轉(zhuǎn)載win32位程序設(shè)計初步之系統(tǒng)安全(編輯修改稿)
2025-06-12 21:05 本頁面
【文章內(nèi)容簡介】 組訪問一個對象，但對于 smith用戶，他雖然屬于 power user，但你不想他可訪問到該對象，使用一個拒絕訪問 ACE 就可以了。 SACL(System Access Control List，系統(tǒng)訪問控制列表 )也包含有 ACE，不過這些 ACE 是用來決定誰將被審核以及審核的原因。 SACL 中的一個 ACE被稱為一個審核訪問 ACE。例如，當 smith用戶成功打開一個文件時，是否要創(chuàng)建一個審核項目呢 ?這個是由 SACL 中的一個 ACE 項目指定的。 *圖三 * 一個訪問控制項目 (ACE)指定一個用戶 (或者組 )和所允許的訪問類似。 ACE都存儲在 ACL 中。 一個 ACL 中的每個 ACD 都由三部分來組成：一個安全標識符 (SID，Security Identifier)，一個訪問掩模和一個 ACE 頭。 SID 是存儲在注冊表中的一個值 (也可通過函數(shù)調(diào)用得到 )，可唯一標識用戶管理器中的每個用戶或者組。 ACE 頭用來決定 ACE 的類型：訪問控制，訪問拒絕等。一個掩模有 32位，用來決定用戶可對對象進行的操作。有一些標準的權(quán)限應(yīng)用于系統(tǒng)中所有的對象，還有一些對象有特別的訪問權(quán)限，可在這些對象上應(yīng)用。例如，以下就是一個文件對象可應(yīng)用的特別和標準訪問權(quán)限： specific： FILE_READ_DATA FILE_WRITE_DATA FILE_APPEND_DATA FILE_READ_EA FILE_WRITE_EA FILE_EXECUTE FILE_READ_ATTRIBUTES FILE_WRITE_ATTRIBUTES FILE_ALL_ACCESS standard： DELETE READ_CONTROL STANDARD_RIGHTS_ALL STANDARD_RIGHTS_EXECUTE STANDARD_RIGHTS_READ STANDARD_RIGHTS_REQUIRED STANDARD_RIGHTS_WRITE SYNCHRONIZE WRITE_DAC WRITE_OWNER generic： GENERIC_ALL GENERIC_EXECUTE GENERIC_READ GENERIC_WRITE generic 權(quán)限是預定義的標準 (standard)和特定 (specific)權(quán)限的混合，對于各種對象都是不同的。 訪問掩模是一個 32位的位掩碼。在掩碼中，每個 standard、 specific 和generic 權(quán)限都有一個位與之相關(guān)。開頭的 16位保存的是 specific 的權(quán)限，并且也是該訪問掩碼所指對象的鍵 (例如，上面的 FILE_ constants)。接著的 8位保存的是 standard 權(quán)限 。高 4位保存 generic 權(quán)限。 *圖四 * NT 的安全特性使用了不少的新術(shù)語，不過，通過例子中的代碼，你將會逐漸熟悉所有這些名詞，并且也更容易理解所有這些概念。以下就是一個簡要的總結(jié)： .用戶登錄后，他們將得到一個訪問記號。一個訪問記號包含有用戶的 ID，用戶組和用戶所屬組得到的用戶權(quán)限 .每個對象都擁有一個安全描述器，就象它的鎖一樣。一個安全描述器包含有一個用戶和組標識符，一個系統(tǒng) ACL 和一個 Discretionary ACL。 .一個 DACL 控制誰允許訪問及可以對對象做什么操作 .一個 SACL 控制要審核誰 對一個對象的某種處理 .ACL 由 ACE組成。每個 ACE 包含有一個 SID，用來標識用戶或者組，一個訪問掩模，用來決定允許用戶或者組做何種處理，還有一個 ACE 頭，決定 ACD的類型。 以下的部分提供了兩個簡單的例子，將所有這些術(shù)語組合在一起，并且展示了這些安全設(shè)置是如何運作的。 簡單的例子 這部分的重點是談一個文件對象的安全描述器的創(chuàng)建和應(yīng)用。這里選擇了文件對象作例子的原因是由于它是常見的而且易于理解，你也可以通過文件管理器中的安全編輯器很容易地查看代碼的運行結(jié)果。不過，如果你的硬盤并不是使用 NT的文件系統(tǒng)來格式化的話，這些代碼將是沒有用處的，而且安全編輯器也是不可用的。你可以采用以下三種方式來處理： 1。重新使用 NTFS 來格式化硬盤，并且重新安裝 NT，或者使用 convert 命令來將你的硬盤轉(zhuǎn)換為 NT 的文件系統(tǒng)； 2。裝入一個新的硬盤，并且使用 NT的文件系統(tǒng)來格式化 3。在你的硬盤中分出一小部 分 (大概 10M)，并且使用 NTFS 來格式化，這意味著你將必須重新格式化和重裝原有的分區(qū) 或者，你可以先等一下，我們還會將同樣的代碼應(yīng)用到一個注冊鍵中。無論你使用的是哪種文件系統(tǒng)，你將可以在注冊表編輯器中看到安全編輯器。 以下的代碼包含了一個創(chuàng)建新文件的程序。為新文件創(chuàng)建的安全描述器設(shè)置為只有 guest的用戶才可以使用這個
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1