彻底理解Windows认证 - 议题解读 « 倾旋的博客

介绍

访问令牌是描述进程或线程安全上下文的对象，当用户登陆时，系统会将密码与存储在安全数据库中的信息比较来验证用户密码，如果密码经过身份验证，系统会生成访问令牌。之后代表此用户执行的每个进程都有此访问令牌的副本。

Acces Token - 图1

当用户注销后，系统将会使主令牌切换为模拟令牌，不会将令牌清除，只有在重启机器后才会清除, 因为访问令牌是在身份验证期间创建的

令牌中包含的内容：

令牌类别

默认情况下，**<font style="color:#DF2A3F;">当进程的线程与安全对象交互时</font>**，系统使用主令牌

我们正常使用操作系统时其实一直使用的就是访问令牌

访问令牌是关于某个用户或进程的标识，用于授权和验证其对系统资源的访问权限。访问令牌中包含了身份验证信息、所属组、权限等属性。访问令牌可以由Windows内核或进程自己创建，并且可以进行传递。通过访问令牌，用户或进程可以访问受保护的对象或资源，或者在调用API时执行请求的特定操作

模拟令牌是一种临时令牌，用于模拟另一个用户或进程的行为。模拟令牌可以通过访问令牌创建，通常是基于安全主体进行模拟，如其他用户。模拟令牌允许用户或进程针对其他对象执行操作，在操作的所有意义上看起来像是该用户或进程所执行的。模拟令牌常常用于服务器端扮演客户端身份。

对于模拟令牌具有四个级别：

:::info 现在假设我们有一个用户 Ann 和一个 FTP 服务

:::

如果没有模拟令牌，当用户 Ann 登录到 FTP 服务器并尝试访问时，FTP 服务器讲会使用其访问令牌，而不是 Ann 的令牌

Acces Token - 图2

那么这存在什么问题呢？

那么如何解决呢？

FTP 服务具有 SeImpersonate或SeAssignPrimaryToken权限，这一切将会简单化，因为该特权允许进程抓取用户的访问令牌来代表用户进行操作

Acces Token - 图3