информационная безопасность
без паники и всерьез
 подробно о проектеRambler's Top100
Все любят медSpanning Tree Protocol: недокументированное применение
BugTraq.Ru
Русский BugTraq
 Анализ криптографических сетевых... 
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 Три миллиона электронных замков... 
 Doom на газонокосилках 
 Умер Никлаус Вирт 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / форум / programming
Имя Пароль
ФОРУМ
если вы видите этот текст, отключите в настройках форума использование JavaScript
регистрация





Легенда:
  новое сообщение
  закрытая нитка
  новое сообщение
  в закрытой нитке
  старое сообщение
  • Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
  • Новичкам также крайне полезно ознакомиться с данным документом.
[Win32] Как и написал NKritsky в ядре нет пользователей [update] 24.01.06 17:35  Число просмотров: 2182
Автор: amirul <Serge> Статус: The Elderman
Отредактировано 24.01.06 18:23  Количество правок: 1
<"чистая" ссылка>
Есть токены. Контролем за базой данных имен занимается процесс lsass.exe, который ясное дело в третьем кольце. Выхода два: либо перекинуть информацию в третье кольцо (своему сервису или через APC) и дождаться пока SID сконвертируется в имя либо ковырять базу самому. Как известно, она находится в SAM

Самый примитивный способ конвертирования SID-а в имя, не выходя из нулевого кольца (только для локальных пользователей):

В \Registry\MACHINE\SAM\SAM\Domains\Account\Users\Names находятся ключи с именами всех локальных пользователей, а типом дефолтового значения для каждого такого ключа, является RID - последний элемент в SID-е. Достаточно просто перечислить все подключи указанного ключа и сравнивать типы с RID-ом. При совпадении - имя найдено.

Более правильный способ - выковыривать имя из V-значения подключа \Registry\MACHINE\SAM\SAM\Domains\Account\Users
Но с его структурой разбираться лень
------------------

Поковырял немного. Короче в V-блоке по смещению (от начала блока) 12 (0xc) лежит ULONG - смещение (от конца структуры) до имени, а следом за ним (по смещению 16 от начала блока) - количество БАЙТ в имени. Так как имя в юникоде, то символов там ровно в два раза меньше. Теперь о загадочной фразе "от конца структуры". Структура имеет длину 0xcc (204) байта и вроде бы не менялась со времен как минимум NT4. Какие еще поля есть в этой структуре - бог весть, но в ней записана вся информация, имеющая фиксированную длину. Вся информация, которая может иметь переменную длину записана в том же виде, что и имя (смещение от конца и длина).
<programming>
[Win32] В драйвере узнать имя пользователя 24.01.06 16:17  
Автор: mmb Статус: Незарегистрированный пользователь
<"чистая" ссылка>
Есть драйвер.
Можно ли в процессе обработаки IRP_MJ_WRITE узнать имя пользователя, который работает с тем файлом, в который производится запись ?
В случае работы по сети другие варианты не дают однозначного решения:(
[Win32] Как и написал NKritsky в ядре нет пользователей [update] 24.01.06 17:35  
Автор: amirul <Serge> Статус: The Elderman
Отредактировано 24.01.06 18:23  Количество правок: 1
<"чистая" ссылка>
Есть токены. Контролем за базой данных имен занимается процесс lsass.exe, который ясное дело в третьем кольце. Выхода два: либо перекинуть информацию в третье кольцо (своему сервису или через APC) и дождаться пока SID сконвертируется в имя либо ковырять базу самому. Как известно, она находится в SAM

Самый примитивный способ конвертирования SID-а в имя, не выходя из нулевого кольца (только для локальных пользователей):

В \Registry\MACHINE\SAM\SAM\Domains\Account\Users\Names находятся ключи с именами всех локальных пользователей, а типом дефолтового значения для каждого такого ключа, является RID - последний элемент в SID-е. Достаточно просто перечислить все подключи указанного ключа и сравнивать типы с RID-ом. При совпадении - имя найдено.

Более правильный способ - выковыривать имя из V-значения подключа \Registry\MACHINE\SAM\SAM\Domains\Account\Users
Но с его структурой разбираться лень
------------------

Поковырял немного. Короче в V-блоке по смещению (от начала блока) 12 (0xc) лежит ULONG - смещение (от конца структуры) до имени, а следом за ним (по смещению 16 от начала блока) - количество БАЙТ в имени. Так как имя в юникоде, то символов там ровно в два раза меньше. Теперь о загадочной фразе "от конца структуры". Структура имеет длину 0xcc (204) байта и вроде бы не менялась со времен как минимум NT4. Какие еще поля есть в этой структуре - бог весть, но в ней записана вся информация, имеющая фиксированную длину. Вся информация, которая может иметь переменную длину записана в том же виде, что и имя (смещение от конца и длина).
Спасибо, не подскажешь, где взять описание этих структур? 25.01.06 10:27  
Автор: mmb Статус: Незарегистрированный пользователь
<"чистая" ссылка>
[Win32] нарыл в гугле 24.01.06 16:38  
Автор: NKritsky <Nickolay A. Kritsky> Статус: Elderman
<"чистая" ссылка>
Q35 How do I retrieve the "user name" for the user performing a given operation?


User names, per se, are not a concept of the core OS. Rather, users are tracked internally as "security identifiers" or SIDs. It is possible to extract the SID of the current thread. If a "user name" is needed, a user mode service can be used to convert from the SID to the corresponding text user name. This is done using the Win32 function LookupAccountSid, which is documented in the Platform SDK.

The SID of the calling thread can be extracted from its token. This is done by first attempting to open the thread token (ZwOpenThreadTokenEx or NtOpenThreadToken or NtOpenThreadTokenEx). If this fails because the thread has no token, the filter should open the process token (ZwOpenProcessTokenEx or NtOpenProcessToken or NtOpenProcessTokenEx). In either case, the filter will have a handle for a token.

The SID can be retrieved from the given token using NtQueryInformationToken or ZwQueryInformationToken. The filter should specify TokenUser as the TOKEN_INFORMATION_CLASS value. The call will return a buffer that contains the TOKEN_USER structure. This structure contains the SID of the token.

Note, however, that obtaining the SID of the current caller is often not precisely what a filter is trying to accomplish. Instead, often the filter wishes to know the SID of the requesting thread. For local calls, this will typically be the same. For remote calls, however, the CIFS server routinely utilizes impersonation during IRP_MJ_CREATE and for some IRP_MJ_SET_INFORMATION operations. Otherwise, the CIFS server uses the local system's credentials. To handle this case, a filter must store away the credential information of the original caller. In the case of IRP_MJ_CREATE the original caller's token is specified as part of the IO_SECURITY_CONTEXT parameter. The ACCESS_STATE structure in turn contains the SECURITY_SUBJECT_CONTEXT and the filter can retrieve a pointer to the token using SeQuerySubjectContextToken. The SID can then be retrieved from the token using SeQueryInformationToken.



https://www.osronline.com/article.cfm?article=17#Q35
Спасибо за линк. Очень интересный сайт. 25.01.06 10:19  
Автор: mmb Статус: Незарегистрированный пользователь
<"чистая" ссылка>
1




Rambler's Top100
Рейтинг@Mail.ru


  Copyright © 2001-2024 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach