解析程序為何不能訪問網路資源 作者Bingle

2021-04-14 12:19:20 字數 3747 閱讀 6721

------- 本地系統賬號和iis模擬

system許可權的程序使用net use訪問網路共享時產生「系統發生 1312 錯誤,指定的登入會話不存在,可能已被終止。」,本文試圖對此進行一下解釋。再有就是使用iis建立的程序通常也不能使用網路資源,產生的錯誤是一樣的,原因也在這篇文章裡闡述了。

當使用者登入系統時,windows nt/2000 將驗證他的密碼,如果使用者驗證成功,系統產生乙個訪問令牌,它包含使用者安全標示符(sid)、組sid列表、特權列表和模擬(impersonating)資訊等安全資訊。該使用者啟動的任何程序都將附加該令牌,訪問令牌代表程序的安全環境,它控制了程序與可保護物件(securable object)的互動。當程序訪問乙個可保護物件時,系統將該物件的訪問控制列表(acl)中的每個訪問控制項(ace)和訪問令牌中的 sid 進行比較以確定程序是否可以訪問該物件。由於使用者啟動的任何程序都將附加該使用者的訪問令牌,因此任何程序都知道使用者的 sid 並且可以訪問它。

local system 賬號是內建的系統賬號,所有系統程序都在 local system 的安全環境中執行,local system 賬號是用於啟動服務的預設賬號,它繼承了服務控制管理器的安全環境,在本地計算機上擁有幾乎無限的許可權。在 local system 賬號環境執行的程序沒有與任何已登入的使用者賬號相聯絡,沒有用於驗證的信任憑證(使用者名稱、域和密碼),而該信任憑證(credential)用於網路上其他計算機的驗證,這樣以 local system 賬號執行的程序就不能訪問網路資源,如網路共享。

在 local system 賬號環境執行的程序和普通程序的不同之處在於:

1) 登錄檔的 hkey_current_user 鍵是和預設使用者而不是當前使用者相聯絡的,要訪問其他使用者的配置檔案,需要先模擬該使用者,然後再訪問 hkey_current_user 。

2) 可以開啟 hkey_local_machine/security 登錄檔鍵

3) 該程序不能訪問網路資源,如共享、管道,因為它不能提供信任憑證,而只能使用空連線。 在 hkey_local_machine/system/currentcontrolset/services/lanmanserver/parameters 處的 nullsessionpipes 和 nullsessionshares 的值指明了可以被空連線訪問的管道和共享。

或者也可以設定 restrictnullsessaccess = 0,以允許空連線的使用者訪問該計算機上的所有管道和共享。(呵呵,這個是個安全隱患呦,可不要幹呀。上邊兩個值最好也全都設成空)

4) 不能和其他程式共享物件,除非在建立物件時設定 dacl 允許使用者訪問。

5) 如果啟動命令列提示符來執行批處理檔案,使用者可以按 ctrl+c 來終止批處理的執行,並且使用者就獲得了乙個 local system 許可權的 shell。

正是由於服務程式執行在許可權極大的 local system 賬號下,如果網路客戶也使用該賬號來訪問系統將給系統帶來安全隱患,因此 nt/2000 提供了模擬功能 --- 服務程式在處理客戶請求時使用乙個許可權較低的客戶身份執行,處理完客戶請求再恢復。iis就是使用這個原理,雖然配置 iis 以 local system 賬號執行,而一般的匿名請求就是以 iusr_computer 身份(guests 組)和 iwam_computer 身份(guests 組)執行的。模擬又分兩種,在程序裡使用模擬令牌來模擬某個使用者(模擬令牌裡的使用者)和使用主要令牌來建立新的程序。在程序內的某個執行緒可以使用 impersonateloggedonuser(同時需要提供乙個代表某個登入使用者的模擬令牌)模擬使用者時,這個執行緒就是該模擬令牌代表的使用者的身份,處理完成後使用 reverttoself 恢復自己的身份。建立新的程序使用 createprocessasuser(比 createprocess 函式多乙個主要令牌的引數),這樣啟動的新程序就不是父程序的身份,而是主要令牌代表的登入使用者。對於asp、asa等isapi擴充套件,是動態連線庫的形式,是程序內的模擬;而cgi程式(cmd.exe,ncx99.exe)則是使用的建立新程序方式進行的模擬。

不過即使我們通過iis啟動了程序,一般仍然不能使用網路資源,就是不能使用 net use,如果使用將產生「系統發生 1312 錯誤。指定的登入會話不存在。可能已被終止。」的錯誤,這是因為不同的登入型別造成的。windows nt支援以下5種登入型別:

登入型別

含義

logon32_logon_interactive 

互動登入:這個是通常的本地登入或者終端服務、telnet等

logon32_logon_service 

服務登入:作為服務登入系統

logon32_logon_network 

網路登入:用於高效能的服務來驗證明文密碼

logon32_logon_batch

批處理登入:用於批處理伺服器或者同時處理多個明文驗證的高效能伺服器

logon32_logon_unlock 

解除鎖定登入:設計用來為 gina dll 記錄互動登入使用者解除工作站鎖定的。這種型別允許在工作站解除鎖定時產生一條審核記錄

除了以上5種登入型別外,windows 2000 還支援以下兩種型別logon32_logon_network_cleartext,logon32_logon_new_credentials(詳細詳細參見 msdn 裡關於 logonuser 函式的解釋)。

根據 iis 驗證方式的不同,iis支援不同的登入型別。iis 4支援以下5種型別的驗證方式:

驗證型別

模擬型別

匿名登入(沒有驗證),允許密碼自動同步(預設)

network - 網路

匿名登入(沒有驗證),禁止密碼自動同步

iis clear text - iis明文

基本驗證

iis clear text - iis明文

整合nt驗證,ntlm

network - 網路

interactive - 互動

可否訪問網路資源由模擬的登入令牌型別決定,網路登入令牌是不能訪問網路資源的,因為這種型別的訪問令牌是在通過網路完成驗證後由伺服器建立的,伺服器使用這種令牌來訪問網路上的其他計算機是乙個安全隱患。

互動登入就和本地登入一樣,是可以訪問網路資源的。

iis 支援的第三種型別的訪問令牌是批處理令牌,它是設計用來在安全的環境裡進行批處理工作的,批處理令牌也可以訪問網路資源。

iis 明文驗證的概念來自於iis是以明文的方式獲得使用者名稱和密碼的事實。管理員可以控制明文登入建立互動令牌、批處理令牌還是網路令牌,這由 metabase的 logonmethod 屬性決定。預設這種登入建立互動令牌。

一般管理員在配置 iis 時會允許密碼自動同步(這樣就不用關心 iusr_computer 使用者的密碼的更改),還有就是整合 nt 的 ntlm 驗證也是比較常見的,不過這兩者驗證都將建立網路訪問令牌,因此我們就不能訪問網路資源了。

access tokens

client's security context

localsystem account

impersonating clients

impersonateloggedonuser

createprocessasuser

reverttoself

logonuser

以上所有資料均來自msdn

注:關於msdn資料裡系統賬號特殊之處這段:

本來2000/5的資料是這樣的:

後來獲得最新資料,微軟的說法有變,意思自然也不同了。

解析程序為何不能訪問網路資源 作者Bingle

本地系統賬號和iis模擬 system許可權的程序使用net use訪問網路共享時產生 系統發生 1312 錯誤,指定的登入會話不存在,可能已被終止。本文試圖對此進行一下解釋。再有就是使用iis建立的程序通常也不能使用網路資源,產生的錯誤是一樣的,原因也在這篇文章裡闡述了。當使用者登入系統時,win...

虛擬主機為何不能直接用IP訪問

虛擬主機,顧名思義,是虛擬的主機,也就是說在一台伺服器可以虛擬多個主機,每個主機對應乙個 可以有多個網域名稱訪問 而ip位址,對於網際網路上的主機來說,全世界每台主機都只有乙個唯一的ip位址,這就好比全中國只有您乙個唯一的身份證號碼一樣。而當多個虛擬主機對應到乙個ip位址上時,就會出現問題了,怎麼訪...

虛擬主機為何不能直接用IP訪問

虛擬主機,顧名思義,是虛擬的主機,也就是說在一台伺服器可以虛擬多個主機,每個主機對應乙個 可以有多個網域名稱訪問 而ip位址,對於網際網路上的主機來說,全世界每台主機都只有乙個唯一的ip位址,這就好比全中國只有您乙個唯一的身份證號碼一樣。而當多個虛擬主機對應到乙個ip位址上時,就會出現問題了 無法對...