Qual conta do Windows é usada quando ninguém está logado?

Quando ninguém está logado no Windows, (a tela de logon é exibida) para qual usuário os processos atuais estão sendo executados? (Os drivers de vídeo / som, sessão de login, qualquer software de servidor, controles de acessibilidade, etc. Eles não podem ser nenhum usuário ou o usuário anterior porque ninguém está logado. E os processos que foram iniciados por um usuário, mas continuam a executar após o logoff? (Por exemplo, servidores HTTP, FTP e outros itens de rede). Eles alternam para a conta SYSTEM? Se um processo iniciado pelo usuário alternar para SYSTEM, isso indica uma vulnerabilidade muito séria. O processo é executado como esse usuário continuar a ser executado como esse usuário após o logoff?

É por isso que o hack do SETHC permite que você use o CMD como sistema?

Quando ninguém está logado no Windows, (a tela de logon é exibida) para qual usuário os processos atuais estão sendo executados? (Os drivers de vídeo / som, sessão de login, qualquer software de servidor, controles de acessibilidade, etc.

Quase todos os drivers são executados no modo kernel ; eles não precisam de uma conta, a menos que iniciem processos no espaço do usuário. Os poucos drivers de espaço do usuário são executados no SYSTEM.

Não posso verificar a sessão de login no momento, mas tenho certeza de que também usa SYSTEM. Você pode ver o logonui.exe no Process Hacker ou no SysInternals ProcExp . De fato, você pode ver tudo dessa maneira.

"Software servidor", consulte os serviços do Windows abaixo.

E os processos que foram iniciados por um usuário, mas continuam sendo executados após o logoff? (Por exemplo, HTTP, servidores FTP e outros itens de rede). Eles alternam para a conta SYSTEM?

Existem três tipos aqui:

1. Processos antigos simples de "plano de fundo". Aqueles são executados na mesma conta que quem os iniciou e não são executados após o logoff. O processo de logoff mata todos eles.

   "HTTP, servidores FTP e outros itens de rede" não são executados como processos em segundo plano regulares. Eles funcionam como serviços.

2. Processos de "serviço" do Windows. Esses não são iniciados diretamente, mas via Service Manager. Por padrão, os serviços são executados como LocalSystem (que isanae diz igual a SYSTEM), embora possam ter contas dedicadas configuradas.

   (Obviamente, praticamente ninguém se incomoda. Eles apenas instalam o XAMPP ou o WampServer ou alguma outra porcaria, e permitem que funcione como SYSTEM, para sempre sem patch.)

   Nos sistemas Windows recentes, acho que os serviços também podem ter seus próprios SIDs, mas, novamente, ainda não pesquisei muito sobre isso.

3. Tarefas agendadas. Eles são iniciados pelo serviço "Agendador de tarefas" "em segundo plano" e sempre são executados na conta configurada na tarefa (geralmente quem criou a tarefa).

Se um processo iniciado pelo usuário mudar para SYSTEM, isso indica uma vulnerabilidade muito séria

Não é uma vulnerabilidade, porque você já deve ter privilégios de administrador para instalar um serviço. Já ter privilégios de administrador permite fazer praticamente tudo.

(veja também várias outras não vulnerabilidades do mesmo tipo)

Os processos de login e pré-login são executados como SYSTEM (também chamado de LocalSystem). De fato, uma maneira de obter um shell (como um prompt do CMD) em execução como SYSTEM em algumas versões do Windows é substituir um programa de acessibilidade, como o leitor de tela, a lente de aumento ou o teclado na tela, por uma cópia de (ou link para) CMD.EXEe, em seguida, use o atalho para ativar esse recurso de acessibilidade antes de efetuar o login. Você receberá um prompt de comando, mesmo que não haja usuários conectados e CMDestará executando como SYSTEM.

(Nota: isso é perigoso, obviamente, pois permite que as pessoas ignorem o processo de login do Windows. Você nunca deve configurar um computador dessa maneira e deixá-lo assim.)

Eles não "mudam" para nada; esses processos nunca são executados no contexto atual do usuário.
Eles pertencem ao SYSTEMusuário.

Todos os processos e serviços de propriedade de um usuário individual são encerrados no logout.
É isso que significa fazer logout .