Golpee la playa para "grabar" Windows XP

Por lo general, cuando usamos Windows XP, siempre debemos iniciar sesión primero. El mecanismo de autenticación de inicio de sesión de Windows XP es mucho más estricto que el de Windows 98. Es muy importante para nosotros entender y dominar el mecanismo y el principio de autenticación de inicio de sesión de Windows XP. Puede mejorar la comprensión de la seguridad del sistema y prevenir y resolver eficazmente la invasión de hackers y virus.

Primero, comprenda Windows XP

Varios tipos de inicio de sesión

1. Inicio de sesión interactivo

El inicio de sesión interactivo es el tipo más común de inicio de sesión que normalmente iniciamos sesión. Los usuarios inician sesión localmente con la cuenta de usuario y la contraseña correspondientes. Algunos internautas piensan que "inicio de sesión interactivo" es "inicio de sesión local", de hecho, esto es incorrecto. "Inicio de sesión interactivo" también incluye "inicio de sesión de cuenta de dominio", mientras que "inicio de sesión local" está limitado a "inicio de sesión de cuenta local".

Es necesario mencionar que el servicio de terminal y el host de inicio de sesión de escritorio remoto se pueden considerar como "inicio de sesión interactivo", el principio de verificación es el mismo.

En el inicio de sesión interactivo, el sistema primero verificará el tipo de cuenta de usuario que ha iniciado sesión, ya sea una cuenta de usuario local (Cuenta de usuario local) o una cuenta de usuario de dominio (Cuenta de usuario de dominio), y luego utilizará el mecanismo de autenticación correspondiente. Debido a los diferentes tipos de cuentas de usuario, los métodos de procesamiento son diferentes.

Account Cuenta de usuario local

Inicie sesión con una cuenta de usuario local y el sistema verificará la información almacenada en la base de datos SAM local. Entonces, ¿por qué Windows 2000 olvida la contraseña del administrador se puede resolver eliminando el archivo SAM? Sin embargo, no es posible para Windows XP, puede ser por razones de seguridad. Después de iniciar sesión con una cuenta de usuario local, solo puede acceder a los recursos locales con derechos de acceso.
(Figura 1)
Figura 1

Cuenta de usuario de dominio

Inicie sesión con una cuenta de usuario de dominio y el sistema verifica los datos almacenados en el Directorio activo del controlador de dominio. Si la cuenta de usuario es válida, después de iniciar sesión, puede acceder a los recursos con derechos de acceso en todo el dominio. Consejo

: si la computadora se une al dominio, el cuadro de diálogo de inicio de sesión mostrará el elemento "Iniciar sesión en:", desde el cual puede elegir iniciar sesión en el dominio o iniciar sesión en la máquina.

2. Inicio de sesión en la red

Si su computadora está unida a un grupo de trabajo o dominio, necesitará un "inicio de sesión en la red" cuando desee acceder a recursos de otras computadoras. Como se muestra en la Figura 2, cuando desee iniciar sesión en el host llamado Heelen, ingrese el nombre de usuario y la contraseña del host y verifíquelo. El recordatorio aquí es que la cuenta de usuario ingresada debe estar en el otro host, no la cuenta de usuario en el host. Debido a que el inicio de sesión en la red se realiza, la validez de la cuenta de usuario es controlada por el host entrevistado.
Figura 2

3. Inicio de sesión de servicio

El inicio de sesión de servicio es un método de inicio de sesión especial. Por lo general, cuando el sistema inicia el servicio y el programa, se ejecuta después de iniciar sesión con ciertas cuentas de usuario, que pueden ser cuentas de usuario de dominio, cuentas de usuario locales o cuentas de SISTEMA. El inicio de sesión con diferentes cuentas de usuario, su acceso al sistema, los permisos de control también son diferentes y, con un inicio de sesión de cuenta de usuario local, solo puede acceder a recursos locales con derechos de acceso, no puede acceder a recursos en otras computadoras, esto y " El inicio de sesión interactivo es similar.

Como se puede ver en el administrador de tareas de la Figura 3, la cuenta utilizada por el proceso del sistema es diferente. Cuando se inicie el sistema, algunos servicios de base y Win32 se registrarán previamente en el sistema para lograr el acceso y control del sistema. Estos servicios se pueden configurar ejecutando Services.msc. Debido a que los servicios del sistema tienen una posición fundamental, generalmente se registran con la cuenta del SISTEMA, por lo que tienen control absoluto sobre el sistema, por lo que muchos virus y troyanos también están compitiendo para unirse al sistema aristocrático. Además de SISTEMA, algunos servicios también se registran con las cuentas de Servicio local y Servicio de red. Una vez que se inicializa el sistema, todos los programas que ejecuta el usuario inician sesión con su propia cuenta.
Figura 3

El principio mencionado anteriormente no es difícil de entender porque muchos artículos informáticos le dicen al usuario promedio que, al usar la computadora, debe iniciar sesión como usuarios del grupo Usuarios, porque incluso si ejecuta un virus o un troyano, Debido a las restricciones de permisos correspondientes de la cuenta de usuario que inició sesión, a lo sumo, los recursos que pertenecen al propio usuario pueden ser destruidos, y la información importante para mantener la seguridad y la estabilidad del sistema no es destructiva.

4. Inicio de sesión por lotes

Los usuarios generales rara vez utilizan los inicios de sesión por lotes y, por lo general, los programas que realizan operaciones por lotes. Al realizar el inicio de sesión por lotes, la cuenta utilizada debe tener el derecho de trabajar por lotes, de lo contrario no podrá iniciar sesión.

Por lo general, estamos más expuestos al "inicio de sesión interactivo", por lo que el autor explicará el principio de "inicio de sesión interactivo" en detalle.

Segundo, inicio de sesión interactivo, qué componentes se utilizan en el sistema

1. Winlogon. Exe

Winlogon.exe es el componente más importante de "inicio de sesión interactivo". Es un proceso seguro y es responsable del siguiente trabajo:

◇ Cargar otros componentes de inicio de sesión.

◇ Proporciona una interfaz gráfica para las operaciones relacionadas con el usuario, para que los usuarios puedan iniciar o cerrar sesión.

发送 Envíe la información necesaria a GINA según sea necesario.

2. GINA

El nombre completo de GINA es "Identificación gráfica y autenticación": reconocimiento gráfico y verificación. Es un archivo de base de datos dinámico llamado por Winlogon.exe para proporcionar una función para identificar y verificar la identidad del usuario, y para alimentar la cuenta y la contraseña del usuario a Winlogon.exe. Durante el proceso de inicio de sesión, GINA muestra la "Pantalla de bienvenida" y el "Cuadro de diálogo de inicio de sesión".

Algunos programas de configuración de temas, como StyleXP, pueden especificar Winlogon.exe para cargar GINA desarrollado por el comerciante, proporcionando así una interfaz de inicio de sesión diferente para Windows XP. Debido a esta modificabilidad, ahora existe un troyano que roba cuentas y contraseñas.

Un troyano para el método de inicio de sesión "Pantalla de bienvenida", que simula la interfaz de bienvenida de Windows XP. Cuando el usuario ingresa la contraseña, el troyano la obtiene, pero el usuario no es consciente. Por lo tanto, se recomienda que no inicie sesión con la pantalla de bienvenida, y debe configurar el "inicio de sesión seguro".

El otro es el troyano GINA para el cuadro de diálogo de inicio de sesión. El principio es cargar al iniciar sesión para robar la cuenta y la contraseña del usuario, y luego guardar esta información en WinEggDrop en% systemroot% \\ system32. En la dat. El troyano bloqueará el inicio de sesión y las funciones de "cambio de usuario" en el modo "Pantalla de bienvenida", y también bloqueará el aviso de inicio de sesión seguro de "Ctrl-Alt-Delete".

Los usuarios no tienen que preocuparse demasiado por ser instalados con el troyano GINA. El autor aquí ofrece soluciones para todos:

El llamado "resolver el timbre aún debe sonar el timbre", para ver su propia computadora Una vez que haya instalado el troyano GINA, puede descargar un troyano GINA y, a continuación, ejecutar InstGina -vIEw, puede verificar si la clave GinaDLL en el sistema se ha instalado DLL, principalmente para verificar si el sistema está instalado por Gina Trojan como inicio de sesión. Si tiene la mala suerte de instalar el troyano GINA, puede ejecutar InstGina -Retire para desinstalarlo.

3. LSA Service

La LSA se denomina "Autoridad de seguridad local", una autoridad de seguridad local. Un servicio muy importante en Windows. Todo el procesamiento relacionado con la autenticación de seguridad debe pasar este servicio. Obtiene la cuenta y la contraseña del usuario de Winlogon.exe y luego la procesa a través del mecanismo clave y la compara con la clave almacenada en la base de datos de la cuenta. Si los resultados de la comparación coinciden, la LSA considera que la identidad del usuario es válida y permite al usuario iniciar sesión. La computadora Si los resultados de la comparación no coinciden, la LSA considera que la identidad del usuario no es válida. En este punto, el usuario no puede iniciar sesión en la computadora.

¿Cómo ves estas tres letras familiares? Por cierto, este es el servicio que tiene una relación con la "onda de choque" que se ha estado librando en el pasado. El gusano "Sasser" usa la vulnerabilidad de desbordamiento de búfer remoto LSA para obtener el SISTEMA de mayor autoridad del sistema para atacar la computadora. La solución al problema es mucha información en línea, no mucho de lo que hablar aquí.

4. Base de datos SAM

El nombre completo de SAM se llama "Administrador de cuentas de seguridad": un administrador de cuentas seguro, que es un subsistema protegido que administra usuarios y grupos de usuarios a través de una cuenta segura almacenada en el registro de la computadora. Informacion Podemos pensar en SAM como una base de datos de cuentas. Para las computadoras que no están unidas al dominio, se almacena localmente, y para las computadoras que están unidas al dominio, se almacena en el controlador de dominio.

Si el usuario intenta iniciar sesión en la máquina, el sistema utilizará la información de la cuenta almacenada en la base de datos SAM almacenada en la máquina para compararla con la información proporcionada por el usuario; si el usuario intenta iniciar sesión en el dominio, el sistema utilizará la tienda. La información de la cuenta en la base de datos SAM en el controlador de dominio se compara con la información proporcionada por el usuario.

5. Net Logon Service

El servicio Net Logon se usa principalmente junto con NTLM (NT LAN Manager, el protocolo de autenticación predeterminado para Windows NT 4.0). Los usuarios autentican la información de la base de datos SAM en el controlador de dominio de Windows NT y la información proporcionada por el usuario. Si coincide. El protocolo NTLM está reservado principalmente para la compatibilidad con Windows NT.

6. Servicio KDC

El servicio KDC (Centro de distribución de claves Kerberos) se usa principalmente junto con el protocolo de autenticación Kerberos para autenticar los inicios de sesión de los usuarios en todo el Directorio activo. Si se asegura de que no haya computadoras con Windows NT en todo el dominio, solo puede usar el protocolo Kerberos para garantizar la máxima seguridad. Este servicio no se habilitará hasta que se inicie el servicio de Active Directory.

7. Servicios de Active Directory

Si su computadora está unida a un dominio de Windows 2000 o Windows 2003, debe iniciar el servicio para admitir las funciones de Active Directory.

Tercero, antes y después del inicio de sesión, ¿qué hace Winlogon?

Si el usuario configura "inicio de sesión seguro", se registrará en el sistema cuando se inicie Winlogon. A SAS (secuencia de atención segura). SAS es un conjunto de combinaciones de teclas, que de manera predeterminada es Ctrl-Alt-Delete. Su función es garantizar que la información ingresada por el usuario al iniciar sesión de manera interactiva sea aceptada por el sistema y no sea obtenida por otros programas. Por lo tanto, al utilizar "inicio de sesión seguro" para iniciar sesión, puede asegurarse de que los hackers no robarán la cuenta y la contraseña del usuario. Para habilitar la función de "inicio de sesión seguro", puede ejecutar el comando "Control userpassWords2", abrir el cuadro de diálogo "Cuenta de usuario", seleccionar "Avanzado".
(Figura 4) Seleccione la opción "Requerir a los usuarios que presionen Ctrl-Alt-Delete" y luego confirme. Más adelante, antes de que aparezca cada cuadro de diálogo de inicio de sesión, aparece un mensaje pidiéndole al usuario que presione la combinación de teclas Ctrl-Alt-Delete para que aparezca el cuadro de diálogo de inicio de sesión de Windows XP GINA al iniciar sesión, porque solo la GINA del sistema puede interceptarlo. Información clave de combinación. Como se mencionó anteriormente, el troyano GINA bloqueará el mensaje de "inicio de sesión seguro", por lo que si el mensaje de "inicio de sesión seguro" se bloquea sin motivo, también es un precursor del troyano. La función de "inicio de sesión seguro" se usó para proteger la seguridad del sistema desde Windows 2000.
Figura 4

Después de registrar SAS con Winlogon, se llama a GINA para generar 3 sistemas de escritorio, que se utilizan cuando el usuario los necesita. Son:

users Los usuarios de escritorio de Winlogon están ingresando Al iniciar sesión en la interfaz, ingresé a Winlogo