Zachowanie udziału IPC$ i sesji o wartości null w systemie Windows

W tym artykule opisano międzyprocesowy udział komunikacyjny (IPC$) i zachowanie sesji o wartości null w systemie Windows.

Oryginalny numer KB: 3034016

Informacje o udziale IPC$

Udział IPC$ jest również znany jako połączenie sesji o wartości null. Korzystając z tej sesji, system Windows umożliwia anonimowym użytkownikom wykonywanie określonych działań, takich jak wyliczanie nazw kont domeny i udziałów sieciowych.

Udział IPC$ jest tworzony przez usługę systemu Windows Server. Ten specjalny udział istnieje, aby umożliwić kolejne nazwane połączenia potoku z serwerem. Nazwane potoki serwera są tworzone przez wbudowane składniki systemu operacyjnego i wszystkie aplikacje lub usługi zainstalowane w systemie. Po utworzeniu nazwanego potoku proces określa zabezpieczenia skojarzone z potokiem. Następnie upewnia się, że dostęp jest udzielany tylko określonym użytkownikom lub grupom.

Konfigurowanie dostępu anonimowego przy użyciu ustawień zasad dostępu sieciowego

Udziału IPC$ nie można zarządzać ani ograniczać w następujących wersjach systemu Windows:

• Windows Server 2003
• Windows Server 2008
• Windows Server 2008 R2

Jednak administrator ma kontrolki dotyczące wszystkich nazwanych potoków, które zostały włączone. Dostęp do nich można uzyskać anonimowo przy użyciu dostępu do sieci: nazwanych potoków, do których można uzyskać dostęp anonimowo . Jeśli ustawienie zasad jest skonfigurowane tak, aby nie zawierało żadnych wpisów, takich jak wartość null, dostęp do nazwanych potoków nie będzie można uzyskać anonimowo. Należy się upewnić, że żadne aplikacje ani usługi w środowisku nie korzystają z anonimowego dostępu do dowolnych nazwanych potoków na serwerze.

System Windows Server 2003 nie uniemożliwia już anonimowego dostępu do udziału IPC$. Następujące ustawienie zasad zabezpieczeń określa, czy grupa Wszyscy jest dodawana do sesji anonimowej:

Dostęp sieciowy: Zezwalaj wszystkim na stosowanie uprawnień do użytkowników anonimowych

Jeśli to ustawienie jest wyłączone, jedynymi zasobami, do których może uzyskiwać dostęp anonimowy użytkownik, są te zasoby przyznane grupie Logowanie anonimowe.

W systemie Windows Server 2012 lub nowszym istnieje funkcja umożliwiająca określenie, czy sesje anonimowe powinny być włączone na serwerach plików. Określa się to, sprawdzając, czy jakiekolwiek potoki lub udziały są oznaczone na potrzeby dostępu zdalnego.