Отправляет email-рассылки с помощью сервиса Sendsay

Секреты Windows: статьи о реестре, rundll32.exe, программах

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Всё о работе в Интернет" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Сентябрь 2009   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
Автор
Клименко Роман aka parad0x

Статистика

3.339 подписчиков
-4 за неделю
←   Все выпуски   →

Секреты Windows: статьи о реестре, rundll32.exe, программах


Глава 7. Механизмы безопасности. 7.4. Работа с DACL и SACL объекта - Работа с DACL
Дата: 5 сентября 2009, суббота

Новые файлы для скачивания:Новое на сайте gal.co.ua:Новое на сайте gadalka.in.ua:

В конец записи

DACL и SACL являются частью маркера доступа.

Маркер доступа представляет собой структуру переменной длины, содержащую набор данных о конкретном пользователе, который создал процесс или другой объект. В основном, маркер доступа предназначен для того, чтобы определить действия, которые может выполнять пользователь в системе (а значит, может выполнять и процесс, которому присвоен соответствующий маркер доступа).

Маркеры доступа присваиваются процессам при их создании. Самый первый маркер доступа называется начальным маркером доступа. Он создается во время входа пользователя в систему, и присваивается процессу userinit.exe (начальный процесс оболочки, выполняющий инициализацию пользовательской среды и запуск основных приложений).

В маркере доступа хранятся следующие сведения.

  • Привилегии, которые назначены пользователю (список привилегий операционной системы был приведен ранее, при описании оснастки РЕДАКТОР ОБЪЕКТОВ ГРУППОВОЙ ПОЛИТИКИ).
  • Тип олицетворения, используемый маркером, если он является олицетворяющим.
  • Информация о создателе маркера.
  • DACL по умолчанию, используемый если дескриптор защиты для создаваемого объекта не определен.
  • Информация об учетной записи, которой принадлежит маркер.
  • Дескриптор защиты (DACL и SACL)

Дескриптор защиты, содержащий DACL и SACL, которые мы и обсуждаем в данной главе, выдается объектам Windows (файлы, каталоги). Он определяет пользователей, которые могут получить доступ к объекту, а также права, которыми эти пользователи обладают.

Список управления избирательным доступом (DACL) определяет пользователей, которые могут получить доступ к объекту, а также те действия, которые пользователи могут выполнить с объектом.

Из названия DACL (список управления избирательным доступом) можно предположить, что это список каких-либо данных. И это действительно так — DACL представляет собой набор ACE.

ACE определяет какое-либо одно право доступа пользователя. Он состоит из SID пользователя или группы, маски доступа, а также флагов наследования. Существует четыре типа ACE: доступ разрешен, доступ отклонен, разрешенный объект, запрещенный объект. Два последних типа ACE используются в Active Directory.

Уверен, вы уже не раз сталкивались с DACL. Например, именно элементы DACL редактируются при помощи вкладки БЕЗОПАСНОСТЬ диалога СВОЙСТВА файла или каталога.

Здесь же мы с вами рассмотрим программы командной строки, которые предназначены для работы с DACL объекта.

Программа icacls.exe

В Windows Vista на смену cacls.exe, используемой в операционной системе Windows XP, пришла программа icacls.exe. Основных вариантов синтаксиса данной программы восемь.

  • icacls.exe «шаблон» /save «путь к архиву» опции. Выполнить архивирование DACL файла в указанный архив.
  • icacls.exe «шаблон» /restore «путь к архиву» опции. Выполнить восстановление DACL файла из указанного архива.
  • icacls.exe «шаблон» /setowner «пользователь» опции. Выполнить смену владельца файла.
  • icacls.exe «шаблон» / findsid «SID пользователя или группы» опции. Найти файлы, в DACL которых упоминается соответствующий SID пользователя или группы.
  • icacls.exe «шаблон» /grant «SID пользователя»:(разрешения через запятую) опции. Установка новых разрешающих прав доступа пользователя (добавление ACE типа «доступ разрешен»). Возможные обозначения прав пользователя представлены в таблице 7.39.
  • icacls.exe «шаблон» /deny «SID пользователя»:(разрешения через запятую) опции. Установка новых запрещающих прав доступа пользователя (добавление ACE типа «доступ запрещен»). Возможные обозначения прав пользователя представлены в таблице 7.39.
  • icacls.exe «шаблон» /reset опции. Сбросить DACL файла или каталога.
  • icacls.exe «шаблон» /remove «SID пользователя» опции. Удаляет DACL для данного пользователя.

Все варианты синтаксиса данной программы поддерживают опции, представленные в таблице 7.38.

Таблица 7.38. Опции программы icacls.exe 

/T Обработать файл в указанном каталоге, а также его подкаталогах.
/C Продолжать работу программы даже при возникновении ошибок.
/L Обрабатывать саму символическую ссылку, а не ее цель. 
/Q Не отображать сообщения об успешной работе программы.

Таблица 7.39. Обозначения прав пользователя, используемые в программе icacls.exe 

F Полный доступ.
M Доступ на изменение.
RX Доступ на чтение и выполнение.
D Удаление.
R Доступ только на чтение.
W Доступ только на запись
RC Чтение.
WDAC Запись DAC.
WO Смена владельца.
S Синхронизация.
AS Доступ к безопасности системы.
MA Максимально возможный.
GR Общее чтение.
GW Общая запись.
GE Общее выполнение.
GA Все общие.
WD Запись данных, создание файлов.
AD Добавление данных, создание папок.
REA Чтение дополнительных атрибутов.
WEA Запись дополнительных атрибутов.
X Выполнение файлов, обзор папок.
DC Удаление вложенных папок и файлов.
RA Чтение атрибутов.
WA Запись атрибутов.
RD Чтение данных, перечисление содержимого папки.

Программа takeown.exe

Еще одной программой для работы с DACL является программа takeown.exe. Она работает на основе привилегии SETAKEOWNERSHIPPRIVILEGE, и ее основное назначение — смена владельца файла. Синтаксис данной программы следующий: takeown опции_подключения /F «путь к файлу и его имя (или шаблон имени)» опции.

Если вы изменяете владельца файла локального компьютера, опции подключения необязательны. В противном случае их необходимо указать — они представлены в таблице 7.40. Остальные же опции данной программы представлены в таблице 7.41.

Таблица 7.40. Опции подключения программы takeown.exe 

/s «компьютер» Компьютер, к которому выполняется подключение.
/u «пользователь» Пользователь, от имени которого выполняется подключение.
/p «пароль» Пароль соответствующего пользователя.

Таблица 7.41. Опции программы takeown.exe

  • /A. Сделать владельцем объекта группу Администраторы (по умолчанию владельцем становится конкретный пользователь, запустивший программу).
  • /R. Выполнить смену владельца объектов в указанном каталоге и его подкаталогах.
  • /D Y | N. Если равно Y, при отказе в смене владельца объекта программа попытается сменить разрешения файла.

Продолжение следует
Рейтинг: 0 
Оцените: 1 2 3 4 5
moemesto.ru bobrdobr.ru - добавить в социальные закладки
В начало записи
Оригинал статьи: http://www.onestyle.com.ua/txt.php?u=639
В избранное