我的 Python 程序中的安全漏洞答案

【问题标题】：Security Flaw in my Python Program我的 Python 程序中的安全漏洞
【发布时间】：2011-09-08 22:59:37
【问题描述】：

我正在开发一个小程序，该程序需要用户插入 USB 闪存驱动器（预配置）才能登录系统。它现在的工作方式是您像往常一样登录到 Windows 操作系统。然后脚本检查 USB 密钥，如果找到，则关闭。但是，如果未找到密钥，则会出现一个对话框供用户输入密码。他们在安装过程中指定了一定的时间。

现在，问题在于，用户可以启动任务管理器并终止进程，从而使脚本无用。有一个更好的方法吗？如果 USB 密钥不存在，我将如何禁用任务管理器？

该软件完全用 Python 编写。

【问题讨论】：

您的用例不清楚。用户插入密钥时登录的是什么？你的程序？让您的主程序检查密钥是否存在，而不是单独的进程。视窗？然后，您需要构建一个 Windows 凭据提供程序。
您需要挂钩到 Windows 身份验证系统。 RSA 等公司拥有访问这些 API 的软件。
@Micheal：用户正在登录 Windows。 @Robert：我可以在 win auth 中添加一个钩子来检查密钥？
你应该调查Credential Provider和GINA接口来做你想做的事。
@Jim：脚本被编译成 Windows 可执行文件。我认为这是给定的。

【解决方案1】：

从您的 cmets，您将用户登录到 Windows 会话中。您将无法使用您设置的方案来保护系统 - 您已经发现了许多容易被利用的漏洞中的第一个。查看credential providers（以及GINA 用于比Vista 更早的Windows 版本）——它们确实是您前进的唯一明智之路。

您不太可能使用 Python 进行开发。

【讨论】：