Das Herunterfahren des Systems wurde durch das nt-Autoritätssystem verursacht. Beachtung!!! Nt Authority \ system ist ein Wurm !!! So erlauben Sie den Zugriff auf andere Computer unter dem NetworkService-Konto

NT-BEHÖRDE / SYSTEMFEHLER,
XP-Nachricht - wie man einen Virus entfernt

Wenn Sie eine russische Version haben, müssen Sie vor dem Herunterladen die Sprache ändern.

Ein wenig zum Virus selbst:

Gestern Abend, nach etwa 23:00 Uhr Moskauer Zeit, tauchten in vielen Foren Meldungen über das seltsame Verhalten von Windows 2000 und Windows XP beim Betreten des Netzwerks auf: Das System gab eine Fehlermeldung über den RPC-Dienst und die Notwendigkeit eines Neustarts aus. Nach dem Reboot wiederholte sich die Meldung nach maximal einigen Minuten, und es gab kein Ende.

Die Untersuchung ergab, dass der heute begonnene Ausbruch des neuen Netzwerkwurms w32.Blaster.worm schuld daran ist, der eine am 16. Juli gefundene Schwachstelle im RPC-DCOM-Dienst ausnutzt, der in allen Betriebssystemen des Windows 2000 vorhanden ist , Windows XP und Windows 2003. Bei dieser Schwachstelle handelt es sich um einen Pufferüberlauf, der durch ein richtig zusammengestelltes TCP/IP-Paket verursacht wird, das auf Port 135, 139 oder 445 des angegriffenen Computers ankommt. Es erlaubt zumindest, einen DoS-Angriff durchzuführen (DoS bedeutet "Denial of Service", in diesem Fall wird der angegriffene Computer neu gestartet) und maximal - jeden Code im Speicher des angegriffenen Computers auszuführen.

Das erste, was die Netzwerköffentlichkeit schon vor dem Erscheinen des Wurms beunruhigte, war das Vorhandensein eines sehr einfach zu bedienenden Exploits (ein Programm zum Ausnutzen einer Sicherheitslücke), das normalerweise dazu führt, dass jeder dieses Programm ausführen kann und fangen Sie an, es für nicht-friedliche Zwecke zu verwenden. Aber das waren Blumen...

Bei seiner Verbreitung greift der neue Wurm Port 135 an und startet bei Erfolg das Programm TFTP.exe, das seine ausführbare Datei auf den angegriffenen Computer herunterlädt. In diesem Fall erhält der Benutzer eine Meldung über das Beenden des RPC-Dienstes und den anschließenden Neustart. Nach dem Neustart startet der Wurm automatisch und scannt die vom Computer verfügbaren Netzwerke nach Computern mit dem 135. offenen Port. Wenn er einen erkennt, greift der Wurm an und alles wird von Anfang an wiederholt. Darüber hinaus wird der Wurm, gemessen an der aktuellen Verbreitungsrate, bald an der Spitze der Listen der Antiviren-Unternehmen stehen.

Es gibt drei Möglichkeiten, sich vor dem Wurm zu schützen.

Erstens enthält das Microsoft-Bulletin Links zu Patches für alle anfälligen Versionen von Windows, die die RPC-Lücke schließen (diese Patches wurden bereits am 16. Juli veröffentlicht, sodass sich diejenigen, die das System regelmäßig aktualisieren, keine Sorgen machen sollten).

Zweitens kann der Wurm nicht in den Computer eindringen, wenn Port 135 durch eine Firewall geschlossen wird.

Drittens hilft als letztes Mittel das Deaktivieren von DCOM (Details zu diesem Verfahren finden Sie im Bulletin von Microsoft). Wenn Sie also noch nicht von einem Wurm angegriffen wurden, wird dringend empfohlen, den Patch für Ihr Betriebssystem so schnell wie möglich vom Microsoft-Server herunterzuladen (z. B. die Windows Update-Dienste zu verwenden) oder die Sperrung der Ports 135 zu konfigurieren, 139 und 445 in der Firewall.

Wenn Ihr Computer bereits infiziert ist (und das Erscheinen einer RPC-Fehlermeldung eindeutig bedeutet, dass er infiziert ist), müssen Sie DCOM deaktivieren (sonst führt jeder nächste Angriff zu einem Neustart), dann den Patch herunterladen und installieren.

Um den Wurm zu zerstören, müssen Sie aus dem Registrierungsschlüssel HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ Curr . löschen
entVersion \ Führen Sie den Eintrag "windows auto update" = "msblast.exe" aus, suchen und löschen Sie dann die Datei msblast.exe - das ist der Körper des Wurms. Weitere Informationen zum Entfernen des Wurms finden Sie auf der Symantec-Website.

Derzeit erkennen nicht alle Antivirenprogramme den Wurm - auf ihren Schutz kann man sich erst nach der Veröffentlichung von Updates verlassen.
Gepostet von AHTOH am 17.08.2003 um 23:29 Uhr:

GEFÄHRLICHER WURM! NT-Autorität / Systemfehler

__________________
Ich tue gut, ich tue gut ...

Vor kurzem, genauer gesagt vor einer Woche, habe ich mir einen Wurm geschnappt, und das ist noch nie in allen meinen Teekannen passiert! Die Zeit ist Nacht - Sie können den Meister nicht anrufen, und das Geld ist nur auf der Karte - 200 Rubel im Feed Was tun, Sie brauchen einen Computer bis auf die Knochen!

Über das Telefon steige ich in die Suchmaschinen ein und trage den Namen ein, der im Titel des Themas steht - meine Mutter, was finde ich heraus - diese Kreatur lebt seit 1993 im Internet und der Microsoft-Konzern weiß davon, der Schöpfer hat sie ausdrücklich informiert. Heute erwirbt dieser Wurm, der in Ihren Computer eindringt, die Rechte eines Administrators und ist in der Lage, alle Tricks auszuführen.

Nachdem ich mehrere Dutzend Foren recherchiert und an einem Tag Hunderte von Tipps gelesen habe, steige ich, ohne Schlaf zu kennen, in die Eingeweide meines Systems und beginne mit zitternden Händen, die Ordner und Dateien zu öffnen, über die ich lese , ich suche den Grund, aber ... dafür bin ich zu unerfahren. Wieder über das Telefon klettere ich auf unsere Seite und schreibe an einen unserer Moderatoren ... Das Problem ist sehr knifflig und um nicht zu quälen Mir rät die Person, das System abzureißen und ein neues zu installieren, aber ich habe es nie selbst gemacht! Er erklärt mir am Telefon (ohne Kosten für Ferngespräche) Schritt für Schritt, wie es geht, und ich setze mich hin und schreibe es auf. Danach wartet er auf das Ergebnis, und ich sitze da und verstehe, dass mir die angesammelten Informationen sehr leid tun ... und ich treffe eine Entscheidung, wenn ich es aushalte, habe ich immer Zeit, und jetzt werde ich auf meinem Weg kämpfen besitzen.

Auf jeden Fall wusste ich, dass unsere Gurus bei mir waren und Ratschläge geben würden, was zu tun ist und wie. In der Zwischenzeit mache ich auf eigene Gefahr und Gefahr Folgendes:

1) Das Banner schaltet den Computer nach 60 Sekunden zum Neustart aus - dies bedeutet, dass diese Zeit erhöht werden muss und ich, auf Anraten eines Forummitglieds Ich habe Zeit die Uhr ein Jahr zurück zu drehen!

2) Ich durchforste schon langsam und langsam die gesamte Registry und Programme über AnvirTaskManager - er war der einzige, der nach dem Erscheinen eines neuen Programms gefragt hat, aber ich habe es mir wie ein Blödmann erlaubt, es zu überspringen.

3) ohne dort etwas zu verstehen, führe ich einen vollständigen Scan mit AVAST durch, nachdem ich zuvor alle Erweiterungen in den Einstellungen installiert habe.

nach 3,5 Stunden hat er mir 6 infizierte Dateien gegeben - hier sind sie

win32-Malware-Gen (2 Stück)

Fakeinst-T (2 Stück)

Ich entferne diese Schädlinge einfach, ohne zu versuchen, sie zu behandeln.

4) Dann gehe ich zu Revo Unystailer und deinstalliere alles, was ich in den letzten Tagen installiert habe, zusammen mit AnvirTaskManager und Reg Organizier.

5) Ich lade AVZ und starte es.

Und dann tritt ein Problem auf - meine Festplatte ist in zwei C und N geteilt. C wird normal gescannt und findet nichts, fängt einfach an, H zu scannen, der ganze Computer fällt in eine Betäubung. Ich starte neu, das Banner erscheint nicht mehr und ich beruhige mich, das Internet funktioniert, aber das Gefängnis öffnet sich nicht, ich gehe durch Google Chrome.

Ich checke H im Online-Modus. Rein! Ich öffne H, versuche einen Ordner auszuwählen - wieder friert der Computer fest ein! Nach mehreren Öffnungsversuchen scanne ich erneut mit AVAST und entscheide, da ich nichts finde, alles nach C zu kopieren.

Nach dem Kopieren nach C lösche ich alle H und klettere in die Kopie - alles funktioniert !!!

Vor einer Stunde habe ich Mozila heruntergeladen und aktualisiert, jetzt genieße ich das Leben. Ich habe alles überprüft und werde jetzt Dr. W. curellt und für die Nacht anziehen - schon um mein Gewissen zu beruhigen! Also denkt daran liebe Kolleginnen und Kollegen – nicht alles ist so schlimm. Gehen Sie zur Sicherheit Ihrer Computer wie in der beigefügten Datei angegeben vor !!!

Mögen unsere PCs gesund sein !!!

Beste Grüße an alle Leser, Alexey!

Nur wenige Tage vor Drucklegung der Ausgabe erwarb Metasploit
frisches Modul, von dem wir einfach nicht anders konnten, als zu erzählen. Dank an
an das neue getsystem-Team, auf dem kompromittierten System war es möglich, zu wechseln
von User Level auf ring0 mit NT AUTHORITY \ SYSTEM Rechten! Und das ist in jedem
Versionen von Windows.

Am 19. Januar 2010 wurde eine 0-Tage-Sicherheitslücke öffentlich, die es ermöglichte
Erhöhung von Berechtigungen in jeder Windows-Version, beginnend mit NT 3.1, veröffentlicht in der
1993 und endet mit der neumodischen "Sieben". Auf Exploit-db.com von Hacker Tavis
Ormandy hat sowohl den Quellcode des KiTrap0d-Exploits als auch den kompilierten veröffentlicht
binär einsatzbereit. Jeder kann das Original-Splash ausprobieren
bereit. Dazu müssen Sie nur vdmexploit.dll und vdmallowed.exe aus dem Archiv extrahieren,
Übertragen Sie es irgendwie auf den Opfercomputer und führen Sie die exe-Datei dort aus. IM
als Ergebnis, unabhängig davon, welches Benutzerkonto ausgeführt wird
Beim Start erscheint eine Konsole mit den Rechten des Systembenutzers, dh NT
BEHÖRDE \ SYSTEM. Zur Kontrolle können Sie den Exploit auf Ihrem Computer ausführen,
nachdem Sie sich zuvor als normaler Benutzer am System angemeldet haben. Nach dem Start
Der Exploit öffnet ein neues cmd.exe-Fenster mit maximalen Rechten.

Was tut es? Stellen Sie sich eine Situation vor, in der der Exploit eine Anwendung durchbricht und
ruft eine Shell auf einem Remote-Computer ab. Lassen Sie es für das Internet arbeiten
Explorer - in diesem Fall hat der Cracker Zugriff auf das System mit den Rechten
der Benutzer, unter dessen Konto der Browser gestartet wurde. Ich streite nicht, sehr
oft wird es ein Konto mit Administratorrechten sein (der Benutzer ist schuld), aber
wenn nicht? Hier können Sie mit KiTrap0d Ihre Privilegien erhöhen.
an NT-BEHÖRDE \ SYSTEM! Darüber hinaus können auch die Benutzer, die zur Gruppe gehören
Administrator, kann auf einige Teile des Systems nicht zugreifen, zum Beispiel für
Lesen von Hashes von Benutzerpasswörtern (mehr dazu weiter unten). Und NT-Systemkonto -
können! Bei all dem war zum Zeitpunkt der Veröffentlichung des Artikels kein einziger Patch von außen
Microsoft hat keinen Fix für die Sicherheitsanfälligkeit veröffentlicht.

Operation "Systemerfassung"

Wir werden den Original-Splash nicht in Aktion demonstrieren, da 25
Januar wurde Metasploit ein neues Skript hinzugefügt, dank dem es verwendet werden kann
KiTrap0d ist gerade noch besser geworden. Die Variante, die in die Moduldatenbanken gelangte, war zunächst
instabil und funktionierte nicht immer, aber es verging weniger als ein halber Tag, da alle Fehler waren
eliminiert. Jetzt wird das Modul zusammen mit allen anderen Updates heruntergeladen,
für die Installation reicht es also, den Punkt im Menü "Metasploit-Update" auszuwählen.
Nachdem Sie nun Zugriff auf das Remote-System haben, können Sie "run kitrap0d" eingeben und mitbringen
wird in Aktion treten. "Aber da so ein Schnaps weg ist, realisieren wir für dieses Geschäft
ein besonderes Team", dachten sich die Metasploit-Entwickler.
Es stellte sich heraus, dass es ein wunderbarer Befehl "Privilegien ausweiten" war, verfügbar über
meterpreter-Erweiterung - gefällt uns sehr gut :).

Wir haben also Zugriff auf ein Remote-System (ein anschauliches Beispiel
Ausbeutung ist im Artikel "Operation" Aurora ") angegeben und wir sind in der Konsole
metasploit. Mal sehen, wie es uns mit den Rechten geht:

Meterpreter> getuid

Ja, ein normaler Benutzer. Vielleicht gehört er sogar zur Gruppe
Administratoren, aber für uns ist das egal. Wir verbinden das Modul, in dem es implementiert ist
den für uns interessanten getsystem-Befehl und überprüfen Sie, ob er abgestürzt ist, indem Sie auf anzeigen
Hilfebildschirm:

meterpreter> priv . verwenden
Laden der Erweiterung priv ... erfolgreich.
meterpreter> getsystem -h
Verwendung: getsystem
Versuchen Sie, Ihre Berechtigung auf die des lokalen Systems zu erhöhen.
OPTIONEN:

H Hilfe-Banner.
-t Die zu verwendende Technik. (Standardwert "0").
0: Alle Techniken verfügbar
1: Dienst - Named Pipe-Identitätswechsel (im Speicher / Admin)
2: Service - Named Pipe-Identitätswechsel (Dropper / Admin)
3: Dienst - Token-Duplizierung (im Speicher / Admin)
4: Exploit - KiTrap0D (Im Speicher / Benutzer)

Wie Sie sehen, implementiert das KiTrap0D-Bundle nur einen Teil der Funktionalität des Teams.
Wenn Sie es geschafft haben, eine Shell mit einem Benutzer zu ergattern, der bereits Rechte hat
Administrator, um dann auf die Ebene NT AUTHORITY \ SYSTEM zu erhöhen, die Sie verwenden können
drei weitere Techniken (mit dem Schalter -t können Sie die gewünschte auswählen). So oder so, ohne Angabe
überhaupt keine Parameter, wir werden dem Metasploit mitteilen, dass er verwenden kann
einer der Ansätze. Einschließlich KiTrap0D, das unsere Privilegien auf das Niveau erhöhen wird
"System", egal welche Rechte wir jetzt haben.

meterpreter> getsystem
... System erhalten (über Technik 4).

Ja, wir haben eine Nachricht über eine erfolgreiche Rechteerhöhung und einen Angriff erhalten
es wurde KiTrap0D verwendet - anscheinend hat es Priorität. Sind wir wirklich
sind im System gestiegen? Lassen Sie uns unsere aktuelle UID (Benutzer-ID) überprüfen:

Meterpreter> getuid

Es gibt! Nur ein Befehl in der Metasploit-Konsole und NT AUTHORITY \ SYSTEM-Rechte für
uns in der Tasche. Außerdem ist im Allgemeinen alles möglich. Gleichzeitig erinnere ich Sie daran, dass kein einziger
Zum Zeitpunkt der Veröffentlichung des Magazins gab es keinen Patch von Microsoft.

Passwörter ablegen

Da Sie bereits Zugriff auf das Systemkonto haben, müssen Sie dieses extrahieren
alles Nützliche. Metasploit hat einen großartigen Hashdump-Befehl in seinem Arsenal -
eine erweiterte Version des bekannten Dienstprogramms pwdump. Außerdem in letzterem
Version des Metasploit enthielt eine überarbeitete Version des Skripts, das . verwendet
modernisiertes Prinzip zum Extrahieren von LANMAN / NTLM-Hashes und wird noch nicht erkannt
Antiviren Software. Aber das ist nicht der Punkt. Es ist wichtig, dass zur Ausführung des hashdump-Befehls
NT AUTHORITY \ SYSTEM-Rechte sind erforderlich. Andernfalls gibt das Programm einen Fehler aus
"[-] priv_passwd_get_sam_hashes: Vorgang fehlgeschlagen: 87". Das ist weil
was LANMAN / NTLM-Hashes von Benutzerpasswörtern in speziellen Registry-Zweigen speichert
HKEY_LOCAL_MACHINE \ SAM und HKEY_LOCAL_MACHINE \ SECURITY die nicht einmal verfügbar sind
Administratoren. Sie können nur mit Systemkontoberechtigungen gelesen werden.
Verwenden Sie im Allgemeinen eine Spoof und dann Hashdump, um
Ein lokales Abrufen des Hashs aus der Registrierung ist nicht erforderlich. Aber wenn so
es gibt eine möglichkeit, warum nicht?

Meterpreter> getuid
Server-Benutzername: NT AUTHORITY \ SYSTEM

meterpreter> Hashdump ausführen
[*] Beziehen des Boot-Schlüssels ...
[*] Berechnung des Hboot-Schlüssels mit SYSKEY 3ed7 [...]
[*] Abrufen der Benutzerliste und der Schlüssel ...
[*] Benutzerschlüssel entschlüsseln ...
[*] Passwort-Hashes ausgeben ...

Administrator: 500:: ...
Gast: 501:: ...
HelpAssistant: 1000:: ...

Hashes erhalten. Es bleibt zum Beispiel, sie an einige der Brute-Forces zu verfüttern,
l0phtcrack.

Wie bekomme ich meine Privilegien zurück?

Eine lustige Situation passierte, als ich versuchte, die Rechte des Üblichen zurückzugeben
Benutzer zurück. Der gefundene Befehl rev2self hat nicht funktioniert und ich immer noch
blieb "NT AUTHORITY \ SYSTEM": anscheinend soll es mit drei arbeiten
andere in getsystem implementierte Ansätze. Es stellte sich heraus, dass es zurückgebracht wurde
Berechtigungen, ist es notwendig, das Token des Prozesses zu "stehlen", der von diesem Benutzer gestartet wurde,
die wir brauchen. Daher zeigen wir alle Prozesse mit dem ps-Befehl an und wählen daraus aus
geeignet:

Meterpräter> ps
Prozessliste
============
PID-Name Arch-Benutzerpfad
--- ---- ---- ---- ----
0
4 System x86 NT AUTHORITY \ SYSTEM
370 smss.exe x86 NT AUTHORITY \ SYSTEM \ SystemRoot \ System32 \ smss.exe
...
1558 explorer.exe x86 WINXPSP3 \ Benutzer C: \ WINDOWS \ Explorer.EXE
...

Wie wir sehen können, wird explorer.exe direkt unter dem üblichen Benutzer gestartet
Konto und hat eine PID = 1560. Jetzt können Sie tatsächlich "einen Token stehlen", indem Sie verwenden
stehlen_token-Befehl. Als einziger Parameter wird ihm die PID übergeben
gewünschtes Verfahren:

meterpreter> stehlen_token 1558
Gestohlenes Token mit Benutzername: WINXPSP3 \ user
Meterpreter> getuid
Server-Benutzername: WINXPSP3 \ user

Basierend auf dem Feld "Server-Benutzername" war der Vorgang erfolgreich.

Wie es funktioniert?

Schließlich lohnt es sich, über die Art der Schwachstelle zu sprechen, die zur Entstehung geführt hat
spaltet. Eine Sicherheitsverletzung tritt aufgrund eines Fehlers im Systemhandler auf.
#GP-Interrupts (genannt nt! KiTrap). Wegen ihr mit Kernel-Privilegien
beliebiger Code ausgeführt werden kann. Dies liegt daran, dass das System
überprüft einige BIOS-Aufrufe falsch "und auf einer 32-Bit-x86-Plattform"
eine 16-Bit-Anwendung läuft. Um die Schwachstelle auszunutzen, erstellt der Exploit
16-Bit-Anwendung (% windir% \ twunk_16.exe), manipuliert einige
Systemstrukturen und ruft zum Starten die Funktion NtVdmControl() auf
Windows Virtual DOS Machine (auch bekannt als NTVDM-Subsystem), das zum vorherigen führte
Manipulation führt zu einem Aufruf des #GP-Trap-Handlers und
Exploit ausgelöst. Dies impliziert übrigens die einzige Einschränkung
ein Exploit, der nur auf 32-Bit-Systemen funktioniert. In 64-Bit
Betriebssysteme haben einfach keinen Emulator zum Ausführen von 16-Bit-Anwendungen.

Warum sind die Informationen mit dem vorgefertigten Exploit an die Öffentlichkeit gelangt? Über Verfügbarkeit
informierte der Exploit-Autor Anfang letzten Jahres Microsoft und
erhielt sogar die Bestätigung, dass sein Bericht zur Prüfung angenommen wurde. Nur Warenkorb
und jetzt da. Ein Jahr lang gab es keinen offiziellen Patch von der Firma, und der Autor hat entschieden
veröffentlichen Informationen öffentlich, in der Hoffnung, dass die Dinge schneller gehen. Wir werden sehen,
Wird der Patch veröffentlicht, wenn das Magazin in den Verkauf geht :)?

So schützen Sie sich vor Exploits

Da es noch kein vollständiges Update zur Behebung der Schwachstelle gibt,
müssen Workarounds verwenden. Die zuverlässigste Option ist
Deaktivieren Sie die MSDOS- und WOWEXEC-Subsysteme, wodurch der Exploit sofort entzogen wird
Funktionalität, weil die Funktion NtVdmControl() kann nicht mehr aufgerufen werden
um das NTVDM-System auszuführen. In älteren Windows-Versionen erfolgt dies über
Registrierung, in der Sie den Zweig HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ WOW finden müssen
und fügen Sie dem Namen ein Symbol hinzu. Für moderne Betriebssysteme
Sie müssen ein Limit für den Start von 16-Bit-Anwendungen festlegen durch
Gruppenrichtlinien. Rufen Sie dazu GPEDIT.MSC auf und gehen Sie dann zum Abschnitt
"Benutzerkonfiguration / Administrative Vorlagen / Windows-Komponenten / Kompatibilität
Anwendungen "und aktivieren Sie die Option" Zugriff auf 16-Bit verweigern
Anwendungen".

WWW

Beschreibung der Schwachstelle vom Autor des Exploits:

http://archives.neohapsis.com/archives/fulldisclosure/2010-01/0346.html

Problemumgehung von Microsoft, um das Problem zu beheben:

http://support.microsoft.com/kb/979682

WARNUNG

Informationen zu Bildungszwecken. Verwenden Sie es in
illegale Zwecke können strafrechtlich verfolgt werden.

Integrierte SQL Server 2005-Anmeldungen, VORGESTELLT \ Administratoren, , NT-BEHÖRDE \ SYSTEM, sa

Unmittelbar nach der Installation von SQL Server 2005 in einem Container Anmeldungen Es erscheint eine Reihe von Logins, die automatisch erstellt werden. Höchstwahrscheinlich werden Sie sie nicht verwenden, um Benutzer zu verbinden. Dennoch gibt es Situationen, in denen die Kenntnis der eingebauten Logins hilfreich sein kann (z. B. wenn Ihr Administrator-Login versehentlich gesperrt wurde).

q VORGESTELLT \ Administratoren (oder VORGESTELLT \ Administratoren, abhängig von der Sprache des Betriebssystems) - der Anmeldung für diese Windows-Gruppe werden automatisch SQL Server-Systemadministratorrechte erteilt. Beachten Sie, dass diese Gruppe automatisch die Gruppe einschließt, wenn der Computer Mitglied einer Domäne ist DomainAdmins(Domänen-Admins) und somit haben Domänen-Admins standardmäßig volle Rechte auf SQL Server. Wenn eine solche Situation unerwünscht ist, kann dieses Login gelöscht werden. Trotzdem wird es für Domänenadministratoren einfach sein, auf SQL Server-Daten zuzugreifen.

q Servername 2005MSFTEBenutzer $ Servername$Instanzname , Servername 2005MSSQLUser $ Servername$Instanzname ,Servername 2005SQLAgentUser $ Servername$Instanzname - diese drei Logins für Windows-Gruppen werden verwendet, um die entsprechenden Dienste mit SQL Server 2005 zu verbinden. Auf der Ebene von SQL Server 2005 müssen keine Operationen mit ihnen durchgeführt werden, da alle erforderlichen Rechte bereits erteilt wurden. In seltenen Fällen müssen Sie diesen Gruppen auf Windows-Ebene möglicherweise die Konten hinzufügen, unter denen die SQL Server-Dienste ausgeführt werden.

q NT-BEHÖRDE \ NETZWERKDIENST - ASP .NET-Anwendungen, einschließlich Reporting Services, werden unter diesem Konto in Windows Server 2003 ausgeführt (in Windows 2000 wird das Konto zu diesem Zweck verwendet ASPNET). Diese Windows-Anmeldung wird verwendet, um eine Verbindung mit SQL Server Reporting Services herzustellen. Er erhält automatisch die notwendigen Rechte an den Datenbanken ichAster, ichsdb und die von Reporting Services verwendeten Datenbanken.

q NT-BEHÖRDE \ SYSTEM ist das lokale Systemkonto für das Betriebssystem. Diese Anmeldung wird in Situationen angezeigt, in denen Sie den SQL Server-Dienst während der Installation unter dem lokalen Systemkonto konfiguriert haben. Wir können sagen, dass SQL Server mit diesem Login auf sich selbst zugreift. Natürlich verfügt diese Anmeldung über SQL Server-Systemadministratorrechte.

q sa (von SystemAdministrator) ist die einzige SQL Server-Anmeldung, die standardmäßig erstellt wird. Er hat SQL Server-Systemadministratorrechte und kann ihm nicht entzogen werden. Sie können dieses Login auch nicht löschen. Aber es kann umbenannt oder deaktiviert werden. Wenn für SQL Server 2005 nur die Windows Server-Authentifizierung konfiguriert ist, können Sie diese Anmeldung nicht verwenden, um eine Verbindung zum Server herzustellen.