Cuando nadie inicia sesión en Windows (se muestra la pantalla de inicio de sesión), ¿a qué usuario se están ejecutando los procesos actuales? (Los controladores de video / sonido, sesión de inicio de sesión, cualquier software de servidor, controles de accesibilidad, etc. No pueden ser usuarios ni el usuario anterior porque nadie ha iniciado sesión. ¿Qué sucede con los procesos iniciados por un usuario pero que continúan ejecutándose después del cierre de sesión? (Por ejemplo, HTTP, servidores FTP y otras cosas de redes). ¿Se cambian a la cuenta del SISTEMA? Si un proceso iniciado por el usuario cambia a SISTEMA, eso indica una vulnerabilidad muy seria. ¿Se ejecuta el proceso a medida que el usuario continúa ejecutándose como ese usuario después de que se haya desconectado?
¿Es por esto que el hack de SETHC le permite usar CMD como SISTEMA?
Respuestas:
Casi todos los conductores corren en núcleo modo; no necesitan una cuenta, a menos que inicien procesos de espacio de usuario. Los pocos controladores de espacio de usuario se ejecutan bajo SISTEMA.
La sesión de inicio de sesión, no puedo verificar ahora, pero estoy seguro de que también usa SISTEMA. Puedes ver logonui.exe en Proceso Hacker o SysInternals ProcExp . De hecho, puedes ver todo de esa manera.
"Software del servidor", consulte los servicios de Windows a continuación.
Hay tres tipos aquí:
Procesos de "fondo" antiguos simples. Los que se ejecutan bajo la misma cuenta que quien los inició, y no haga Ejecutar después de cerrar la sesión. El proceso de cierre de sesión los mata a todos.
"HTTP, servidores FTP y otras cosas de redes" no haga Ejecutar como procesos de fondo regulares. Se ejecutan como servicios.
Procesos de "servicio" de Windows. No se lanzan directamente, sino a través de Service Manager. De forma predeterminada, los servicios se ejecutan como LocalSystem (que, como dice Isanae, es igual a SYSTEM), aunque pueden tener cuentas dedicadas configuradas.
(Por supuesto, prácticamente nadie se molesta. Simplemente instalan XAMPP o WampServer o alguna otra basura, y lo dejan funcionar como SISTEMA, sin parchear para siempre).
En los sistemas Windows recientes, creo que los servicios también pueden tener su propia SID, pero una vez más no he investigado mucho todavía.
Tareas programadas. Estos se inician con el "servicio" del "Programador de tareas" en segundo plano ", y siempre se ejecutan en la cuenta configurada en la tarea (generalmente quien creó la tarea).
No es una vulnerabilidad porque debes ya Tener privilegios de administrador para instalar un servicio. Tener privilegios de administrador ya te permite hacer prácticamente todo.
(ver también varias otras no-vulnerabilidades del mismo tipo)
fuente
Los procesos de inicio de sesión y preinicio se ejecutan como SISTEMA (también denominado LocalSystem). De hecho, una forma de ejecutar un shell (como un indicador de CMD) como SYSTEM en algunas versiones de Windows es reemplazar un programa de accesibilidad, como el lector de pantalla, la lupa o el teclado en pantalla, con una copia de enlace a)
CMD.EXEy luego use el acceso directo para habilitar esa función de accesibilidad antes de iniciar sesión. Obtendrá un símbolo del sistema, aunque no haya usuarios registrados, yCMDse ejecutará como sistema.(Nota: esto es peligroso, obviamente, ya que permite que las personas omitan el proceso de inicio de sesión de Windows. Nunca debe configurar una computadora de esta manera y luego dejarla así)
fuente
Ellos no "cambian" a nada; tales procesos Nunca ejecutar en el contexto de usuario actual.
Son propiedad de la
SYSTEMusuario.Todos los procesos y servicios que son propiedad de un usuario individual se terminan al cerrar la sesión.
Eso es lo que desconecta medio .
fuente
pscomo otro