Недокументированные возможности windows 2000

Обновлено: 03.07.2024

Введение

ермин «RootKit» исторически относится к среде UNIX, где под ним понимается набор утилит, которые хакер устанавливает на взломанном им компьютере после получения первоначального доступа. Как правило, это хакерский инструментарий (снифферы, сканеры) и троянские программы, замещающие основные утилиты UNIX. RootKit позволяет хакеру закрепиться во взломанной системе и скрыть следы своей деятельности.

В системе Windows термином «RootKit» принято называть программу, которая внедряется в систему и перехватывает системные функции или производит замену системных библиотек. Благодаря перехвату и модификации низкоуровневых API-функций такая программа достаточно хорошо маскирует свое присутствие в системе, защищая себя от обнаружения пользователем и антивирусным ПО. Кроме того, многие такие программы могут маскировать наличие в системе любых описанных в конфигурации RootKit процессов, папок и файлов на диске, ключей в реестре. Многие RootKit устанавливают в систему свои драйверы и сервисы (они, естественно, тоже являются невидимыми).

В последнее время угроза RootKit становится все более актуальной, так как разработчики вирусов, троянских программ и шпионского программного обеспечения начинают встраивать RootKit-технологии в свои вредоносные программы. Одним из классических примеров может служить троянская программа Trojan-Spy.Win32.Qukart, которая маскирует свое присутствие в системе при помощи RootKit-технологии (данная программа интересна тем, что ее RootKit-механизм прекрасно работает в Windows 95/98/Mе/2000/XP).

Далее в статье при описании методов перехвата функций речь идет именно о RootKit, однако нужно помнить, что рассмотренные методики универсальны и применяются множеством полезных программ и утилит.

Методы перехвата функций в режиме пользователя (user mode)

писания методик перехвата функций снабжены схемами их работы, при этом красная пунктирная стрелка показывает вмешательство RootKit в процесс работы программы, а красные стрелки показывают отклонения в логике работы, вызванные вмешательством RootKit.

Перехват функций позволяет RootKit модифицировать результаты их работы. Например, перехват функции поиска файла на диске позволяет исключить из результатов поиска маскируемые файлы, а перехват функций типа ntdll.ZwQuerySystemInformation дает возможность замаскировать запущенные процессы и загруженные библиотеки.

Принцип вызова функции

Прежде чем перейти к рассмотрению принципов работы RootKit пользовательского режима, необходимо кратко описать принцип вызова функций, размещенных в DLL. Существует два базовых способа:

Независимо от метода связывания, системе необходимо знать, какие функции экспортирует DLL. Для этого у каждой DLL имеется таблица экспорта, в которой перечислены экспортируемые DLL функции, их номера (ординалы) и относительные адреса функций (RVA).

1. Модификация машинного кода прикладной программы

В этом случае модифицируется машинный код (рис. 2), отвечающий в прикладной программе за вызов той или иной функции API. Эта методика сложна в реализации, так как существует множество языков программирования и версий компиляторов, а программист может реализовать вызов функций Windows API различными методами. Но теоретически подобное возможно при условии, что внедрение будет идти в заранее заданную программу известной версии. В этом случае можно проанализировать ее машинный код и разработать перехватчик.

2. Модификация таблицы импорта

3. Перехват функций LoadLibrary и GetProcAddress

4. Методика, сочетающая методики 2 и 3

В данной методике модифицируется таблица импорта, причем в обязательном порядке перехватываются функции LoadLibrary и GetProcAddress библиотеки kernel32.dll. В этом случае при вызове статически импортируемых функций искаженные адреса берутся из таблицы импорта, при динамическом определении адреса вызывается перехваченная функция GetProcAddress, которая возвращает адреса функций-перехватчиков. В результате у программы не остается шансов узнать правильный адрес функции (рис. 5).

5. Модификация программного кода функции

6. Модификация библиотек DLL на диске

Данная методика состоит в том, что системная библиотека модифицируется на диске. Методы модификации аналогичны вышеописанным, только изменения производятся не в памяти, а на диске. Эта методика не получила широкого распространения.

Перехват функций в режиме ядра (kernel mode)

ля понимания типовой методики перехвата функций в режиме ядра следует прежде всего описать принципы взаимодействия библиотек пользовательского режима и ядра. Рассмотрим их с помощью упрощенной схемы, приведенной на рис. 7.

Методики обнаружения RootKit в системе

ассмотрим базовые методики поиска RootKit:

Заключение

писанные в статье базовые методики перехвата функций поясняют основные принципы работы RootKit. Однако разработчики RootKit-технологий не стоят на месте, в результате чего постоянно появляются новые разработки, подходы и методы. Практика показывает, что разработчики вредоносных программ (вирусов, троянских программ, шпионского ПО) все чаще начинают использовать RootKit-технологии, что существенно затрудняет обнаружение и удаление созданных ими вредоносных программ. Чаще всего применяются методики перехвата функций в режиме пользователя, но в последнее время появились весьма эффективные реализации с применением драйверов. В этом плане, по статистике автора, наиболее знаменит Backdoor.Win32.Haxdoor, который устанавливает в систему несколько драйверов, что позволяет ему весьма эффективно маскироваться от обнаружения пользователем.

Active Directory является мощнейшей службой каталога операционной системы Windows Server 2003, предназначенной для управления пользователями, группами и сетевыми ресурсами. В книге содержится описание концепций и компонентов Active Directory,

ISBN:	5-7163-0129-0, 0-7356-2166-7
Год издания:	2006
Издательство:	Бином. Лаборатория знаний, Эком
Серия:	Справочник администратора
Язык:	Русский

В этой книге подробно описывается процесс автоматизации 100 административных процедур в Microsoft Windows XP, Windows 2000 и Windows Server 2003. Автор рассказывает о том, как управлять файлами и дисками, быстро и аккуратно выполнять регулярные

ISBN:	5-94723-374-6
Год издания:	2003
Издательство:	Питер
Серия:	Для профессионалов
Язык:	Русский

В книге представлены рекомендации по созданию гетерогенных сетей, содержащих компьютеры под управлением Windows и Linux. Описывается полный цикл разработки гетерогенной сети: планирование, конфигурирование, обслуживание, разработка приложений, создание сценариев, администрирование и оптимизация.

Для системных инженеров, сетевых администраторов и IТ-специалистов.

Данная книга предназначена для системных программистов, желающих максимально эффективно использовать возможности операционной системы, для которой они разрабатывают программное обеспечение. В книге содержится огромный объем информации, к которой можно применить атрибут `не документировано`, кроме того, многие сведения ранее нигде не публиковались.

С момента выхода предыдущего издания этой книги операционная система Windows прошла длинный путь обновлений и концептуальных изменений, результатом которых стала новая стабильная архитектура ядра Windows 10.

Книга "Внутреннее устройство Windows" создана для профессионалов, желающих разобраться во внутренней жизни основных компонентов Windows 10. Опираясь на эту информацию, разработчикам будет проще находить правильные проектные решения, создавая приложения для платформы Windows, и решать сложные проблемы, связанные с их эксплуатацией. Системные администраторы, зная что находится у операционной системы "под капотом", смогут разобраться с поведением системы и быстрее решать задачи повышения производительности и диагностики сбоев. Специалистам по безопасности пригодится информация о борьбе с уязвимостями операционной системы.

Прочитав эту книгу, вы будете лучше разбираться в работе Windows и в истинных причинах того или иного поведения ОС.

ISBN:	5-94074-286-6, 0-7356-0886-5
Год издания:	2005
Издательство:	ДМК пресс
Язык:	Русский

В книге рассматривается чрезвычайно актуальный вопрос современного программирования - как избежать ошибок в приложениях, разрабатываемых для операционной системы Windows. Автор, основываясь на собственном глубоком опыте, предлагает эффективные

ISBN:	5-7163-0119-3, 0-7356-1904-2
Год издания:	2006
Издательство:	Эком
Язык:	Русский

Система Microsoft Windows Server 2003 была разработана как преемник серии Microsoft Windows 2000 Server с особым вниманием к работе IТ-профессионалов в корпоративных сетях. Она обеспечивает исключительную стабильность и превосходную

ISBN:	5-7163-0139-8, 5-94774-594-1, 0-7356-2030-X
Год издания:	2006
Издательство:	Бином. Лаборатория знаний, Эком
Язык:	Русский

Официальный учебный курс Microsoft (MOAC) посвящен управлению и поддержке Microsoft Windows Server 2003. Экзамен по данному курсу является обязательным для получения сертификата Сертифицированный системный администратор Microsoft (MCSA). В книге

ISBN:	5-86225-292-4
Год издания:	2006
Издательство:	Научно-издательский центр ИНФРА-М
Язык:	Русский

Книга содержит подробное и доступное для начинающих описание возможностей компьютеров, их устройств, программ, локальных и глобальных сетей, методик правильной работы в среде DOS и Windows, способов использования наиболее популярных и полезных

ISBN:	5-7163-0135-5, 5-94774-554-2, 0-7356-2135-7
Год издания:	2006
Издательство:	Бином. Лаборатория знаний, Эком
Язык:	Русский

Сборник практических занятий - приложение к учебному пособию МО АС: "Установка, настройка и администрирование Microsoft Windows XP Professional (20-270)" - даст навыки, необходимые для управления рабочими станциями в среде Windows Server 2003.

Сборник практических занятий - приложение к учебному пособию МО АС: "Установка, настройка и администрирование Microsoft Windows XP Professional (20-270)" - даст навыки,…

ISBN:	5-7163-0114-2, 5-94774-436-8, 0-7356-2031-8
Год издания:	2006
Издательство:	Бином. Лаборатория знаний, Эком
Язык:	Русский

Сборник практических занятий - приложение к учебному пособию MOAC: "Управление и поддержка среды Microsoft Windows Server 2003. 70-290". Экзамен по данному курсу является одним из трех обязательных экзаменов для получения статуса "Сертифицированный

Эта книга является техническим руководством экспертного уровня, в котором рассказывается о планировании, разработке и устранении неполадок в виртуальных частных сетях (VPN). Она содержит пример создания VPN и рекомендации профессионалов.

ISBN:	5-7163-0119-3, 0-7356-1904-2
Год издания:	2006
Издательство:	Эком
Язык:	Русский

Система Microsoft Windows Server 2003 была разработана как преемник серии Microsoft Windows 2000 Server с особым вниманием к работе IT-профессионалов в корпоративных сетях. Она обеспечивает исключительную стабильность и превосходную

ISBN:	5-9570-0036-1, 0-7356-1291-9
Год издания:	2005
Издательство:	Эком
Язык:	Русский

Книга представляет собой подробное техническое руководство по обслуживанию TCP/IP на платформе Windows Server 2003. Теоретические концепции сопровождаются реальными примерами, а описание протоколов и служб TCP/IP приводится последовательно для

Этот официальный учебный курс Microsoft для самоподготовки содержит материалы, необходимые для планирования, установки, настройки и администрирования, устранения неполадок в системе безопасности, проведения мониторинга и оптимизации

Это пособие, написанное в очень легкой и увлекательной манере, позволит начинающим пользователям быстро и эффективно приступить к работе с операционной системой Windows ХР и входящими в ее состав программами. Информация, изложенная в книге, охватывает следующий спектр вопросов: основы информатики (что такое диски, папки, файлы и так далее), история развития операционных систем, самостоятельная установка Windows ХР, знакомство с основными элементами системы, настройка системы под себя, прикладные программы Windows ХР (проводник, текстовый редактор, графический редактор, проигрыватель, создание видеороликов, архивы и т.д.), подключение и работа с Интернетом.
Данный учебник будет полезен, в первую очередь, новичкам в компьютере, которые не желают тратить время на чтение нудных пособий, а хотят легко и быстро освоить самую популярную операционную систему.

ISBN:	5-7502-0209-7
Год издания:	2002
Издательство:	Русская Редакция
Серия:	Учебный курс. Официальные издания Microsoft Press
Язык:	Русский

Это официальное учебное пособие знакомит вас с операционной системой Microsoft Windows XP Professional и содержит необходимые сведения о ее установке, настройке и обслуживанию. В книге подробно рассказывается об инструментах администрирования, настройки и диагностики ОС. Вы узнаете о сетевых протоколах и службах, поставляемых с ОС, о доменной системе имен (Domain Name System, DNS) — стандартной службе имен Интернета и TCP/IP. Особое внимание уделено настройке параметров безопасности и параметров Интернета, управлению устройствами хранения данных. Богато иллюстрированный учебный курс состоит из 19 глав, приложения и предметного указателя. Помимо теоретического материала предлагаются упражнения и контрольные вопросы для самопроверки. Курс адресован специалистам поддержки, системным администраторам, квалифицированным пользователям. Кроме того, это учебное пособие поможет вам подготовиться к сдаче экзамена №70-270 `Installing, Configuring, and Administering Microsoft Windows XP Professional` по программам сертификации MCSA (Microsoft Certified Systems Administrators) и MCSE (Microsoft Certified Systems Engineer). На прилагаемом компакт-диске находятся электронные варианты оригинального издания данного курса и книги Microsoft Encyclopedia of Networking, а также мультимедийные презентации и пробная версия экзамена.

Сокрытие ключей реестра от программ, работающих с неактивным реестром, при сохранении возможности обычной работы с этими ключами стандартными средствами операционной системы Windows (в составе активного реестра) может быть использовано для достижения двух целей:

сокрытие внесенных в реестр изменений от криминалистического исследования (например, сокрытие ключей определенного сервиса, которые будут корректно прочитаны и использованы операционной системой Windows в процессе загрузки, но не будут видны для сторонних программ, работающих с неактивным реестром, во время исследования накопителя);
сокрытие внесенных в реестр изменений от предзагрузочного контроля целостности (например, внесение таких изменений в ключи реестра, которые не будут видны для модулей доверенной загрузки во время контроля целостности, но будут видны для самой операционной системы Windows).

Как это происходит?

Реестр Windows состоит из двух частей: энергозависимая часть (ключи реестра и значения, которые будут потеряны после отключения куста из-за того, что они не сохраняются в файл; пример: ключ «CurrentControlSet» куста «SYSTEM»), энергонезависимая часть (синхронизируется с файлом куста реестра).

Поскольку во время записи энергонезависимой части в файл куста необходимо обеспечить целостность сохраняемых данных (например, в случае сбоя электропитания, прерывающего операции записи данных), ядро Windows использует журналирование реестра — записываемые данные сохраняются сначала в файл журнала (этот файл находится в одной директории вместе с основным файлом и имеет расширение «.LOG», «.LOG1» или «.LOG2») и только потом в основной файл куста (если запись в файл журнала не будет успешно завершена, то основной файл останется целым и нетронутым, а если запись в основной файл не будет успешно завершена, то его целостность можно восстановить с помощью данных из журнала, которые были успешно записаны до сбоя).

Предлагаемый способ сокрытия ключей (и их значений, а также других элементов) заключается в сохранении соответствующих данных только в журнал, но не в основной файл куста реестра. Сторонние программы, работающие с неактивным реестром, в подавляющем большинстве случаев игнорируют файл (файлы) журнала, а потому ключи реестра, хранимые в журнале, но не в основном файле, будут невидимыми для этих программ. Ядро Windows, с другой стороны, использует журнал для восстановления целостности куста при его подключении, а потому обсуждаемые ключи будут видимыми для ядра и, соответственно, других запущенных программ.

Для блокирования записи в основной файл куста можно использовать отладочный механизм, который появился в Windows Vista. Для понимания сути этого механизма необходимо рассмотреть появившуюся в Windows Vista схему журналирования.

Журналирование до Windows Vista

В Windows XP и более ранних версиях Windows каждому энергонезависимому кусту реестра соответствует один основной файл и один файл журнала. Исключением из этого правила является куст SYSTEM в Windows 2000 и более ранних версиях Windows, который зеркалируется (в файл с именем «system.alt»), а не журналируется, чтобы упростить код загрузчика (который должен загрузить в память указанный куст) и не добавлять в него поддержку восстановления из журнала (под зеркалированием понимается поочередная запись данных в два основных файла, которые в результате будут иметь одинаковую логическую структуру ключей, значений и других элементов).

Журналирование происходит путем компактного (без выравнивания по смещениям) сохранения в файл журнала подлежащих записи в основной файл данных вместе со структурой — битовой картой секторов основного файла, которая позволяет определить, по каким смещениям нужно записать в основной файл блоки данных из файла журнала. Если при подключении куста будет установлено, что в его основной файл не была завершена запись данных, то будут прочитаны блоки из файла журнала, определены (с помощью битовой карты) смещения этих блоков в основном файле, а затем эти блоки будут записаны в основной файл, таким образом завершая ранее прерванную из-за сбоя запись.

Подобная схема имеет существенный недостаток — если во время записи в основной файл произойдет ошибка ввода-вывода (например, из-за попытки записи в сбойный сектор), то дальнейшие операции синхронизации куста с основным файлом окажутся невозможными до перезагрузки компьютера (даже в том случае, если сбойный сектор будет нейтрализован переназначением секторов на уровне драйвера файловой системы или хранилища). Это происходит из-за того, что журналирование каждый раз очищает файл журнала от старых данных, а значит ошибка записи в основной файл приведет к нарушению целостности этого файла, и новая попытка синхронизации куста потребует стирания данных из журнала, который остался единственным способом восстановить уже нарушенную целостность основного файла.

Следовательно, если такое стирание журнала допустить, возможно возникновение ситуации, когда из-за нового сбоя будет нарушена целостность единственного файла журнала, при этом целостность основного файла была нарушена предыдущим сбоем.

Журналирование начиная с Windows Vista (до Windows 8.1)

Для решения проблемы синхронизации куста с основным файлом в условиях повторяющихся сбоев была реализована схема двойного журналирования. В этой схеме каждому основному файлу соответствуют два файла журнала (с расширениями «.LOG1» и «.LOG2»). По умолчанию используется первый файл журнала («.LOG1»).

Если при записи в основной файл произошла ошибка, то происходит смена файла журнала (с «.LOG1» на «.LOG2» и наоборот). Таким подходом обеспечивается постоянное наличие корректного файла журнала, в котором есть данные от предыдущей попытки синхронизации. В результате сбой во время записи в файл журнала (после сбоя во время записи в основной файл) не приведет к неисправимому нарушению целостности куста реестра (кстати говоря, если такая ситуация все же возникнет, в ядре Windows есть механизмы самовосстановления, исправляющие явные ошибки в логической структуре куста).

Но такую схему журналирования нужно отладить, а потому в ядро Windows была внедрена переменная, позволяющая имитировать повторяющиеся ошибки записи в основные файлы всех кустов реестра, — CmpFailPrimarySave. По неизвестным причинам эта переменная есть и в обычных версиях ядра (а не только в отладочных версиях). Если в эту переменную записать некоторое значение, отличное от нуля, то функция записи данных в основной файл будет имитировать ошибку на разных этапах такой записи.

Следует отметить, что в процессе подключения куста реестра ядро должно выбрать, какой из двух файлов журнала использовать для восстановления, для чего реализуется относительно сложный алгоритм, определяющий, какой из файлов журнала сохранил целостность, какой из них содержит более позднюю версию записываемых данных и т. д. До Windows 8 этот алгоритм содержал серьезную ошибку, в результате которой почти во всех случаях, вне зависимости от конкретных деталей, выбирался первый файл журнала («.LOG1»). В частности, для Windows 7 соответствующие исправления алгоритма были выпущены лишь в марте 2016 года (следовательно, все это время двойное журналирование в Windows 7 предоставляло защиту целостности не лучше, чем Windows XP). Для преодоления описанной ошибки необходимо не только блокировать запись в основной файл куста, но и блокировать переход ко второму файлу журнала («.LOG2») в случае сбоя (чтобы первый файл журнала всегда содержал наиболее поздние данные, пусть даже и в ущерб целостности в случае сбоя; в противном случае при следующей загрузке системные кусты реестра могут быть восстановлены в состояние, неожиданно более раннее, чем при завершении штатного выключения компьютера). К счастью, следующее значение обсуждаемой переменной позволяет достигнуть желаемого эффекта без смены файла журнала — 3.

Эта же переменная будет работать так же и в более новых версиях Windows (8.1 и 10), где применяется другой способ журналирования (вне рамок данной статьи).

Эксперимент

В качестве эксперимента создадим невидимые ключ и его значение в операционной системе Windows 7 (Service Pack 1). Для этого в запущенной операционной системе изменим (редактированием памяти) значение переменной ядра CmpFailPrimarySave с 0 на 3, а затем создадим ключ реестра «HKEY_LOCAL_MACHINE\SYSTEM\invisible_key» со значением с именем «invisible_value», содержащим строку «123456». Затем выключим операционную систему штатным способом и экспортируем файлы куста реестра SYSTEM.

После повторного включения операционной системы запустим редактор реестра и отметим, что искомые ключ и значение в нем видны (рис. 1).

Рис. 1: Редактор реестра Windows

В то же время в экспортированных файлах реестра искомые ключ и значение сторонние программы (например, Windows Registry Recovery и Registry Explorer) не отображают (рис. 2 и 3).

Рис. 2: Windows Registry Recovery

Рис. 3: Registry Explorer

Windows 2000 – достаточно устаревшая операционная система, которую, тем не менее, все еще можно встретить в некоторых компаниях или у частных пользователей, любящих раритетное железо. Но, сколько бы операционных систем не сменилось с тех пор, Windows 2000 была по-своему полезной и удобной для каждого. Поэтому не будет лишним выделить те плюсы и минусы, которые отличают Windows 2000 от других, даже более современных операционных систем.

Важно: сразу отмечу, что речь пойдет о плюсах и минусах Win2000 в сравнении с более старыми версиями.

Достоинства Windows 2000

Негативные мифы

Также стоит отметить, что за годы существования Win2000 обросла множеством мифов, некоторые из которых представлены здесь:

На компьютерах своего времени Win2000 тормозила. Это да, но только если на компьютере на хватало места на жестком диске, был слабый процессор или мало памяти. К примеру, на компьютере с оперативной памятью от 128 мегабайт и частотой процессора от 400 МГц ОС чувствовала себя отлично. Но не у всех была финансовая возможность приобрести мощный компьютер для того времени.
Программы от прошлых систем не будут работать на Win2K. На самом деле из 10 программ отлично работают 6-7.
Win2K крайне сложна. Привыкание будет быстрым, в особенности по интерфейсу, который во многом схож с интерфейсом Win9x/ME.

И это все основные мифы о Windows 2000. И, как показала практика, они действительно являются мифами и не были доказаны пользователями.

Недостатки Windows 2000

Среди всех недостатков стоит выделить низкую маневренность системы. В особенности этот момент выделялся при работе с системными файлами. Также эту версию ОС было тяжело снести, причем как по глупости, так и по желанию. Наконец, из-за того, что более старые и новые ПО и игрушки не всегда корректно работали на Win2000, она для многих стала просто ненужной системой, занимающей место.

Спасибо всем, кто дочитал статью до конца. Не забываем подписываться на канал, чтобы не пропускать новые публикации.

Читайте также: