윈도우 시스템

 

1. 윈도우 아키텍처

- 윈도우 시스템은 사용자모드와 커널 모드로 구분된다.

- 커널모드

기본적으로 일반 사용자가 접근할 수 없는 영역이며, 윈도우 커널 관련 취약점은 꾸준히 발표되고있다.

 

-Protection rings(Ring Architecture)

윈도우는 자원에 접근하기위해 각각 다른 권한을 제공한다. 취약점에서 Gain Privilege" 취약점은 이런 권한 통제를 우회하는 취약점이다. 

 

2. 계정 및 패스워드

- 윈도우 계정: system계정, 관리자 계정, 일반 계정으로 구분된다. 

 

- 일반 사용자 계정 조회 : net users

- 관리자 사용자 계정 조회: net localgroup administrators

- 사용자 계정 조회: net user 계정아이디

 

- 윈도우 계정 추가를 통해 백도어용 계정을 만들어놓는 경우가 있습니다.

 

<윈도우 인증의 구성 요소>

-LSA: local security authority

모든 계정의 로그인에 대한 검증, 시스템 자원 및 파일 등에 대한 접근 권한 검사, 로컬, 원격 모두에 해당된다. 이름과 SID를 매칭하고 SRM이 생성한 감사 로그기록. 

 

-SAM: security account manager (=/= sam 파일!!!)

윈도우에서 패스워드 암호화하여 보관하는 파일의 이름과 동일하다. 혼동하지 말것.

 

-SRM: security reference monitor 

sam이 사용자의 계정과 패스워드 일치 여부를 확인하여 알리면 사용자에게 SID부여한다. SID기반하여 파일이나 디렉터리에 대한 접근 허용 여부를 결정하고, 이에 대한 감사 메시지를 생성한다. 

 

-SAM: security account manager 

윈도우에서 사용되는 사용자 패스워드를 저장하고 있는 데이터베이스

패스워드는 단방향 암호화방식인 해시 방식으로 암호화 되어있다. 

SAM파일은 %SystemRoot%/system32/config/SAM 위치에 있다.