Windows的SID和RID
关于SID和RID的文章有很多,为什么要写这篇文章(tips:瞎攒一份)?其实在我们进行安全数据分析的时候,经常会遇到
日志源无法满足模型建设的问题,那么我们能够放弃这个模型么?不能啊!!!甲方粑粑不允许啊!所以我们要对模型进行调
整,使模型满足当前日志源质量,对模型进行调整就会带来准确度就会下降,误报率上升的问题。在排除误报时,这些SID会给
我们很大的帮助。
SID
SID安全标识符(Security Identifiers),是标识用户、组和计算机帐户的唯一的号码。在第一次创建该帐户时,将给网络上
的每一个帐户发布一个唯一的 SID。Windows 2000 中的内部进程将引用帐户的 SID 而不是帐户的用户或组名。如果创建帐户,
再删除帐户,然后使用相同的用户名创建另一个帐户,则新帐户将不具有授权给前一个帐户的权力或权限,原因是该帐户具有不
同的 SID 号。安全标识符也被称为安全 ID 或 SID。
SID作用
用户通过验证后,登陆进程会给用户一个访问令牌,该令牌相当于用户访问系统资源的票证,当用户试图访问系统资源时,
将访问令牌提供给 Windows NT,然后 Windows NT 检查用户试图访问对象上的访问控制列表。如果用户被允许访问该对
象,Windows NT将会分配给用户适当的访问权限。
访问令牌是用户在通过验证的时候有登陆进程所提供的,所以改变用户的权限需要注销后重新登陆,重新获取访问令牌。
SID号码的组成
如果存在两个同样SID的用户,这两个帐户将被鉴别为同一个帐户,原理上如果帐户无限制增加的时候,会产生同样的SID,
在通常的情况下SID是唯一的,他由计算机名、当前时间、当前用户态线程的CPU耗费时间的总和三个参数决定以保证它的唯一
性。
一个完整的SID包括:
• 用户和组的安全描述
• 48-bit的ID authority
• 修订版本
• 可变的验证值Variable sub-authority values
例:S-1-5-21-310440588-250036847-580389505-500 它遵循的模式是:S-R-IA-SA-SA-RID。下面是具体解释:
1、字母S指明这是一个SID标识符,它将数字标记为一个SID。
2、R代表Revision(修订),Windows生成的所有SID都使用修订级别 1.
3、IA代表颁发机构。在Widnwos中,几乎所有SID都指定NT机构作为颁发机构,它的ID编号为5.但是,代表已知组和账户
的SID例外。
4、SA代表一个子机构。SA指定特殊的组或职能。例如、21表明SID由一个域控制器或者一台单机颁发。随后的一长串数字
(1683771068-12213551888-624655398)就是颁发SID的那个域或机器的SA。
5、RID是指相对ID(RID)、是SA所指派的一个惟一的、顺序的编号、代表一个安全主体(比如一个用户、计算机或组)。
插播一条重点知识:在经典NT和windows2000中,Local System账户SID S-1-5-18为几乎所有服务提供了安全上下文,
该账户具有很大的特权。(在数据分析过程中你会经常看到它的身影)。
SID重复问题的产生
安装NT/2000系统的时候,产生了一个唯一的SID,但是当你使用类似Ghost的软件克隆机器的时候,就会产生不同的机器
使用一个SID的问题。产生了很严重的安全问题。
同样,如果是重复的SID对于对等网来说也会产生很多安全方面的问题。在对等网中帐号的基础是SID加上一个相关的标识符
(RID),如果所有的工作站都拥有一样的SID,每个工作站上产生的第一个帐号都是一样的,这样就对用户本身的文件夹和文件
的安全产生了隐患。
这个时候某个人在自己的NTFS分区建立了共享,并且设置了自己可以访问,但是实际上另外一台机器的SID号码和这个一
样的用户此时也是可以访问这个共享的。
关于RID
已知RID:指派给用户、计算机和组的RID从1000开始。500-999的RID被专门保留起来、表示在每个Windows计算机和域中
通用的账户和组,它们称为“已知RID”有些已知RID会附加到一个域SID上,从而构成一个惟一的标识符。另一些则附加到Builtin
SID(S-1-5-32)上,指出它们是可能具有特权的Builtin账户--特权要么是硬编码到操作系统中的,要么是在安全数据库中指派
的。
关于RID劫持技术中提及到的权限问题:需要system权限进行RID劫持操作!
参考链接:
关于RID相关攻击手法:https://xz.aliyun.com/t/2998
关于windows SID理解:https://www.cnblogs.com/jackydalong/p/3262241.html
关于windows SID详解:https://www.cnblogs.com/mq0036/p/3518542.html
关于windows SID解释:https://support.microsoft.com/zh-cn/help/243330/well-known-security-identifiers-in-windows-operating-systems