ACLs - DACLs/SACLs/ACEs

使用 Trickest 轻松构建和 自动化工作流程，由世界上 最先进 的社区工具提供支持。立即获取访问权限：

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 @hacktricks_live** 上关注我们。**
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

访问控制列表 (ACL)

访问控制列表 (ACL) 由一组有序的访问控制条目 (ACE) 组成，这些条目规定了对象及其属性的保护。实质上，ACL 定义了哪些安全主体（用户或组）对给定对象的哪些操作是被允许或拒绝的。

ACL 有两种类型：

访问文件的过程涉及系统检查对象的安全描述符与用户的访问令牌，以确定是否应授予访问权限以及访问的范围，基于 ACE。

每个用户会话都与一个访问令牌相关联，该令牌包含与该会话相关的安全信息，包括用户、组身份和特权。该令牌还包括一个唯一标识会话的登录 SID。

本地安全机构 (LSASS) 通过检查 DACL 中与尝试访问的安全主体匹配的 ACE 来处理对对象的访问请求。如果未找到相关的 ACE，则立即授予访问权限。否则，LSASS 将 ACE 与访问令牌中的安全主体 SID 进行比较，以确定访问资格。

有 三种主要类型的访问控制条目 (ACE)：

拒绝访问 ACE： 此 ACE 明确拒绝指定用户或组（在 DACL 中）对对象的访问。
允许访问 ACE： 此 ACE 明确授予指定用户或组（在 DACL 中）对对象的访问。
系统审计 ACE： 位于系统访问控制列表 (SACL) 中，此 ACE 负责在用户或组尝试访问对象时生成审计日志。它记录访问是被允许还是被拒绝以及访问的性质。

每个 ACE 具有 四个关键组件：

访问确定是通过依次检查每个 ACE 进行的，直到：

ACEs（规则，说明谁可以或不能访问某物）在称为 DACL 的列表中的排列方式非常重要。这是因为一旦系统根据这些规则授予或拒绝访问，它就会停止查看其余的规则。

有一种最佳的组织这些 ACE 的方法，称为 “规范顺序。” 这种方法有助于确保一切顺利和公平。对于像 Windows 2000 和 Windows Server 2003 这样的系统，其顺序如下：

这种设置在两个方面有很大帮助：

通过这种方式，文件或文件夹的所有者可以非常精确地控制谁可以访问，确保正确的人可以进入，而错误的人不能。

因此，这种 “规范顺序” 旨在确保访问规则清晰且有效，优先考虑特定规则，并以智能的方式组织一切。

使用 Trickest 轻松构建和 自动化工作流程，由世界上 最先进 的社区工具提供支持。立即获取访问权限：

这是一个文件夹的经典安全选项卡，显示了 ACL、DACL 和 ACEs：

如果我们点击 高级按钮，我们将获得更多选项，如继承：

如果您添加或编辑安全主体：

最后，我们在审计选项卡中有 SACL：

在管理对资源的访问时，例如文件夹，我们使用称为访问控制列表 (ACL) 和访问控制条目 (ACE) 的列表和规则。这些定义了谁可以或不能访问某些数据。

想象一下，您有一个名为 Cost 的文件夹，您希望每个人都可以访问，除了市场团队。通过正确设置规则，我们可以确保市场团队被明确拒绝访问，然后再允许其他所有人。这是通过将拒绝市场团队访问的规则放在允许所有人访问的规则之前来实现的。

假设市场总监 Bob 需要访问 Cost 文件夹，尽管市场团队通常不应该有访问权限。我们可以为 Bob 添加一个特定的规则 (ACE)，授予他访问权限，并将其放在拒绝市场团队访问的规则之前。这样，尽管对他的团队有一般限制，Bob 仍然可以访问。

ACE 是 ACL 中的单个规则。它们识别用户或组，指定允许或拒绝的访问，并确定这些规则如何适用于子项（继承）。ACE 主要有两种类型：

通用 ACE： 这些规则广泛适用，影响所有类型的对象，或仅区分容器（如文件夹）和非容器（如文件）。例如，允许用户查看文件夹内容但不访问其中文件的规则。
对象特定 ACE： 这些提供更精确的控制，允许为特定类型的对象或对象内的单个属性设置规则。例如，在用户目录中，规则可能允许用户更新他们的电话号码，但不允许更新他们的登录时间。

每个 ACE 包含重要信息，例如规则适用的对象（使用安全标识符或 SID）、规则允许或拒绝的内容（使用访问掩码）以及如何被其他对象继承。