|
|
SAM文件基础知识
|
|
来源：不详 作者：未知 点击数： |
| |
但是这两种口令的加密方法从总体上来说强度还是不足，因此，微软在win NT4的SP3之和以后的补丁中，提供了一个syskey.exe的小工具来进一步加强NT的口令。这个软件是可以选择使用的，管理员只要运行一下这个程序并回答一些设置问题就可以添加这项增强功能。(windows2000已经作为缺省安装设置了)
syskey被设计用来防止轻易获得SAM口令，它是如何工作的呢？
当syskey被激活，口令信息在存入注册表之前还进行了一次加密处理。然而,在机器启动后，一个旧的格式的信息还是会保存在内存中，，因为这个旧格式的口令信息是进行网络验证的所需要的。
可以这样认为:syskey使用了一种方法将口令信息搞乱。或者说使用了一个密钥，这个密钥是激活syskey由用户选择保存位置的。这个密钥可以保存在软盘，或者在启动时由用户生成(通过用户输入的口令生成)，又或者直接保存在注册表中。由于没有官方的正式技术说明如何关闭syskey，所以syskey一旦启用就无非关闭，除非用启用syskey之前的注册表备份恢复注册表。
*** 将syskey激活后系统有什么发生了什么，如何关掉syskey呢?***
-1-
将syskey激活后，在注册表HKLM\\System\\CurrentControlSet\\Control\\Lsa下被添加了新的键值\'SecureBoot\'中保存了syskey的设置：
1 - KEY保存在注册表中
2 - KEY由用户登录时输入的口令生成
3 - KEY保存在软盘中
但是把主键删除或者把值设成0并没能将syskey关闭，看来还有其他的地方......
-2-
HKLM\\SAM\\Domains\\Account\\F 是一个二进制的结构，通常保存着计算机的SID和其他的描述信息。当syskey被激活后，其中的内容就变大了(大小大约是原来的两倍) 增加的部分估计是加密的KEY+一些标记和其他的数值,这些标记和数值中一定有一部分包括 SecureBoot 相同的内容。所以，在NT4(已安装SP6补丁包)将这些标记位设为0可能就可以关闭syskey了。在改变这些设置时系统给出了一个错误提示说明SAM和系统设置相互冲突，但是在重新启动计算机后，系统已经不再使用syskey了。
-3-
再win2000中还有另一个地方还存储着关于syskey的信息
HKLM\\security\\Policy\\PolSecretEncryptionKey\\
这也是一个二进制的结构，也是使用同样的存储方式，将这里相应部分同样设为0,syskey就已经从win2000中移除了。(如果这三部分修改出现错误(不一致)，系统会在下次启动是自动恢复为默认值)
-4-
，然后就是口令信息部分。旧的口令信息是长度是16字节，但使用syskey后长度全部被增加到20字节。其中头四个字节看起来想是某种计数器，可能是历史使用记录计数器。奇怪的是，当syskey被激活时，他并不立即记录，而是在系统下次启动时才记录。而且，当密钥被改变时，口令信息似乎并没有相应更新。 |
|
|
|
|
|
