|
|
|
|
Устройство этой ветви рассмотрим на примере:
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases]
@=hex(00000002):
В поле типа параметра по умолчанию указано количество записей (количество групп). Далее идут ключи с именами по RID группы, например:
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\000003E9]
"C"=hex: .....
У каждого ключа есть параметр ("C"), содержащий установки для соответствующей группы. Вот его содержимое:
000: dword RID группы
004: 30h byte индекс следующего вида
00: dword адрес параметра (относительно начала данных)
04: dword размер параметра
08: dword дополнительная информация о параметре
(обычно количество элементов, например в битовых параметрах)
Итого проиндексировано 4 параметра:
- структура неизвестного содержания
00: dword неизвестно
04: dword адрес блока 1
08: dword адрес блока 2
0С: dword адрес блока 3
10: dword адрес блока 4
14: данные
адреса относительно начала этой структуры;
в каждом из блоков второе слово - это размер текущего блока
по крайней мере в 3-м и 4-м.
- имя группы
- описание группы
- список SID членов группы в количестве, указанном в индексе
034: собственно данные, проиндексированные выше
Здесь же присутствует ключ, содержащий список соответствия RID имени группы
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\Names]Его подключи имеют название по имени группы, в поле типа параметра по умолчанию содержится RID этой группы, например:
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\Names\Local Group 1] @=hex(000003E9):Также имеется ключ, содержащий список членов групп, разбитый по доменам
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\Members]Его подключи называются по SID-у домена, например:
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\Members\S-1-5-21-1111886394-528819435-1435325219] @=hex(00000004):В поле типа параметра по умолчанию у них содержится количество подключей. Подключи имеют название по RID-у пользователя (члена одной из групп), например:
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Aliases\Members\S-1-5-21-1111886394-528819435-1435325219\000003F6] @=hex(00000002):EA,03,00,00,E9,03,00,00В поле типа параметра по умолчанию записано количество групп, членом которых является данный пользователь (фактически количество двойных слов в этом параметре). Сам параметр по умолчанию содержит RID тех групп, в которые входит данный пользователь.
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Builtin\Aliases]