11第十一章windowsserver2003的深層安全防護(hù)(編輯修改稿)
2025-03-02 15:05 本頁面
【文章內(nèi)容簡介】 命令 ? Tasklist命令能檢查當(dāng)前進(jìn)程的情況。 ? 使用命令 tasklist /v后執(zhí)行結(jié)果如圖 116所示。 （ 2） Process Explorer ? Process Explorer是比較好的進(jìn)程監(jiān)視工具，且是免費(fèi)的。它不僅可以監(jiān)視、暫停、終止進(jìn)程，還可以查看進(jìn)程調(diào)用的 DLL文件，遇到不熟悉的進(jìn)程還可以直接通過 google 或 MSN 搜索。該工具的界面如圖 117所示。 圖 116 進(jìn)程使用資源界面 圖 117 進(jìn)程查看器界面 Windows Server 2023 注冊表解析 ? 注冊表概述 ? Windows的注冊表（ Registry）實(shí)質(zhì)上是一個龐大的分層數(shù)據(jù)庫，它記錄了用戶安裝在機(jī)器上的軟件和每個程序的相互關(guān)聯(lián)關(guān)系，包含了軟、硬件的有關(guān)配置和狀態(tài)信息，應(yīng)用程序和資源管理器外殼的初始條件、首選項(xiàng)和卸載數(shù)據(jù)。注冊表中存放著各種參數(shù)，直接控制著 Windows的啟動，在整個系統(tǒng)中起著至關(guān)重要的作用，包括： （ 1）軟、硬件的有關(guān)配置和狀態(tài)信息，注冊表中保存有應(yīng)用程序和資源管理器外殼的初始條件、首選項(xiàng)和卸載數(shù)據(jù)等。 （ 2）聯(lián)網(wǎng)計算機(jī)整個系統(tǒng)的設(shè)置和各種許可，文件擴(kuò)展名與應(yīng)用程序的關(guān)聯(lián)，硬件部件的描述、狀態(tài)和屬性。 （ 3）性能記錄和其他底層的系統(tǒng)狀態(tài)信息，以及其他數(shù)據(jù)。 ? 注冊表的特點(diǎn)有： （ 1）注冊表允許對硬件、系統(tǒng)參數(shù)、應(yīng)用程序和設(shè)備驅(qū)動程序進(jìn)行跟蹤配置，這使得修改某些設(shè)置后不用重新啟動成為可能。 （ 2）注冊表中登錄的硬件部分?jǐn)?shù)據(jù)可以支持高版本 Windows的即插即用特性。 （ 3）管理人員和用戶通過注冊表可以在網(wǎng)絡(luò)上檢查系統(tǒng)的配置和設(shè)置，使得遠(yuǎn)程管理得以實(shí)現(xiàn)。 注冊表的結(jié)構(gòu) 注冊表文件 ? 在 Windows95/98中，注冊表由兩個文件組成： ，保存在 Windows所在的文件夾中，它們是由二進(jìn)制數(shù)據(jù)組成的。 ? 在 Windows 2023和 Windows Server 2023中的注冊表也分為兩個部分，但是包括多個文件。其中，用戶的配置文件保存在根目錄“ Documents and Setting”下的用戶名目錄中，包括 文件。系統(tǒng)配置文件位于系統(tǒng)目錄下的“ system32\config”中，包括 Default、 Software、System、 、 件及其相應(yīng)的 log文件和 .sav文件。 注冊表鍵和子鍵 ?在 Windows系統(tǒng)中，注冊表是采用“關(guān)鍵字”和其“鍵值”來描述登錄項(xiàng)及其數(shù)據(jù)的。所有的關(guān)鍵字都是以“ HKEY”作為前綴開頭，在注冊表中，關(guān)鍵字可以分為兩類：一類由系統(tǒng)定義，一般稱為“預(yù)定義關(guān)鍵字”；另一類由應(yīng)用程序定義的，由于安裝的應(yīng)用軟件不同，所以登錄項(xiàng)也不同。在“運(yùn)行”中輸入“ regedit”，就可打開注冊表，如圖 118所示。 ?注冊表物理上是由若干文件組成，是一個樹狀、分層的數(shù)據(jù)庫結(jié)果。 圖 118注冊表編輯器 ?可以看出在 Windows Server 2023下，注冊表被分為 5大根鍵，它們是： ?（ 1） HKEY_CLASSES_ROOT ?（ 2） HKEY_CURRENT_USER ?（ 3） HKEY_LOCAL_MACHINE ?（ 4） HKEY_USERS ?（ 5） HKEY_CURRENT_CONFIG 注冊表鍵值類型 ? 注冊表由鍵、子鍵和值項(xiàng)構(gòu)成。注冊表通過鍵和子鍵來管理各種信息。這些鍵值數(shù)據(jù)可以分為三種類型。 （ 1）二進(jìn)制（ BINARY） 在注冊表中，二進(jìn)制是沒有長度限制的，可以是任意長度的字節(jié)。雙擊鍵值名，就會彈出“編輯二進(jìn)制數(shù)值”對話框，如圖 119所示。 （ 2） DWORD值（ DWORD） DWORD值是一個 32位長度的數(shù)值。在注冊表編輯器中，雙擊鍵名，就會彈出“編輯二進(jìn)制數(shù)值”對話框，如圖1110所示。 （ 3）字符串值（ SZ） 在注冊表中，字符串值一般用來表示文件的描述和硬件標(biāo)識等。同樣通過雙擊鍵值名，在彈出的對話框可以進(jìn)行修改，如圖 1111所示。 圖 119 編輯二進(jìn)制數(shù)值 圖 1110 編輯 DWORD值 圖 1111 編輯字符串 注冊表數(shù)據(jù)類型 ? 注冊表的鍵中包含著各種不同格式的數(shù)據(jù)。數(shù)據(jù)類型可以分為以下三種： ? 通用數(shù)據(jù)類型。 ? Windows NT 專用數(shù)據(jù)類型。 ? 組件／應(yīng)用程序?qū)Ｓ玫奶厥鈹?shù)據(jù)類型。 ? 常見的與注冊表有關(guān)的術(shù)語主要有： （ 1） HKEY：“根鍵”或“主鍵”。 （ 2） key（鍵）：它包含了附加的文件夾和一個或多個值。 （ 3） subkey（子鍵）：在某一個鍵（父鍵）下面出現(xiàn)的鍵（子鍵）。 （ 4） branch（分支）：代表一個特定的子鍵及其所包含的一切。 （ 5） value entry（值項(xiàng)）：帶有一個名稱和一個值的有序值。 （ 6）字符串 (REG_SZ)：通常它由字母和數(shù)字組成。注冊表總是在引號內(nèi)顯示字符串。 （ 7）二進(jìn)制（ REG_BINARY）：，是沒有長度限制的二進(jìn)制數(shù)值，在注冊表編輯器中，二進(jìn)制數(shù)據(jù)以十六進(jìn)制的方式顯示出來。 （ 8）雙字（ REG_DWORD）：雙字節(jié)值，由十六進(jìn)制數(shù)據(jù)組成。 （ 9） Default（缺省值）：每一個鍵至少包括一個值項(xiàng)，稱為缺省值（ Default），它總是一個字串。 注冊表剖析 ? 下面讓我們具體看看系統(tǒng)預(yù)定義的 5個根鍵： （ 1） HKEY_CLASSES_ROOT：基層類別鍵，定義了系統(tǒng)中所有已經(jīng)注冊的文件擴(kuò)展名、文件類
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1