jperezduerto.info
Seguridad a fondo · Unidad 22 · Lección 24 de 44
Tokens de acceso de Windows
Lee los atributos de grupo del token utilizado en una comprobación concreta.
Para prepararteEscalada de privilegios en Windows
Después de esta lección puedes
- Explicar por qué la membresía de una cuenta y los grupos utilizables del token son evidencias distintas.
Una idea. Una situación. Una decisión razonada.
Cómo funciona
Un token describe el contexto de seguridad del proceso o hilo: identidad, grupos, privilegios y otros atributos. Windows utiliza ese contexto al autorizar. Pertenecer a administradores no significa que todos los procesos tengan la misma autoridad. Distingue configuración de cuenta y contexto del proceso que realiza la operación.
Lee el registro proporcionado
Una aplicación de soporte ficticia presenta este extracto simplificado de token:
| Campo | Valor registrado |
|---|---|
| Usuario | Jordan |
| Grupo Soporte | Habilitado |
| Grupo Administradores | Solo denegación |
La presencia de Administradores no significa que este token pueda usar una entrada de permiso para ese grupo. Un identificador deny-only todavía puede intervenir al denegar. Las membresías de la cuenta no bastan para describir el acceso del proceso.
Identifica después el objeto y los derechos solicitados. Si un hilo utiliza un token de suplantación, ese contexto puede ser pertinente, en vez de depender solo del token primario del proceso. Un identificador de objeto ya abierto plantea además qué derechos recibió anteriormente.
El extracto no demuestra un resultado final: omite la política del objeto y otros controles aplicables. La conclusión útil delimita lo demostrado y la evidencia que falta.
La distinción clave: Una cuenta puede actuar en contextos de seguridad diferentes.
Compruébate
Sin reloj ni penalizaciones. Lee cada explicación y vuelve a intentarlo cuando quieras.
Las preguntas de esta lección han cambiado. Tu lectura sigue guardada; repasa las preguntas actualizadas.
-
Un token muestra un grupo como deny-only, solo para denegación. ¿Satisface ese grupo una entrada de permiso para el acceso solicitado?
Ver la respuesta
Respuesta correcta: No. Puede intervenir en una denegación, pero no aporta esa concesión. Interpreta el identificador junto con sus atributos y los derechos solicitados.
Pruébalo
- EscribeInterpreta el extracto en dos frases: qué demuestra sobre el grupo y qué política del recurso falta comprobar.