您的位置:首页 >互联网 >

MacOS High Sierra安全漏洞允许无需密码即可进行root登录

2019-10-06 16:14:09来源:

使用macOS High Sierra发现了一个重要的安全漏洞,该漏洞可能允许任何人使用完全的根管理功能登录Mac而无需输入密码。

这是一个紧急的安全问题,尽管应该尽快提供软件更新以解决问题,但本文将详细介绍如何保护Mac免受此安全漏洞的影响。

重要更新: Apple已针对macOS High Sierra发布了安全更新2017-001,以修复root登录错误,请立即下载。如果您运行的是macOS High Sierra,请尽快将更新下载到Mac。

什么是root登录错误,为什么重要?

为了快速了解背景,安全漏洞允许用户输入“ root”作为用户名,然后立即以root用户身份登录Mac,而无需输入密码。无需密码的root登录可以直接在物理机上在启动时看到的一般用户登录屏幕上进行,从通常需要身份验证的“系统偏好设置”面板中进行,或者,如果启用了后两个远程访问功能,则甚至可以通过VNC和远程登录进行。这些情况中的任何一种都允许完全访问MacOS High Sierra计算机,而无需使用密码。

超级用户帐户可以在MacOS或任何基于UNIX的操作系统上提供最高级别的系统访问权限,除了可以不受限制地访问任何系统级组件或文件之外,超级用户还可以授予计算机上管理用户帐户的所有功能。

受安全漏洞影响的Mac用户包括运行macOS High Sierra 10.13、10.13.1或10.13.2 Beta的任何人,这些人以前从未在Mac 上启用过root帐户或更改过root用户帐户密码,这是绝大多数运行High Sierra的Mac用户。

听起来不好,对吧?是的,但是有一个相当简单的解决方法,可以防止此安全漏洞成为问题。您要做的就是在受影响的Mac上设置root密码。

如何在MacOS High Sierra中防止没有密码的根登录

在MacOS High Sierra计算机上,有两种方法可以防止没有密码的root用户登录,您可以使用Directory Utility或命令行。我们都将介绍。Directory Utility对于大多数用户而言可能更容易,因为它完全是通过Mac上的图形界面完成的,而命令行方法是基于文本的,通常被认为更复杂。

使用目录实用程序锁定根目录

按下Command +空格键(或单击菜单栏右上角的Spotlight图标)在Mac上打开Spotlight,然后键入“ Directory Utility”,然后按回车键以启动应用程序

防止root密码少登录错误

单击角落的小锁图标,然后使用管理员帐户登录进行身份验证

防止root密码少登录错误

现在,下拉“编辑”菜单,然后选择“更改根密码...” ***

防止root密码少登录错误

输入root用户帐户的密码并确认,然后单击“确定”。

防止root密码少登录错误

关闭目录实用程序

***如果尚未启用root用户帐户,请选择“启用root用户”,然后设置密码。

本质上,您要做的就是为根帐户分配密码,这意味着以root用户登录将需要密码。如果您没有以这种方式为root用户分配密码,那么令人惊讶的是,macOS High Sierra计算机将接受根本没有密码的root用户登录。

使用命令行分配根密码

希望在macOS中使用命令行的用户还可以使用sudo和常规的旧passwd命令设置或分配root密码。

打开/ Applications / Utilities /中的终端应用程序

在终端中准确输入以下语法,然后按回车键:

sudo passwd root

输入您的管理员密码进行身份验证并点击回车

在“新密码”中,输入您不会忘记的密码,然后按回车并确认

停止无密码root登录,但从命令行在macOS High Sierra中停止

确保将root密码设置为您会记住的密码,或者甚至与您的管理员密码匹配。

我怎么知道我的Mac是否受到无密码的root登录错误的影响?

看来只有macOS High Sierra计算机受此安全漏洞的影响。检查Mac是否容易受到root登录错误影响的最简单方法是尝试以root用户登录,而无需输入密码。

您可以从常规启动登录屏幕或通过系统首选项(如FileVault或Users&Groups)中可用的任何管理员身份验证面板(单击锁定图标)来执行此操作。

只需将“ root”作为用户,不输入密码,然后单击“ Unlock”两次-如果该错误影响到您,则您将以root身份或授予root特权登录。您必须两次单击“解锁”,第一次单击“解锁”按钮,它将创建一个具有空密码的根帐户,第二次单击“解锁”,它将登录,以允许完全root用户访问。

macOS root登录错误允许root登录而无需密码

该漏洞基本上是一个0day根漏洞,最初由@lemiorhan在Twitter上向公众报告,由于潜在的严重影响,该漏洞很快引起了媒体的关注。Apple显然已意识到该问题,并且正在开发软件更新来解决该问题。

根登录错误是否会影响macOS Sierra,Mac OS X El Capitan或之前的版本?

无密码的root登录错误似乎仅影响macOS High Sierra 10.13.x,似乎不影响macOS和Mac OS X系统软件的早期版本。

此外,如果您之前已通过命令行或Directory Utility 启用了root,或者在其他时间更改了root密码,则该错误将无法在此类macOS High Sierra计算机上运行。

请记住,Apple已意识到此问题,并将在不久的将来发布安全更新以解决该错误。同时,请帮自己一个忙,在运行macOS High Sierra的Mac上设置或更改root密码,以防止他人未经授权完全访问该计算机及其所有数据和内容。