11第十一章windowsserver2003的深層安全防護(hù)(編輯修改稿)
2025-03-02 15:05 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 命令 ? Tasklist命令能檢查當(dāng)前進(jìn)程的情況。 ? 使用命令 tasklist /v后執(zhí)行結(jié)果如圖 116所示。 （ 2） Process Explorer ? Process Explorer是比較好的進(jìn)程監(jiān)視工具，且是免費(fèi)的。它不僅可以監(jiān)視、暫停、終止進(jìn)程，還可以查看進(jìn)程調(diào)用的 DLL文件，遇到不熟悉的進(jìn)程還可以直接通過(guò) google 或 MSN 搜索。該工具的界面如圖 117所示。 圖 116 進(jìn)程使用資源界面 圖 117 進(jìn)程查看器界面 Windows Server 2023 注冊(cè)表解析 ? 注冊(cè)表概述 ? Windows的注冊(cè)表（ Registry）實(shí)質(zhì)上是一個(gè)龐大的分層數(shù)據(jù)庫(kù)，它記錄了用戶安裝在機(jī)器上的軟件和每個(gè)程序的相互關(guān)聯(lián)關(guān)系，包含了軟、硬件的有關(guān)配置和狀態(tài)信息，應(yīng)用程序和資源管理器外殼的初始條件、首選項(xiàng)和卸載數(shù)據(jù)。注冊(cè)表中存放著各種參數(shù)，直接控制著 Windows的啟動(dòng)，在整個(gè)系統(tǒng)中起著至關(guān)重要的作用，包括： （ 1）軟、硬件的有關(guān)配置和狀態(tài)信息，注冊(cè)表中保存有應(yīng)用程序和資源管理器外殼的初始條件、首選項(xiàng)和卸載數(shù)據(jù)等。 （ 2）聯(lián)網(wǎng)計(jì)算機(jī)整個(gè)系統(tǒng)的設(shè)置和各種許可，文件擴(kuò)展名與應(yīng)用程序的關(guān)聯(lián)，硬件部件的描述、狀態(tài)和屬性。 （ 3）性能記錄和其他底層的系統(tǒng)狀態(tài)信息，以及其他數(shù)據(jù)。 ? 注冊(cè)表的特點(diǎn)有： （ 1）注冊(cè)表允許對(duì)硬件、系統(tǒng)參數(shù)、應(yīng)用程序和設(shè)備驅(qū)動(dòng)程序進(jìn)行跟蹤配置，這使得修改某些設(shè)置后不用重新啟動(dòng)成為可能。 （ 2）注冊(cè)表中登錄的硬件部分?jǐn)?shù)據(jù)可以支持高版本 Windows的即插即用特性。 （ 3）管理人員和用戶通過(guò)注冊(cè)表可以在網(wǎng)絡(luò)上檢查系統(tǒng)的配置和設(shè)置，使得遠(yuǎn)程管理得以實(shí)現(xiàn)。 注冊(cè)表的結(jié)構(gòu) 注冊(cè)表文件 ? 在 Windows95/98中，注冊(cè)表由兩個(gè)文件組成： ，保存在 Windows所在的文件夾中，它們是由二進(jìn)制數(shù)據(jù)組成的。 ? 在 Windows 2023和 Windows Server 2023中的注冊(cè)表也分為兩個(gè)部分，但是包括多個(gè)文件。其中，用戶的配置文件保存在根目錄“ Documents and Setting”下的用戶名目錄中，包括 文件。系統(tǒng)配置文件位于系統(tǒng)目錄下的“ system32\config”中，包括 Default、 Software、System、 、 件及其相應(yīng)的 log文件和 .sav文件。 注冊(cè)表鍵和子鍵 ?在 Windows系統(tǒng)中，注冊(cè)表是采用“關(guān)鍵字”和其“鍵值”來(lái)描述登錄項(xiàng)及其數(shù)據(jù)的。所有的關(guān)鍵字都是以“ HKEY”作為前綴開(kāi)頭，在注冊(cè)表中，關(guān)鍵字可以分為兩類：一類由系統(tǒng)定義，一般稱為“預(yù)定義關(guān)鍵字”；另一類由應(yīng)用程序定義的，由于安裝的應(yīng)用軟件不同，所以登錄項(xiàng)也不同。在“運(yùn)行”中輸入“ regedit”，就可打開(kāi)注冊(cè)表，如圖 118所示。 ?注冊(cè)表物理上是由若干文件組成，是一個(gè)樹(shù)狀、分層的數(shù)據(jù)庫(kù)結(jié)果。 圖 118注冊(cè)表編輯器 ?可以看出在 Windows Server 2023下，注冊(cè)表被分為 5大根鍵，它們是： ?（ 1） HKEY_CLASSES_ROOT ?（ 2） HKEY_CURRENT_USER ?（ 3） HKEY_LOCAL_MACHINE ?（ 4） HKEY_USERS ?（ 5） HKEY_CURRENT_CONFIG 注冊(cè)表鍵值類型 ? 注冊(cè)表由鍵、子鍵和值項(xiàng)構(gòu)成。注冊(cè)表通過(guò)鍵和子鍵來(lái)管理各種信息。這些鍵值數(shù)據(jù)可以分為三種類型。 （ 1）二進(jìn)制（ BINARY） 在注冊(cè)表中，二進(jìn)制是沒(méi)有長(zhǎng)度限制的，可以是任意長(zhǎng)度的字節(jié)。雙擊鍵值名，就會(huì)彈出“編輯二進(jìn)制數(shù)值”對(duì)話框，如圖 119所示。 （ 2） DWORD值（ DWORD） DWORD值是一個(gè) 32位長(zhǎng)度的數(shù)值。在注冊(cè)表編輯器中，雙擊鍵名，就會(huì)彈出“編輯二進(jìn)制數(shù)值”對(duì)話框，如圖1110所示。 （ 3）字符串值（ SZ） 在注冊(cè)表中，字符串值一般用來(lái)表示文件的描述和硬件標(biāo)識(shí)等。同樣通過(guò)雙擊鍵值名，在彈出的對(duì)話框可以進(jìn)行修改，如圖 1111所示。 圖 119 編輯二進(jìn)制數(shù)值 圖 1110 編輯 DWORD值 圖 1111 編輯字符串 注冊(cè)表數(shù)據(jù)類型 ? 注冊(cè)表的鍵中包含著各種不同格式的數(shù)據(jù)。數(shù)據(jù)類型可以分為以下三種： ? 通用數(shù)據(jù)類型。 ? Windows NT 專用數(shù)據(jù)類型。 ? 組件／應(yīng)用程序?qū)Ｓ玫奶厥鈹?shù)據(jù)類型。 ? 常見(jiàn)的與注冊(cè)表有關(guān)的術(shù)語(yǔ)主要有： （ 1） HKEY：“根鍵”或“主鍵”。 （ 2） key（鍵）：它包含了附加的文件夾和一個(gè)或多個(gè)值。 （ 3） subkey（子鍵）：在某一個(gè)鍵（父鍵）下面出現(xiàn)的鍵（子鍵）。 （ 4） branch（分支）：代表一個(gè)特定的子鍵及其所包含的一切。 （ 5） value entry（值項(xiàng)）：帶有一個(gè)名稱和一個(gè)值的有序值。 （ 6）字符串 (REG_SZ)：通常它由字母和數(shù)字組成。注冊(cè)表總是在引號(hào)內(nèi)顯示字符串。 （ 7）二進(jìn)制（ REG_BINARY）：，是沒(méi)有長(zhǎng)度限制的二進(jìn)制數(shù)值，在注冊(cè)表編輯器中，二進(jìn)制數(shù)據(jù)以十六進(jìn)制的方式顯示出來(lái)。 （ 8）雙字（ REG_DWORD）：雙字節(jié)值，由十六進(jìn)制數(shù)據(jù)組成。 （ 9） Default（缺省值）：每一個(gè)鍵至少包括一個(gè)值項(xiàng)，稱為缺省值（ Default），它總是一個(gè)字串。 注冊(cè)表剖析 ? 下面讓我們具體看看系統(tǒng)預(yù)定義的 5個(gè)根鍵： （ 1） HKEY_CLASSES_ROOT：基層類別鍵，定義了系統(tǒng)中所有已經(jīng)注冊(cè)的文件擴(kuò)展名、文件類
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1