前幾天分享了一起在遠端桌面貼上檔案內容被加料的可怕案例,由讀者朋友們回響,發現不少人都遇過,發生機率沒想像中低。而爬文的心得:RDP 並非可靠的檔案傳輸協定,檔案內容封包會跟畫面顯示、滑鼠鍵盤訊息交錯,蠻容易出錯。包含微軟的人都建議用本機資源形式分享本機磁碟機,再以 \\TSCLIENT\DRIVE_NAME 路徑交換檔案比較可靠。

但這個做法有個缺點,分享要以磁碟機為單位,不能只分享特定資料夾。

這有什麼壞處呢?

由於遠端桌面對分享的磁碟機且有讀寫權限,依資安準則,開放權限應以有必要的最小範圍為原則,開放整個 C 槽,等同允許遠端主機讀寫 C:\Windows、C:\Program Files 及使用者文件夾、桌面... 等;即使共用的不是系統碟是資料碟,終究還是曝露了遠端連線用不到的檔案,徒增風險。

舉個極端例子,萬一(對,資安百搭起手式 - 萬一 😄)遠端桌面主機上有惡意軟體,等於給它機會看光整個系統碟及個人資料,甚至可以竄改覆寫內容。因此,更理想做法應該是建個交換資料專用的資料夾,只分享這個資料夾就好。要怎麼做?

有個古老 DOS 指令叫 subst,它可將特定資料夾掛載成磁碟機,其指令為 subst T: C:\Temp\RdpTransfer,執行後電腦會多出一個 T 槽,操作與一般磁碟機相同:

要刪除磁碟機指令則為 subst T: /d

如此,登入遠端桌面時我們只分享 T 槽就好:

遠端主機讀寫檔案的範圍限縮在 C:\Temp\RdpTransfer 這個資料夾,呼,安全多了。


Comments

# by helloworld

刪除磁碟機指令應該是`subst T: /d`喔~

# by Jeffrey

to helloworld,感謝,已修正。

Post a comment


49 - 33 =