บัญชี Windows ใดที่จะใช้เมื่อไม่มีใครลงชื่อเข้าใช้

เมื่อไม่มีใครล็อกอินเข้าสู่ Windows (หน้าจอเข้าสู่ระบบจะปรากฏขึ้น) ผู้ใช้ที่กระบวนการปัจจุบันทำงานเป็นใคร? (ไดรเวอร์วิดีโอ / เสียงเซสชันการเข้าสู่ระบบซอฟต์แวร์เซิร์ฟเวอร์ใด ๆ การควบคุมการเข้าถึง ฯลฯ พวกเขาไม่สามารถเป็นผู้ใช้หรือผู้ใช้ก่อนหน้านี้เพราะไม่มีใครเข้าสู่ระบบสิ่งที่เกี่ยวกับกระบวนการที่เริ่มต้นโดยผู้ใช้ ทำงานหลังจากออกจากระบบหรือไม่ (ตัวอย่างเช่น HTTP, เซิร์ฟเวอร์ FTP และระบบเครือข่ายอื่น ๆ ) พวกเขาเปลี่ยนเป็นบัญชีระบบหรือไม่หากกระบวนการที่ผู้ใช้เริ่มต้นเปลี่ยนเป็นระบบแสดงว่ามีช่องโหว่ร้ายแรงกระบวนการนี้ทำงานในฐานะผู้ใช้นั้นหรือไม่ ยังคงทำงานเป็นผู้ใช้รายนั้นหลังจากที่พวกเขาออกจากระบบ?

นี่คือสาเหตุที่การแฮ็ค SETHC อนุญาตให้คุณใช้ CMD เป็นระบบได้หรือไม่

เมื่อไม่มีใครล็อกอินเข้าสู่ Windows (หน้าจอเข้าสู่ระบบจะปรากฏขึ้น) ผู้ใช้ที่กระบวนการปัจจุบันทำงานเป็นใคร? (ไดรเวอร์วิดีโอ / เสียงเซสชันการเข้าสู่ระบบซอฟต์แวร์เซิร์ฟเวอร์ใด ๆ การควบคุมการเข้าถึงเป็นต้น

ไดรเวอร์เกือบทั้งหมดทำงานในโหมดเคอร์เนล พวกเขาไม่จำเป็นต้องมีบัญชีเว้นแต่พวกเขาเริ่มกระบวนการ userspace ไดรเวอร์พื้นที่ผู้ใช้สองสามตัวทำงานภายใต้ SYSTEM

เซสชันการเข้าสู่ระบบฉันไม่สามารถตรวจสอบได้ในตอนนี้ แต่ฉันแน่ใจว่ามันใช้ระบบเช่นกัน ท่านสามารถเข้าดู logonui.exe ในHacker กระบวนการหรือSysInternals procexp ในความเป็นจริงคุณสามารถเห็นทุกอย่างในแบบนั้น

"ซอฟต์แวร์เซิร์ฟเวอร์" โปรดดูบริการ Windows ด้านล่าง

สิ่งที่เกี่ยวกับกระบวนการที่เริ่มต้นโดยผู้ใช้ แต่ยังคงทำงานหลังจากออกจากระบบ? (ตัวอย่างเช่น HTTP, FTP เซิร์ฟเวอร์และอื่น ๆ เครือข่าย) พวกเขาเปลี่ยนเป็นบัญชีระบบหรือไม่

มีสามชนิดที่นี่:

1. กระบวนการ "พื้นหลัง" แบบเก่าธรรมดา ผู้ที่ทำงานภายใต้บัญชีเดียวกันกับผู้ที่เริ่มต้นใช้งานและจะไม่ทำงานหลังจากออกจากระบบ กระบวนการออกจากระบบฆ่าพวกเขาทั้งหมด

   "HTTP, FTP เซิร์ฟเวอร์และสิ่งอื่น ๆ เกี่ยวกับเครือข่าย" ไม่ทำงานตามกระบวนการพื้นหลังปกติ พวกเขาทำงานเป็นบริการ

2. กระบวนการ Windows "บริการ" สิ่งเหล่านี้ไม่ได้เปิดตัวโดยตรง แต่ผ่านทางผู้จัดการบริการ โดยบริการเริ่มต้นทำงานเป็น LocalSystem (ซึ่ง isanae บอกว่าเท่ากับระบบ) แม้ว่าพวกเขาสามารถมีการกำหนดค่าบัญชีเฉพาะ

   (แน่นอนว่าไม่มีใครมารบกวนพวกเขาเพียงแค่ติดตั้ง XAMPP หรือ WampServer หรืออึอื่น ๆ และปล่อยให้มันทำงานเป็น SYSTEM โดยไม่มีการแก้ไขตลอดไป)

   ในระบบ Windows ล่าสุดฉันคิดว่าบริการยังสามารถมีSID ของตัวเองได้แต่ฉันยังไม่ได้ทำการวิจัยมากขนาดนี้อีก

3. งานที่กำหนดไว้ สิ่งเหล่านี้ถูกเปิดใช้โดยบริการ "ตัวกำหนดเวลางาน" "ในพื้นหลัง" และมักจะทำงานภายใต้บัญชีที่กำหนดค่าไว้ในงาน (โดยปกติใครก็ตามที่สร้างงาน)

หากกระบวนการที่ผู้ใช้เริ่มต้นสลับไปที่ SYSTEM แสดงว่ามีช่องโหว่ที่ร้ายแรงมาก

มันไม่ได้เป็นช่องโหว่เพราะคุณจะต้องมีอยู่แล้วมีสิทธิ์ของผู้ดูแลในการติดตั้งบริการ การมีสิทธิ์ของผู้ดูแลระบบจะช่วยให้คุณทำทุกสิ่งได้จริง

(ดูประเภทอื่น ๆ ที่ไม่ใช่ช่องโหว่ประเภทเดียวกัน)

กระบวนการล็อกอินและการล็อกอินล่วงหน้าทำงานทั้งหมดเป็นระบบ (เรียกอีกอย่างว่า LocalSystem) ในความเป็นจริงวิธีหนึ่งในการรับเชลล์ (เช่นพรอมต์ CMD) ที่ทำงานเป็นระบบใน Windows บางเวอร์ชันคือการแทนที่โปรแกรมการช่วยการเข้าถึงเช่นโปรแกรมอ่านหน้าจอแว่นขยายหรือแป้นพิมพ์บนหน้าจอพร้อมสำเนา (หรือ เชื่อมโยงไปยัง) CMD.EXEจากนั้นใช้ทางลัดเพื่อเปิดใช้งานคุณลักษณะการช่วยสำหรับการเข้าถึงก่อนที่จะเข้าสู่ระบบคุณจะได้รับพรอมต์คำสั่งแม้ว่าจะไม่มีผู้ใช้รายใดก็ตามที่เข้าสู่CMDระบบ

(หมายเหตุ: สิ่งนี้เป็นอันตรายอย่างเห็นได้ชัดเพราะมันช่วยให้ผู้คนข้ามกระบวนการเข้าสู่ระบบ Windows ได้คุณไม่ควรกำหนดค่าคอมพิวเตอร์ด้วยวิธีนี้แล้วปล่อยให้เป็นแบบนั้น)

พวกเขาไม่ "สลับ" เป็นอะไรเลย กระบวนการดังกล่าวไม่เคยทำงานภายใต้บริบทผู้ใช้ปัจจุบัน
พวกเขาเป็นเจ้าของโดยSYSTEMผู้ใช้

กระบวนการและบริการใด ๆ ที่เป็นของผู้ใช้แต่ละรายจะถูกยกเลิกเมื่อออกจากระบบ
นั่นคือสิ่งที่เข้าสู่ระบบการออกหมาย