Als u nieuwsgierig bent naar en meer wilt weten over hoe Windows onder de motorkap werkt, vraagt u zich misschien af onder welke "account" actieve processen worden uitgevoerd wanneer niemand is aangemeld bij Windows. Met dat in gedachten biedt de SuperUser Q & A-post van vandaag antwoorden voor een nieuwsgierige lezer.
De vraag- en antwoordsessie van vandaag komt tot ons dankzij SuperUser - een onderdeel van Stack Exchange, een community-gedreven groepering van Q & A-websites.
De vraag
SuperUser-lezer Kunal Chopra wil weten welk account door Windows wordt gebruikt als niemand is ingelogd:
Wanneer niemand is aangemeld bij Windows en het inlogscherm wordt weergegeven, onder welk gebruikersaccount worden de huidige processen uitgevoerd (stuurprogramma's voor video en geluid, inlogsessie, eventuele serversoftware, toegankelijkheidscontroles, enz.)? Het kan geen enkele gebruiker zijn of de vorige gebruiker omdat er niemand is ingelogd.
Hoe zit het met processen die door een gebruiker zijn gestart, maar blijven draaien nadat ze zijn afgemeld (bijvoorbeeld HTTP / FTP-servers en andere netwerkprocessen)? Schakelen ze over naar het SYSTEM-account? Als een door de gebruiker gestart proces wordt overgeschakeld naar het SYSTEM-account, duidt dat op een zeer ernstige kwetsbaarheid. Wordt een dergelijk proces dat door die gebruiker wordt uitgevoerd, op de een of andere manier onder het account van die gebruiker uitgevoerd nadat deze zich heeft afgemeld?
Is dit de reden waarom je met de SETHC-hack CMD als SYSTEEM kunt gebruiken?
Welk account wordt door Windows gebruikt als er niemand is ingelogd?
Het antwoord
SuperUser-bijdrager Grawity heeft het antwoord voor ons:
Wanneer niemand is aangemeld bij Windows en het inlogscherm wordt weergegeven, onder welk gebruikersaccount worden de huidige processen uitgevoerd (stuurprogramma's voor video en geluid, inlogsessie, eventuele serversoftware, toegankelijkheidscontroles, enz.)?
Bijna alle stuurprogramma's draaien in kernelmodus; ze hebben geen account nodig, tenzij ze beginnen gebruikersruimte processen. Die gebruikersruimte stuurprogramma's draaien onder SYSTEEM.
Met betrekking tot de inlogsessie ben ik er zeker van dat deze ook SYSTEEM gebruikt. U kunt logonui.exe zien met Proces Hacker of SysInternals Process Explorer . In feite kun je alles op die manier zien.
Zie Windows-services hieronder voor wat betreft serversoftware.
Hoe zit het met processen die door een gebruiker zijn gestart, maar blijven draaien nadat ze zijn afgemeld (bijvoorbeeld HTTP / FTP-servers en andere netwerkprocessen)? Schakelen ze over naar het SYSTEM-account?
Er zijn hier drie soorten:
- Gewone oude achtergrondprocessen: deze worden uitgevoerd onder hetzelfde account als degene die ze heeft gestart en worden niet uitgevoerd nadat u zich hebt afgemeld. Het uitlogproces doodt ze allemaal. HTTP / FTP-servers en andere netwerkprocessen werken niet als normale achtergrondprocessen. Ze werken als services.
- Windows-serviceprocessen: deze worden niet rechtstreeks gestart, maar via het Service Manager . Standaard worden services uitgevoerd als LocalSystem (which isanae zegt is gelijk aan SYSTEEM) kunnen speciale accounts hebben geconfigureerd. Natuurlijk stoort vrijwel niemand. Ze installeren gewoon XAMPP, WampServer of een andere software en laten het draaien als SYSTEEM (voor altijd ongepatcht). Op recente Windows-systemen denk ik dat services ook hun eigen SID's kunnen hebben, maar nogmaals, ik heb hier nog niet veel onderzoek naar gedaan.
- Geplande taken: deze worden gestart door de Taakplanner-service op de achtergrond en voer altijd uit onder het account dat in de taak is geconfigureerd (meestal degene die de taak heeft gemaakt).
Als een door de gebruiker gestart proces wordt overgeschakeld naar het SYSTEM-account, duidt dat op een zeer ernstige kwetsbaarheid .
Het is geen kwetsbaarheid omdat jij moet al beheerdersrechten hebben om een dienst te installeren. Met beheerdersrechten kunt u praktisch alles doen.
Zie ook: Diverse andere niet-kwetsbaarheden van dezelfde soort.
Zorg ervoor dat je de rest van deze interessante discussie leest via de onderstaande threadlink!
Iets toe te voegen aan de uitleg? Geluid uit in de reacties. Wilt u meer antwoorden lezen van andere technisch onderlegde Stack Exchange-gebruikers? Bekijk hier de volledige discussiethread .
