以下文章来源于安全加 ，作者谢公子 Windows中的用户和组以及用户密码破解 目录 用户帐户 Windows 默认账户 Windows 内置用户账户 查看、创建和删除账户 组账户 内置组账户 组的查看...、创建和删除 01 用户帐户 用户帐户是对计算机用户身份的标识，本地用户帐户、密码存在本地计算机上，只对本机有效，存储在本地安全帐户数据库 SAM 中，文件路径：C:\Windows\System32\...通过本地用户和组，可以为用户和组分配权利和权限，从而限制用户和组执行某些操作的能力。...不同的用户身份拥有不同的权限 每个用户包含一个名称和一个密码 用户帐户拥有唯一的安全标识符(Security Identifier，SID) 当我们去进程管理里面杀死 lsass.exe 进程时，windows...但是不可以更改Administrators，无法夺取文件的所有权、无法备份与还原文件、无法安装删除与删除设备驱动程序、无法管理安全与审核日志。
本地-->管理工具-->事件查看器-->windows日志 用户权限分配 用户权限是允许用户在计算机系统或域中执行的任务。有两种类型的用户权限：登录权限和特权。...关闭系统：此安全设置确定哪些在本地登录到计算机的用户可以使用关机命令关闭操作系统。误用此用户权限会导致拒绝服务。从网络访问此计算机：此用户权限确定允许哪些用户和组通过网络连接到计算机。...安全选项 常用安全选项设置示例 交互式登录: 不显示最后的用户名 该安全设置确定是否在 Windows 登录屏幕中显示最后登录到计算机的用户的名称。...如果启用该策略，则不会在“登录到 Windows”对话框中显示最后成功登录的用户的名称。如果禁用该策略，则会显示最后登录的用户的名称。默认: 禁用。...网络访问: 本地帐户的共享和安全模型 此安全设置确定如何对使用本地帐户的网络登录进行身份验证。如果将此设置设为“经典”，使用本地帐户凭据的网络登录通过这些凭据进行身份验证。
前言 在运维工作过程中，如若windows服务器被入侵，往往需要检索和分析相应的安全日志。...除了安全设备，系统自带的日志就是取证的关键材料，但是此类日志数量庞大，需要高效分析windows安全日志，提取出我们想要的有用信息，就显得尤为关键。...事件日志 Windows事件日志文件实际上是以特定的数据结构的方式存储内容，其中包括有关系统，安全，应用程序的记录。...开始-运行，输入 eventvwr.msc 打开事件查看器，查看日志 [1.png] 可以看到，事件查看器将日志分成了2大类，windows日志、应用程序和服务日志，windows日志中又有应用程序、安全...它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在 windows 的日志事件里。 sysmon 特点是用完整的命令行记录子进程和父进程的创建行为。
在Windows操作系统中，管理用户账户和密码策略是确保系统安全的关键步骤。...本文将探讨如何通过PowerShell和其他Windows工具管理用户账户，包括查看和设置密码策略、检查用户状态，以及导出和导入安全策略。...这些管理任务对于系统管理员尤其重要，可以帮助他们维护网络环境的安全性和一致性。 1. 查看和设置密码策略 在Windows中，密码策略可以确保用户账户的密码强度和安全性。...Windows提供了几种方法来查看和设置这些策略： 本地密码策略：使用secpol.msc可以在本地机器上查看和设置密码策略。...导出和导入安全策略 将安全策略从一个Windows系统导入到另一个系统是同步环境设置的有效方法。
本文将介绍 Windows 的 PPL 安全机制，以及在实验环境下如何绕过该机制，从而实现对 PPL 的进程进行动态调试。...本文实验环境： Windows 10 专业版 22H2 Visual Studio 2019 0x01 PPL机制 参考资料 使用 Process Explorer 工具查看进程列表，我们可以看到 Windows...的部分核心进程设置了 PPL 保护： 对于安全研究来说，PPL机制最直观的感受就是即便使用管理员权限也无法 attach 这个进程进行调试： 通过官网文档(https://learn.microsoft.com...0x02 双机调试bypass 参考资料 使用双机内核调试可以无视大多数的安全机制，这里我使用网络双机调试，成功连接被调试主机后，再进入到有 PPL 机制的 smss.exe(412) 的进程空间下，直接就可以正常调试...process 0 0 smss.exe # 从 EPROCESS 获取 Protection 的偏移和值 lkd > dt nt!
0x1 前言 许久不写博客，甚至已经有些忘记格式该是如何的，本篇博文用于记录我在学习Windows安全时的一些知识点。...#include #include #include #include #include #pragma...callbackOutput->Status = S_OK; break; default: return true; } return true; } 0x004完整源码: #include<Windows.h
审核策略 启用本地安全策略中对Windows系统的审核策略更改，成功和失败操作都需要审核。...审核对象访问 启用本地安全策略中对Windows系统的审核对象访问，成功和失败操作都需要审核。...审核特权使用 启用本地安全策略中对Windows系统的审核特权使用，成功和失败操作都需要审核。...审核系统事件 启用本地安全策略中对Windows系统的审核系统事件，成功和失败操作都需要审核。...审核帐户管理 启用本地安全策略中对Windows系统的审核帐户管理，成功和失败操作都要审核。
windows对象与句柄 windows对象 操作系统为了安全，提供了一种保护机制，这种机制会禁止用户操作某些资源，避免用户过于关注细节，或者由于操作不当而造成系统崩溃。...windows中的句柄 windows中对象的操作是由系统提供的一系列的API函数来完成，这些函数有一个共同特点，就是以HANDLE 句柄作为第一个参数，windows中采用句柄来唯一标识每个内核对象。...windows 安全对象模型 windows中的内核对象由进程和线程进行操作，而对象就好像一个被锁上的房间，进程想要访问对象，并对对象进程某种操作，就必须获取这个对象的钥匙，而线程就好像拥有钥匙的人...另外这个函数支持两次调用，第一次传入NULL指针和0长度，这样通过最后一个参数可以得到具体所需要的缓冲的大小。...安全描述符中的所有者和用户组 2. 被ACE认可的访问者 3.
参考链接： C++ wcstof() 宽字符类型和函数是C和C++标准（ANSI/ISO/IEC C 1999和ISO/IEC C++ 1998/2003）新增加的内容，它们是用来支持国际通用的Unicode...安全CRT函数是微软公司对C/C++语言的扩展，其中的部分内容已于2003年提交给ISO作为C/C++标准下一版本的修改建议。在VC05/08中，如果不使用这些安全性函数，编译器会报告警告性错误。 ...1）常用的宽字符函数 由于Windows NT/2000/XP采用的是Unicode字符编码，字符都是双字节的。...串格式打印函数也不能用sprintf，而是改用swprintf（字符和串格式符也从%c和%s改为%lc和%ls）。 ...在VC05/08中，如果不使用这些安全性函数，编译器会报告警告性错误。
Windows Server2003和XP是没有bitsadmin的，Winc7及其之后的机器才有。...中加载并执行PowerShell脚本 Windows PowerShell 是一种命令行外壳程序和脚本环境，使命令行用户和脚本编写者可以利用 .NET Framework的强大功能。...Windows XP 和 Windows Server 2003是没有Powershell的，Win7、2008 Server 及其以后的有。...中的进程 windows中包括系统进程和程序进程。...，该进程的正常运行能够确保在桌面上显示桌面图标和任务栏 lsass.exe：该进行用于windows操作系统的安全机制、本地安全和登录策略 services.exe：该进程用于启动和停止系统中的服务，如果用户手动终止该进程
，并且禁用 guest (来宾) 账号； 按照用户分配账户，根据系统要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等 删除或锁定与设备运行、维护等工作无关的账户 操作： 开始-...->管理工具-->本地安全策略-->安全选项，最底下重命名系统管理员账户 开始-->管理工具-->计算机管理-->本地用户和组-->用户，然后要操作哪个用户就右击，然后属性 管理口令 说明： 设置密码复杂度...，对用户登录进行记录，记录内容包括用户登录使用的账户，登录是否成功，登录时间，以及远程登录时所使用的ip地址 启用组策略中对windows系统的审核策略更改，成功和失败都要审核 启用组策略中对windows...系统的审核对象访问，成功和失败都要审核 启用组策略中对windwos系统的审核目录访问，成功和失败都要审核 操作系统审核特权使用策略安全基线要求项 操作系统审核系统事件策略安全基线要求项 操作系统审核账户管理策略安全基线要求项...只允许授权的账户拥有权限共享此文件夹 列出所需要服务的列表(包括所需的系统服务)，不在此列表中的服务需关闭 列出系统启动时自动加载的进程和服务列表，不在此列表的需关闭 关闭远桌面，如需开启，修改端口 关闭Windows
它可以很好地支持IPv4和IPv6，是仅次于DNS解析的名称解析协议。 2.LLMNR解析过程 LLMNR解析前提是本地hosts和DNS解析失败时，会使用LLMNR解析。...2.NETBIOS服务类型 NetBIOS支持面向连接(TCP)和无连接(UDP)通信。...3）如果没有配置WINS服务器或WINS服务器无响应时，则和LLMNR一样向当前子网域发送广播。...4）如果子网域其他主机无响应，则读取本地的lmhosts（C:\Windows\System32\drivers\etc\）文件。...NetBIOS协议是发送UDP广播包进行解析，如果不配置WINS服务器，则和LLMNR一样会有欺骗攻击问题。 4.
另一个核心文件为Windows\ System32\ drivers\etc\hosts文件，相当于本地的小型DNS，定义了域名和IP。...但是，从Microsoft Windows 95开始，注册表才真正成为Windows用户经常接触的内容，并在其后的操作系统中继续沿用至今。在安全领域，注册表是非常强大且常用的。...所以，安全防火墙和日志是非常重要的安全保护数段。 net share：查看本地开启的共享。...[网络安全] 二十二.Powershell基础入门及常见用法 [网络安全] 二十三.Powershell基础入门之常见语法及注册表 Windows PowerShell 是一种命令行外壳程序和脚本环境，...它引入了许多非常有用的新概念，从而进一步扩展了您在 Windows 命令提示符和 Windows Script Host 环境中获得的知识和创建的脚本。
与“Administrator”和“User”不同的，通常这个帐户没有修改系统设置和进行安装程序的权限，也没有创建修改任何文档的权限，只能是读取计算机系统信息和文件。...进入“控制面板->管理工具->本地安全策略”. 2. 在“本地策略->审核策略”中：所有项都设置为“成功”和“失败”都要审核。...登录检测 Windows登录屏幕不显示上次登录的用户名 加固方案-参考配置操作： 1. 进入“控制面板->管理工具->本地安全策略”. 2....在“本地策略->安全选项”中：将“交互式登录：不显示上次登录”，双击，修改状态为“已启用”。 五、入侵防范检测 Windows防火墙 开启Windows防火墙 加固方案-参考配置操作： 1....进入“控制面板->windows防火墙”. 2. 在“启用或关闭防火墙/自定义设置”中：将“专用网络设置”和“公用网络设置”都开启Windows防火墙。 3.
PCHunter 介绍： PC Hunter是一个Windows系统信息查看软件，同时也是一个手工杀毒辅助软件。 在应急响应中常常要用到它 ?...Windows系统安全检查脚本 介绍： 它可以检查多项记录。 请使用管理员运行，几个检查项需要权限运行 ? ?
而Windows XP和Windows Server2003及其之前的机器都是用的SMB1.0协议。...因此我们应尽可能的多了解一些这些端口的作用，权衡端口开放的利与弊，然后制定相应的安全策略。...方法是依次选择“控制面板”、“管理工具”和“本地安全策略”，打开本地安全设置窗口，选择本地策略中的用户权利指派，然后利用该项下的“拒绝从网络访问这台计算机”，指定拒绝访问的对象。...尽管138端口的信息量没有137端口那么多，但也存在不容忽视的安全隐患。 NetBIOS服务主要使用137和138端口的向外部发送自己信息。...因此，在文件服务器和打印服务器使用Windows的公司内部网络环境中，就无法关闭139和445端口。 在默认设置下，Windows会开放提供文件共享服务的TCP 139号端口。
前提：自己对安全在行，不需要defender安全通知 思路： 1、提权禁止Defender计划任务 参考https://cloud.tencent.com/developer/article/2285183...8 /Run 提权到SYSTEM权限 AdvancedRun.exe /Clear /EXEFilename "C:\Windows\System32\WindowsPowerShell\v1.0\...17forbid_taskschd.ps1','C:\2024-1-17forbid_taskschd.ps1') powershell -file C:\2024-1-17forbid_taskschd.ps1 2、在安全模式修改...C:\ProgramData\Microsoft\Windows Defender\的权限后禁用安全相关9或10个服务 属性 → 安全 → 高级 → 改变所有者 → Administrators（如下图.../v Start reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MpsSvc" /v Start 3、注册表干预取消安全通知
随着网络安全的快速发展，不少的互联网公司都积极的参与到了这个领域，随着《网络安全法》颁布与实施、等保2.0的颁布等为网路安全发展提供了有力的后盾。一个事物的快速发展，也会引起其它不利的事物萌芽。...Windows安全应急处置 攻击者入侵一个网站必然会对企业的业务系统造成不同程度的损害，即使入侵不成功，也会使业务系统访问缓慢，即使在网络良好的情况下。...对于 Windows 事件日志分析，不同的 EVENT ID 代表了不同的意义，摘录一些常见的安全事件的说明： ?...TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624" 提取登录成功的用户名和IP...另外，有些健值还可能被利用来实现比较特别的功能： 有些病毒会通过修改下面的键值来阻止用户查看和修改注册表： HKCU\Software\Microsoft\Windows\CurrentVersion\
Windows安全中心打开空白如何解决 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft...\Windows Defender] "DisableAntiSpyware"=dword:00000000 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows...DisableAntiVirus"=dword:00000000 "ServiceStartStates"=- [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows
提醒下，用windows最好安装杀毒防护软件 如果对主机安全或第三方杀毒防护软件报出来的风险文件存疑，可以试试第三方工具 https://www.virustotal.com/gui/home/upload...，黑客先攻陷了跳板机然后几百台内网机器全被搞 所以不论内外网，只要是windows尤其是过时不安全的系统都要强化安全设置和安全意识，不可大意 360会引起很多问题，但360杀毒防护效果确实不错，权衡使用...安全防护软件较多，比如微软自己的电脑管家（适用≥server2019，我个人试用了，感觉不咋地呀，毕竟微软出品，也许未来会好用），第三方的安全软件我更推荐360和火绒。...，首先需阐明，主机安全（云镜）跟杀毒防护软件有区别，主要是识别和告警，并不像杀毒防护软件那样具有实时对抗性。...温馨提示，安全软件会有明显的资源开销，如果是最低配的机器，安装杀毒防护软件可能会导致系统卡顿，但如果不安装，安全中招的风险还是挺大的，建议客户综合考虑选择适合自己的系统和软硬件配置。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
