du r\u00e9pertoire parent.[\/bash]Prenons l’exemple du r\u00e9pertoire : C:\\Hidden\\, certes pas tr\u00e8s camoufl\u00e9. Pour prot\u00e9ger l’acc\u00e8s \u00e0 se r\u00e9pertoire \u00e0 l’ensemble des administrateurs, l’intrus peut ex\u00e9cuter la commande suivante :<\/p>\n

[bash]&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;C:\\&amp;amp;amp;amp;gt;cacls c:\\Hidden \/E \/P Administrateurs:N&amp;amp;amp;lt;br \/&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\nr\u00e9pertoire trait\u00e9\u00a0: c:\\Hidden&amp;amp;amp;lt;\/p&amp;amp;amp;gt;&amp;amp;lt;br \/&amp;amp;gt;&amp;lt;br \/&amp;gt;
\n&amp;amp;amp;lt;p&amp;amp;amp;gt;[\/bash]<\/p>\n

Cette commande \u00e9dite (\/E) les ACLs du r\u00e9pertoire cible, en modifiants les permissions (\/P) du groupe “Administrateurs” \u00e0 “N” pour “NONE” soit aucune. En d’autres termes, aucun administrateur ne pourra :<\/p>\n