解剖安全帐号管理器(SAM)结构.docVIP

一、摘要　　　　分析安全帐号管理器结构是在一个多月前做的事情了，只零碎地记录下片段，没有发布 过。不发布的主要原因是安全帐户管理器（SAM）是WIN系统帐户管理的核心，并且非常系统化，我也有很多地方仅仅是进行的推断和猜测，同时，SAM hack可能造成启动时lsass.exe加载帐户管理器出错，即便是安全模式也不能修复（启动时候必然加载SAM）使得整个系统启动崩溃（我通常需要依 靠第二系统删除SAM文件来启动）。至于现在发布出来，主要是因为Adam和叮叮的《克隆管理员帐号》种所描述的制作rootkit办法隐蔽性和危害性， 对SAM的结构的熟悉，可以帮助安全维护人员做好安全检测（当然也可能让不良企图者利用）。这里只介绍关于SAM的内容，同Security相关的暂时不 公开。　　　　二、关于SAM　　　　不要误解了SAM，这不是一个文件sam这么简单。SAM （Security Accounts Manager安全帐户管理器）负责SAM数据库的控制和维护。SAM数据库位于注册表HKLMSAMSAM下，受到ACL保护，可以使用 regedt32.exe打开注册表编辑器并设置适当权限查看SAM中的内容。SAM数据库在磁盘上就保存在%systemroot% system32config目录下的sam文件中，在这个目录下还包括一个security文件，是安全数据库的内容，两者有不少关系。　　　　SAM数据库中包含所有组、帐户的信息，包括密码HASH、帐户的SID等。这些内容在后面详细介绍。分析的系统中文Win2K Adv Server为例。　　　　三、注册表中SAM数据库的结构　　　　展开注册表HKLMSAMSAM:　　　　HKLM---SAM　　|---SAM　　|---Domains　　| |---Account　　| | |---Aliases　　| | | |---Members　　| | | |---Names　　| | |---Groups　　| | | |--　　| | | |---Names　　| | | |---None　　| | |---Users　　| | |---000001F4　　| | |---000001F5　　| | |---000003E8　　| | |---000003E9　　| | |---Names　　| | |---Adaministrator　　| | |---Guest　　| | |---IUSR_REFDOM　　| | |---IWASM_REFDOM　　| |---Builtin　　| |---Aliases　　| | |--　　| | |--　　| | |--　　| | |--　　| | |---Members　　| | | |---S-1-5-21-1214440339-706699826-1708537768　　| | | |---000001F4　　| | | |---000001F5　　| | | |---000003E8　　| | | |---000003E9　　| | |--- Names　　| | |---Administrators　　| | |---Users　　| | |---Guests　　| | |---Power Users　　| |---Groups　　| | |---Names　　| |　　| |---Users　　| |---Names　　|　　|---RXACT　　　　这是机器上注册表中的SAM树。　　　 　对照SAM文件中的内容，可以看出，注册表中的SAM树实际上就是SAM文件中一样。不过，SAM文件中是先列RXACT然后在是Domains内容 （以此类推），文件中的表达顺序和注册表中的树形顺序是相反的。如果习惯于看文件内容，从文件的0000h到0006Ch，表示的是SAM数据库所在的位 置：systemrootsystem32configsam，然后是一端空白，直到01000h（hbin），从这里开始就是整个数据库的内容。SAM 数据库的文件内容不作主要介绍，不过会穿插着介绍，有兴趣可以自己去研究。　　　　四、SAM数据库的结构和主要内容：　　　　在整个数据库中，帐号主要内容存在于下面这些位置：　　　　在Domains下就是域（或本机）中的SAM内容，其下有两个分支“Account”和“Builtin”　　　　DomainsAccount是用户帐号内容。　　　 　DomainsAccountUsers下就是各个帐号的信息