文件系统驱动编程基础篇之八-Read.docVIP

文件系统驱动编程基础篇之八——安全机制 一、前略 本系列文章为业余编程爱好者而写，仅仅作为初学者的一个借鉴，真正的精华存在于参考资料*中。知识的积累将经历从薄到厚，再从厚到薄的反复过程，为了打下牢固的基础，请读者务必在阅读本文的基础上花费必要的时间完成参考资料。 参考资料*： 1.《Programming Windows Security》（中文版为《Windows安全性编程》） 2.《Microsoft? Windows? Internals, Fourth Edition》（中文版为《深入解析Windows操作系统Programming Microsoft Windows 2000 Unleashed》（中文版为《Windows2000编程技术内幕》）第七章 5.《Programming Applications for Microsoft Windows》（中文版为《Windows核心编程》）3.1.2节 6.《Writing Secure Code》 7.《Microsoft Windows Security Inside Out for Windows XP and Windows 2000》（中文版为《精通Microsoft Windows 2000和Windows XP安全技术Creating a Security Descriptor for a New Object in C++》 9.《Enabling and Disabling Privileges in C++》 10.《Converting a Binary SID to String Format in C++》 11.《Windows 操作系统中的常见安全标识符威胁和对策NTFS-3G Stable Read/Write Driver 阅读基础：不限。 本章目的：了解系统的安全体系、基本的数据结构和安全函数。 二、用户模式下的安全结构 请先观看资料3的视频，了解Windows系统安全体系的基本框架，接下来我们为资料4理清脉络： 安全描述符 CreateFile、CreateProcess、RegCreateKeyEx这些常用的函数都有一个安全属性参数，安全属性主要包含着对象的安全描述符。这里需要强调的是安全描述符是针对对象而言的，用于描述对象的安全性信息，它是我们接触到的第一支主线的纲。下图表达了安全描述符和各子结构的关系，读者不要立即陷入结构的细节中去，可暂时把每个结构都当成一个黑盒来看待。 privilege特权，对系统相关操作而言的能力，比如是否允许关机、加载设备驱动、修改系统时间等，包含在访问令牌中 The right of a user to perform various system-related operations, such as shutting down the system, loading device drivers, or changing the system time. A users access token contains a list of the privileges held by either the user or the users groups. access right 访问权力，对对象而言的，和特权的区别需要实践来体会 A permission granted to a process to manipulate a specified object in a particular way (by calling a system service). Different system object types support different access rights, which are stored in an objects access control list (ACL). security identifier 安全标识符 (SID) A data structure of variable length that identifies user, group, and computer accounts. Every account on a network is issued a unique SID when the account is first created. Internal processes in Windows refer to an accounts SID rather than the accounts user or group name. access control entry (ACE) （acl分为sacl和dacl，acl可包含