Роман Клименко - Windows Vista. Для профессионалов

Мы уже сталкивались с привилегиями, когда рассматривали оснастку Редактор объектов групповой политики, хотя тогда было упомянуто о них лишь мельком, даже не говорилось о том, что это привилегии.

Привилегии операционной системы

Добавлять и удалять привилегии можно как с помощью API-функций, так и с помощью оснастки Редактор объектов групповой политики. Для этого применяется подраздел оснастки Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Назначение прав пользователя. Данный подраздел содержит следующие элементы (сначала указано системное название привилегии, потом ее название в оснастке и в самом конце ее описание).

• SeBackupPrivilege (архивация файлов и каталогов) – разрешает службе или учетной записи выполнять операции резервного копирования. Данная привилегия позволяет учетной записи или службе открывать файлы и каталоги независимо от того, разрешена для них эта операция с помощью DACL или нет. Привилегия позволяет обходить проверку таких разрешений, как Обзор папок/Выполнение файлов, Содержимое папки/Чтение данных, Чтение атрибутов, Чтение расширенных атрибутов, Чтение разрешений. При этом DACL обходится только в том случае, если установлен флаг FILE_FLAG_BACKUP_SEMANTIC.

Привилегия предоставлена группам: Администраторы, Операторы архива и Операторы сервера.

• SeChangeNotifyPriviLege (обход перекрестной проверки) – разрешает службе или учетной записи не проходить все проверки прав доступа пользователя при проходе многоуровневых каталогов (проверки прав доступа к вложенным каталогам). Она не предоставляет прав на просмотр содержимого каталога, если эти права вам не предоставлены DACL, однако позволяет выполнять обзор каталога.

Привилегия предоставлена группам: Администраторы, Операторы архива, Пользователи, Все, а также учетной записи локальной службы, учетной записи сетевой службы.

• SeCreateGlobalPrivilege (создание глобальных объектов) – позволяет процессу создание разделов и символьных ссылок во время сеанса службы терминалов.

Привилегия предоставлена: группе Администраторы, учетной записи локальной службы, учетной записи сетевой службы.

• SeCreatePagefilePrivilege (создание файла подкачки) – разрешает службе или учетной записи создание файла подкачки с помощью специальных API-функций.

Привилегия предоставлена группе Администраторы.

• SeCreateSymbolicLinkPrivilege (создание символических ссылок) – позволяет пользователю создавать символические ссылки. Определить, какие виды символьных ссылок доступны в операционной системе, можно с помощью команды программы командной строки fsutil behavior set.

Привилегия предоставлена группе Администраторы.

• SeDebugPrivilege (отладка программ) – разрешает службе или учетной записи производить отладку системного процесса с помощью подключаемого отладчика программ. Это позволяет процессам получать доступ к другим процессам, минуя проверку их дескриптора защиты.

Привилегия предоставлена группе Администраторы.

• SeImpersonatePrivilege (имитация клиента после проверки подлинности) – позволяет процессам выполнять олицетворение других процессов.

Привилегия предоставлена группе Администраторы, учетной записи локальной службы, учетной записи сетевой службы.

• SelncreaseBasePn\'orityPrivilege (увеличение приоритета выполнения) – разрешает службе или учетной записи увеличивать приоритет, с которым выполняются процессы. Например, пользователь сможет сделать это с помощью окна диспетчера задач.

Привилегия предоставлена группе Администраторы.

• SelncreaseQuotaPrivilege (настройка квот памяти для процесса) – позволяет службе или учетной записи увеличивать квоту на доступный объем памяти, назначенную запущенному процессу.

Привилегия предоставлена группе Администраторы, учетной записи локальной службы, учетной записи сетевой службы.

• SeLoadDriverPriviLege (загрузка и выгрузка драйверов устройств) – разрешает службе или учетной записи загружать и выгружать драйверы устройств режима ядра. Данная привилегия не относится к драйверам, поддерживающим Plug and Play.

Привилегия предоставлена группе Администраторы.

• SeManageVolumePrivilege (выполнение задач по обслуживанию томов) – необходима для выполнения проверки диска или его дефрагментации.

Привилегия предоставлена группе Администраторы.

• SeProfileSingleProcessPrivilege (профилирование одного процесса) – разрешает службе или учетной записи собирать информацию о профилях одиночного процесса. Данная привилегия необходима для работы службы предвыборки данных. В частности, эта привилегия необходима для использования средства мониторинга производительности несистемных процессов.