Mac OS High Sierra root账户漏洞问题

我的个人空间yegail

问题描述

“用户不需要密码，只需输入用户名“root”即可进入系统。Mac OS High Sierra的这一严重漏洞能够让任何人获得Mac系统的根访问权限。”

网上很多对这个漏洞的描述，我觉得不够准确。具体地说，这个漏洞只会发生在启用了root用户的Mac电脑上。未启用root用户你输再多次root，点在多次“解锁”都不会发生。

我10月份才拿到的新MacBookPro默认是没有开起root用户的，要是其他电脑也默认未开起root用户，我想大多数人是不会去启用root用户的，也就不用那么紧张。

复现问题

开启root用户的登录窗口会有多一个“其他”选项，如下图：

IMG_1273.png

1. 点“其他”，用户名输入"root"，不输入密码就可以进入系统。若是第一次使用root用户，就会跟其他设置了密码的用户第一次使用时一样，系统会引导进行一些设置。

2. 点“客人用户”，进入访客模式，在任何需要输入用户名密码的地方，用户名输入“root”，不输入密码，就可进行“登录”“解锁”等操作。比例：“系统偏好设置”->“用户与群组”->“点解锁按钮以进行更改”->用户名输入“root”，密码为空就可解锁。

临时解决办法

1. 禁用root用户
   需要用户通过第1种方式进入系统：

   1） 点“其他”，用户名输入"root"，不输入密码就可以进入系统；

   2） “系统偏好设置”->“用户与群组”->单击“登录选项”->点右边“网络账户服务器”的“加入”，在弹出的框上点“打开目录使用工具”；

   3） 在目录实用工具的菜单栏上点击“编辑”->点击“停用root用户”，如下图：

   
   WX20171130-111737@2x.png

2.更改Root密码
上面的步骤走到3，可看到有“更改Root密码”，点击输入Root新密码。

PS：“启用Root用户” 可以在任何有管理权限的用户启用，
而“停用Root用户”，若是已经登录了root用户进行了系统设置，则只能登录root用户进行禁用设置。

如有任何错误请您留言，非常感谢！