Kiedy nikt nie jest zalogowany do systemu Windows (wyświetlany jest ekran logowania), który użytkownik jest uruchomiony jako bieżący proces? (Sterowniki wideo / dźwięku, sesja logowania, dowolne oprogramowanie serwera, kontrola dostępu itp. Nie mogą być żadnym użytkownikiem ani poprzednim użytkownikiem, ponieważ nikt nie jest zalogowany. Co z procesami uruchomionymi przez użytkownika, ale nadal uruchomić po wylogowaniu? (Na przykład HTTP, serwery FTP i inne elementy sieciowe). Czy przełączają się na konto SYSTEM? Jeśli proces rozpoczęty przez użytkownika przełącza się na SYSTEM, oznacza to bardzo poważną lukę. Czy proces działa jako ten użytkownik kontynuować działanie jako ten użytkownik po wylogowaniu?
Czy dlatego hack SETHC pozwala ci używać CMD jako SYSTEMU?
Odpowiedzi:
Prawie wszystkie sterowniki działają w trybie jądra ; nie potrzebują konta, chyba że rozpoczną procesy w przestrzeni użytkownika. Nieliczne sterowniki przestrzeni użytkownika działają w systemie SYSTEM.
Sesja logowania, nie mogę teraz sprawdzić, ale jestem pewien, że również używa SYSTEM. Można zobaczyć Logonui.exe w Hacker Process lub SysInternals ProcExp . W rzeczywistości, można zobaczyć wszystko w ten sposób.
„Oprogramowanie serwera”, patrz usługi Windows poniżej.
Istnieją tutaj trzy rodzaje:
Proste stare procesy „w tle”. Te działają na tym samym koncie, co ktokolwiek je założył i nie działają po wylogowaniu. Proces wylogowania zabija ich wszystkich.
„HTTP, serwery FTP i inne funkcje sieciowe” nie działają jako zwykłe procesy w tle. Działają jako usługi.
Procesy „usługowe” systemu Windows. Nie są one uruchamiane bezpośrednio, ale za pośrednictwem Service Managera. Domyślnie usługi działają jako LocalSystem (co isanae oznacza SYSTEM), chociaż mogą mieć skonfigurowane dedykowane konta.
(Oczywiście, praktycznie nikt się nie przejmuje. Po prostu instalują XAMPP, WampServer lub inne bzdury i pozwalają mu działać jako SYSTEM, na zawsze niezałatany.)
Wydaje mi się, że w najnowszych systemach Windows usługi mogą mieć także własne identyfikatory SID, ale znowu nie zbadałem jeszcze zbyt wiele.
Zaplanowane zadania. Są one uruchamiane przez usługę „Harmonogram zadań” w tle i zawsze działają na koncie skonfigurowanym w zadaniu (zwykle ten, kto utworzył zadanie).
To nie jest usterka, ponieważ trzeba już mieć uprawnienia administratora, aby zainstalować usługę. Posiadanie uprawnień administratora pozwala już robić praktycznie wszystko.
(patrz także różne inne tego typu luki w zabezpieczeniach )
źródło
Procesy logowania i wstępnego logowania działają jako SYSTEM (zwany także LocalSystem). W rzeczywistości jednym ze sposobów uruchomienia powłoki (takiej jak monit CMD) jako SYSTEM w niektórych wersjach systemu Windows jest zastąpienie programu ułatwień dostępu, takiego jak czytnik ekranu, lupa lub klawiatura ekranowa, kopią (lub link do)
CMD.EXE, a następnie użyj skrótu, aby włączyć tę funkcję ułatwień dostępu przed zalogowaniem. Otrzymasz wiersz polecenia, nawet jeśli nie ma zalogowanych użytkowników iCMDbędzie działał jako SYSTEM.(Uwaga: jest to oczywiście niebezpieczne, ponieważ pozwala ludziom ominąć proces logowania do systemu Windows. Nigdy nie należy konfigurować komputera w ten sposób, a następnie pozostawić go w ten sposób).
źródło
Nie „przełączają się” na nic; takie procesy nigdy nie działają w bieżącym kontekście użytkownika.
Są własnością
SYSTEMużytkownika.Wszelkie procesy i usługi należące do indywidualnego użytkownika są usuwane po wylogowaniu.
To właśnie oznacza wylogowanie .
źródło
psdrugiego