解剖安全帐号管理器(SAM)结构

《解剖安全帐号管理器(SAM)结构》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、一、摘要　　　　分析安全帐号管理器结构是在一个多月前做的事情了，只零碎地记录下片段，没有发布过。不发布的主要原因是安全帐户管理器（SAM）是WIN系统帐户管理的核心，并且非常系统化，我也有很多地方仅仅是进行的推断和猜测，同时，SAMhack可能造成启动时lsass.exe加载帐户管理器出错，即便是安全模式也不能修复（启动时候必然加载SAM）使得整个系统启动崩溃（我通常需要依靠第二系统删除SAM文件来启动）。至于现在发布出来，主要是因为Adam和叮叮的《克隆管理员帐号》种所描述的制作rootkit办法隐蔽性和危害性，对SAM的结构的熟悉，可以帮助安全维护人员做好安全检测（当然也

2、可能让不良企图者利用）。这里只介绍关于SAM的内容，同Security相关的暂时不公开。　　　　二、关于SAM　　　　不要误解了SAM，这不是一个文件sam这么简单。SAM（SecurityAccountsManager安全帐户管理器）负责SAM数据库的控制和维护。SAM数据库位于注册表HKLMSAMSAM下，受到ACL保护，可以使用regedt32.exe打开注册表编辑器并设置适当权限查看SAM中的内容。SAM数据库在磁盘上就保存在%systemroot%system32config目录下的sam文件中，在这个目录下还包括一个security文件，是安全数据库的内容，两者有

3、不少关系。　　　　SAM数据库中包含所有组、帐户的信息，包括密码HASH、帐户的SID等。这些内容在后面详细介绍。分析的系统中文Win2KAdvServer为例。　　　　三、注册表中SAM数据库的结构　　　　展开注册表HKLMSAMSAM:　　　　HKLM---SAM　　

4、---SAM　　

5、---Domains　　

6、

7、---Account　　

8、

9、

10、---Aliases　　

11、

12、

13、

14、---Members　　

15、

16、

17、

18、---Names　　

19、

20、

21、---Groups　　

22、

23、

24、

25、---00000201　　

26、

27、

28、

29、---Names　　

30、

31、

32、

33、---None　　

34、

35、

36、---Users　　

37、

38、

39、

40、---000001F4　　

41、

42、

43、---000001F5　　

44、

45、

46、---000003E8　　

47、

48、

49、---000003E9　　

50、

51、

52、---Names　　

53、

54、

55、---Adaministrator　　

56、

57、

58、---Guest　　

59、

60、

61、---IUSR_REFDOM　　

62、

63、

64、---IWASM_REFDOM　　

65、

66、---Builtin　　

67、

68、---Aliases　　

69、

70、

71、---00000220　　

72、

73、

74、---00000221　　

75、

76、

77、---00000222　　

78、

79、

80、---00000223　　

81、

82、

83、---Members　　

84、

85、

86、

87、---S-1-5-21-1214440339-706699826

88、-1708537768　　

89、

90、

91、

92、---000001F4　　

93、

94、

95、

96、---000001F5　　

97、

98、

99、

100、---000003E8　　

101、

102、

103、

104、---000003E9　　

105、

106、

107、---Names　　

108、

109、

110、---Administrators　　

111、

112、

113、---Users　　

114、

115、

116、---Guests　　

117、

118、

119、---PowerUsers　　

120、

121、---Groups　　

122、

123、

124、---Names　　

125、

126、　　

127、

128、---Users　　

129、

130、---Names　　

131、　　

132、---RXACT　　　　这是机器上注册表中的SAM树。　　　　对照SAM文件中的内容，可以看出，注册表中的SAM树实际上就是SAM文件中一样。不

133、过，SAM文件中是先列RXACT然后在是Domains内容（以此类推），文件中的表达顺序和注册表中的树形顺序是相反的。如果习惯于看文件内容，从文件的0000h到0006Ch，表示的是SAM数据库所在的位置：systemrootsystem32configsam，然后是一端空白，直到01000h（hbin），从这里开始就是整个数据库的内容。SAM数据库的文件内容不作主要介绍，不过会穿插着介绍，有兴趣可以自己去研究。　　　　四、SAM数据库的结构和主要内容：　　　　在整个数据库中，帐号主要内容存在于下面这些位置：　　　　在Domains下就是域（或本机）中的SAM内容，其下有两个

134、分支“Account”和“Builtin”　　　　DomainsAccount是用户帐号内容。　　　　DomainsAccountUsers下就是各个帐号的信息。其下的子键就是各个帐号的SID相对标志符。比如000001F4，每个帐号下面有两个子项，F和V。其中Names下是用户帐号名，每个帐号名只有一个默认的子项，项中类型不是一般的注册表数据类型，而是指向标志这个帐号的SID最后一项（相对标识符），比如其下的Administrator，类型为0x1F4，于是从前面的000001F4就对应着帐户名adm