安全描述符具体能实现哪些细粒度的权限控制

安全描述符的核心功能与作用机制

安全描述符是Windows操作系统中用于控制对象访问权限的核心机制,它以结构化数据的形式定义了哪些用户或组可以对该对象执行何种操作，无论是文件、文件夹、注册表项、进程还是线程，几乎所有内核对象和用户对象都依赖安全描述符来确保系统的安全性和隔离性，其核心价值在于实现“最小权限原则”，即仅授予完成特定任务所必需的权限，从而减少潜在的安全风险。

访问控制列表（ACL）：权限的精细化定义

安全描述符的核心组成部分是访问控制列表（ACL），包括自由访问控制列表（DACL）和系统访问控制列表（SACL），DACL决定了哪些用户或组可以访问对象，而SACL则用于记录访问尝试的审计日志。

安全标识符（SID）：唯一标识权限主体

SID是安全描述符中的关键元素,它是一个唯一的字符串，用于标识用户、组或计算机，在Windows中，每个用户和组创建时都会被分配一个SID，即使账户被删除后，其SID也不会被重用，这确保了权限分配的持久性和唯一性。

当用户“Alice”加入“Developers”组后，她的令牌中会同时包含个人SID和“Developers”组的SID，当她访问项目代码库时，系统会检查安全描述符中是否允许“Developers”组的读取权限，从而决定是否授予访问权，SID的机制避免了因重命名用户或组导致的权限混乱问题。

继承与传播：简化权限管理

在文件系统、Active Directory等复杂环境中，安全描述符支持权限的继承与传播，大幅简化了权限管理的工作量。

权限的动态控制与实时验证

安全描述符并非静态配置,而是支持动态权限检查，当进程访问对象时，系统会实时验证进程令牌中的SID与对象安全描述符中的DACL是否匹配，确保权限的有效性。

当一个服务进程以“LocalSystem”账户运行时，其令牌包含高权限SID，能够访问大多数系统对象；而普通用户进程则会被拒绝访问受保护的系统文件，这种动态验证机制确保了权限在运行时的强制执行，防止权限提升或未授权访问。

跨对象与跨系统的权限一致性

安全描述符不仅适用于本地系统,还通过网络和分布式环境实现权限的一致性，在Windows域环境中，域控制器集中存储用户和组的SID信息，当客户端访问域内资源时，系统会通过安全描述符验证跨机器的权限请求。

当域用户“Bob”从终端服务器访问域中的共享文件时，终端服务器会联系域控制器验证“Bob”的SID和所属组，并根据文件安全描述符中的DACL决定是否允许访问，这种机制确保了权限在跨设备和跨网络场景下的统一管理。

安全描述符的配置与管理

管理员可以通过多种方式配置和管理安全描述符,包括图形界面工具（如资源管理器的“安全”选项卡）、命令行工具（如）以及编程接口（如Windows API中的 SetNamedSecurityInfo 函数）。

使用命令可以批量修改文件权限：

icacls C:Data /grant "Users:(M)" /inheritance:r

该命令授予“Users”组对目录的修改权限，并重置继承规则，通过这些工具，管理员可以灵活地应对不同场景下的权限需求。

安全描述符的典型应用场景

安全描述符作为Windows访问控制的核心组件,通过ACL、SID、继承机制等实现了对对象权限的精细化、动态化管理和控制，它不仅保障了本地系统的安全性，还通过跨网络的权限一致性支持了分布式环境的安全需求，无论是日常的文件管理，还是企业级的安全审计，安全描述符都发挥着不可替代的作用，是构建安全、稳定操作系统的基础之一。

开机出现应用程序加载失败 0X80010005 什么意思?

1.执行一次干净启动（1）、首先创建一个还原点；（2）、按Windows功能键+R键，打开运行对话框；（3）、输入msconfig后点确定，启动系统配置；（4）、在“常规”选项卡，选择“有选择的启动”；（5）、清除“加载系统服务”和“加载启动项”的复选框，保留“使用原有启动配置”；（6）、在“服务”选项卡，先勾选“隐藏所有windows 服务”，然后选择“全部禁用”，确定。 2.如果还不能解决问题，一键恢复或重装系统是最好的办法。

ActiveMovie window:explorer.exe

故障分析 硬件方面： 一般来说，内存出现问题的可能性并不大，主要方面是：内存条坏了、内存质量有问题，还有就是2个不同牌子不同容量的内存混插，也比较容易出现不兼容的情况，同时还要注意散热问题，特别是超频后。 你可以使用MemTest 这个软件来检测一下内存，它可以彻底的检测出内存的稳定度。 假如是双内存，而且是不同品牌的内存条混插或者买了二手内存时，出现这个问题，这时，就要检查是不是内存出问题了或者和其它硬件不兼容。 软件方面： 先简单说说原理：内存有个存放数据的地方叫缓冲区，当程序把数据放在其一位置时，因为没有足够空间，就会发生溢出现象。 举个例子：一个桶子只能将一斤的水，当放入两斤的水进入时，就会溢出来。 而系统则是在屏幕上表现出来。 这个问题，经常出现在windows2000和XP系统上，Windows 2000/XP对硬件的要求是很苛刻的,一旦遇到资源死锁、溢出或者类似Windows 98里的非法操作，系统为保持稳定，就会出现上述情况。 另外也可能是硬件设备之间的兼容性不好造成的。 几个例子 例一：打开IE浏览器或者没过几分钟就会出现0x70dcf39f指令引用的0x内存。 该内存不能为“read”。 要终止程序，请单击“确定”的信息框，单击“确定”后，又出现“发生内部错误，您正在使用的其中一个窗口即将关闭”的信息框，关闭该提示信息后，IE浏览器也被关闭。 解决方法：修复或升级IE浏览器，同时打上补丁。 看过其中一个修复方法是，Win2000自升级，也就是Win2000升级到Win2000，其实这种方法也就是把系统还原到系统初始的状态下。 比如你的IE升级到了6.0，自升级后，会被IE5.0代替。 例二：在windows xp下双击光盘里面的“”文件，显示“0x77f745cc”指令引用的“0x”内存。 该内存不能为“written”，要终止程序，请单击“确定”，而在Windows 98里运行却正常。 解决方法：这可能是系统的兼容性问题，winXP的系统，右键“”文件，属性，兼容性，把“用兼容模式运行这个程序”项选择上，并选择“Windows 98/Me”。 win2000如果打了SP的补丁后，只要开始，运行，输入：regsvr32 c:\winnt\Apppatch\。 右键，属性，也会出现兼容性的选项。 例三：RealOne Gold关闭时出现错误，以前一直使用正常，最近却在每次关闭时出现“0xffffffff”指令引用的“0xffffffff”内存。 该内存不能为“read” 的提示。 解决方法：当使用的输入法为微软拼音输入法2003，并且隐藏语言栏时（不隐藏时没问题）关闭RealOne就会出现这个问题，因此在关闭RealOne之前可以显示语言栏或者将任意其他输入法作为当前输入法来解决这个问题。 例四：我的豪杰超级解霸自从上网后就不能播放了，每次都提示“Oxf6”（每次变化）指令引用的“Oxff”内存不能为“read”，终止程序请按确定。 解决方法：试试重装豪杰超级解霸,如果重装后还会，到官方网站下载相应版本的补丁试试。 还不行，只好换就用别的播放器试试了。 例五：双击一个游戏的快捷方式，“Ox77f5cdO”指令引用“Oxffffffff”内存，该内存不能为“read” ，并且提示程序错误。 解决方法：重装显卡的最新驱动程序，然后下载并且安装DirectX9.0。 例六：一个朋友发信息过来，我的电脑便出现了错误信息:“0*772b548f”指令引用的“0*”内存，该内存不能为“written”,然后QQ自动下线，而再打开QQ，发现了他发过来的十几条的信息。 解决方法：这是对方利用QQ的BUG，发送特殊的代码，做QQ出错，只要打上补丁或升级到最新版本，就没事了。 例七：我的笔记本电脑用的XP系统，有时关闭网页时会弹出遇到问题需要关闭，然后有弹出0x03e7c738指令引用的0x03e7c738内存，该内存不能为read,请问是怎么回事？ 解决方法：先查杀一下病毒，另外如果你安装了浏览增强之类的软件，请卸掉。 例八：从桌面或开始菜单中打开任何一个程序, 出现错误提示：0x........指令引用的0x内存,该内存不能为read。 省略号代表可变值。 而从运行中打开程序没问题。 解决方法：运行regedit进入注册表, 在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks下，应该只有一个正常的键值{AEB6717E-7E19-11d0-97EE-00C04FD}, 将其他的删除(默认键值当然不要删除)。 例九：我三个月前配了台机子。 系统比较不稳定，三个月内已经重装过多次系统，四五天前刚装过系统，可是经常随机地出现Explorer-应用程序错误，“0x4ad“指令引用的“0x内存。 该内存不能为“read。 要终止程序，请单击“确定“。 要调试程序，请单击“取消”。 如果点确定，windows桌面就不见了。 这种问题在之前的系统也出现过，不知道是不是硬件的问题？ 解决方法：内存的兼容性问题！遇到这类问题，用户可以自行打开机器把内存的位置调动一下，看问题是否可以解决，如果问题依旧，可与你的朋友调换内存使用。 通过上面的几个例子，可以看到，出现故障的原因有好多种，下面列出已经提到和有可能发生的原因，方便查阅。 问题产生原因原因－－解决方法 内存条坏了－－更换内存条 双内存不兼容－－使用同品牌的内存或只用一条内存 内存质量问题－－更换内存条 散热问题－－加强机箱内部的散热 内存和主板没插好或和其它硬件不兼容等－－重插内存或换个插糟 硬盘有问题－－更换硬盘 驱动问题－－重装驱动。 如果是新系统，要先安装主板驱动 软件损坏－－重装软件 软件有BUG－－打补丁或用最新的版本。 软件和系统不兼容－－给软件打上补丁或者试试系统的兼容模式 软件和软件之间有冲突－－如果最近安装了什么新软件，卸载了试试 软件要使用到其它相关的软件有问题－－重装相关软件。 比如播放某一格式的文件时出错，可能是这个文件的解码器有问题 病毒问题－－杀毒 杀毒软件与系统或软件冲突－－由于杀毒软件是进入底层监控系统的，可能与一些软件冲突，卸载了试试 系统本身有问题－－有时候操作系统本身也会有BUG，要注意安装官方发行的升级程序，像SP的补丁，最好要打上。 如果还不行重装系统或更换其它版本的系统了。 =============================================== Windows系统出现内存错误 使用Windows操作系统的人有时会遇到这样的错误信息：“0X????????指令引用的0x内存，该内存不能written”，然后应用程序被关闭。 如果去请教一些“高手”，得到的回答往往是“Windows就是这样不稳定”之类的义愤和不屑。 其实，这个错误并不一定是Windows不稳定造成的。 本文就来简单分析这种错误的常见原因。 一、应用程序没有检查内存分配失败 程序需要一块内存用以保存数据时，就需要调用操作系统提供的“功能函数”来申请，如果内存分配成功，函数就会将所新开辟的内存区地址返回给应用程序，应用程序就可以通过这个地址使用这块内存。 这就是“动态内存分配”，内存地址也就是编程中的“指针”。 内存不是永远都招之即来、用之不尽的，有时候内存分配也会失败。 当分配失败时系统函数会返回一个0值，这时返回值“0”已不表示新启用的指针，而是系统向应用程序发出的一个通知，告知出现了错误。 作为应用程序，在每一次申请内存后都应该检查返回值是否为0，如果是，则意味着出现了故障，应该采取一些措施挽救，这就增强了程序的“健壮性”。 若应用程序没有检查这个错误，它就会按照“思维惯性”认为这个值是给它分配的可用指针，继续在之后的运行中使用这块内存。 真正的0地址内存区保存的是计算机系统中最重要的“中断描述符表”，绝对不允许应用程序使用。 在没有保护机制的操作系统下（如DOS），写数据到这个地址会导致立即死机，而在健壮的操作系统中，如Windows等，这个操作会马上被系统的保护机制捕获，其结果就是由操作系统强行关闭出错的应用程序，以防止其错误扩大。 这时候，就会出现上述的“写内存”错误，并指出被引用的内存地址为“0x”。 内存分配失败故障的原因很多，内存不够、系统函数的版本不匹配等都可能有影响。 因此，这种分配失败多见于操作系统使用很长时间后，安装了多种应用程序（包括无意中“安装”的病毒程序），更改了大量的系统参数和系统文件之后。 二、应用程序由于自身BUG引用了不正常的内存指针 在使用动态分配的应用程序中，有时会有这样的情况出现：程序试图读写一块“应该可用”的内存，但不知为什么，这个预料中可用的指针已经失效了。 有可能是“忘记了”向操作系统要求分配，也可能是程序自己在某个时候已经注销了这块内存而“没有留意”等等。 注销了的内存被系统回收，其访问权已经不属于该应用程序，因此读写操作也同样会触发系统的保护机制，企图“违法”的程序唯一的下场就是被操作终止运行，回收全部资源。 计算机世界的法律还是要比人类有效和严厉得多啊！ 像这样的情况都属于程序自身的BUG，你往往可在特定的操作顺序下重现错误。 无效指针不一定总是0，因此错误提示中的内存地址也不一定为“0x”，而是其他随机数字。 如果系统经常有所提到的错误提示，下面的建议可能会有帮助： 1.查看系统中是否有木马或病毒。 这类程序为了控制系统往往不负责任地修改系统，从而导致操作系统异常。 平常应加强信息安全意识，对来源不明的可执行程序绝不好奇。 2.更新操作系统，让操作系统的安装程序重新拷贝正确版本的系统文件、修正系统参数。 有时候操作系统本身也会有BUG，要注意安装官方发行的升级程序。 3.试用新版本的应用程序。

应用程序错误

0x????????”指令引用的“0x????????”内存。 该内存不能为“read”。 “0x????????”指令引用的“0x????????”内存，该内存不能为“written”。 以上的情况相信大家都应该见到过，甚至说一些网友因为不爽于这个经常出现的错误提示而屡次重装系统。 相信普通用户应该不会理解那些复杂的十六进制代码。 出现这个现象有方面的，一是硬件，即内存方面有问题，二是软件，这就有多方面的问题了。 一.先说说硬件： 一般来说，电脑硬件是很不容易坏的。 内存出现问题的可能性并不大（除非你的内存真的是杂牌的一塌徒地），主要方面是： 1。 内存条坏了（二手内存情况居多） 2。 使用了有质量问题的内存。 3。 内存插在主板上的金手指部分灰尘太多。 4。 使用不同品牌不同容量的内存，从而出现不兼容的情况。 5。 超频带来的散热问题。 你可以使用MemTest 这个软件来检测一下内存，它可以彻底的检测出内存的稳定度。 二、如果都没有，那就从软件方面排除故障了。 先说原理：内存有个存放数据的地方叫缓冲区，当程序把数据放在缓冲区，需要操作系统提供的“功能函数”来申请，如果内存分配成功，函数就会将所新开辟的内存区地址返回给应用程序，应用程序就可以通过这个地址使用这块内存。 这就是“动态内存分配”，内存地址也就是编程中的“光标”。 内存不是永远都招之即来、用之不尽的，有时候内存分配也会失败。 当分配失败时系统函数会返回一个0值，这时返回值“0”已不表示新启用的光标，而是系统向应用程序发出的一个通知，告知出现了错误。 作为应用程序，在每一次申请内存后都应该检查返回值是否为0，如果是，则意味着出现了故障，应该采取一些措施挽救，这就增强了程序的“健壮性”。 若应用程序没有检查这个错误，它就会按照“思维惯性”认为这个值是给它分配的可用光标，继续在之后的执行中使用这块内存。 真正的0地址内存区储存的是计算机系统中最重要的“中断描述符表”，绝对不允许应用程序使用。 在没有保护机制的操作系统下(如DOS)，写数据到这个地址会导致立即当机，而在健壮的操作系统中，如Windows等，这个操作会马上被系统的保护机制捕获，其结果就是由操作系统强行关闭出错的应用程序，以防止其错误扩大。 这时候，就会出现上述的内存不能为“read”错误，并指出被引用的内存地址为“0x“。 内存分配失败故障的原因很多，内存不够、系统函数的版本不匹配等都可能有影响。 因此，这种分配失败多见于操作系统使用很长时间后，安装了多种应用程序(包括无意中“安装”的病毒程序)，更改了大量的系统参数和系统档案之后。 在使用动态分配的应用程序中，有时会有这样的情况出现：程序试图读写一块“应该可用”的内存，但不知为什么，这个预料中可用的光标已经失效了。 有可能是“忘记了”向操作系统要求分配，也可能是程序自己在某个时候已经注销了这块内存而“没有留意”等等。 注销了的内存被系统回收，其访问权已经不属于该应用程序，因此读写操作也同样会触发系统的保护机制，企图“违法”的程序唯一的下场就是被操作终止执行，回收全部资源。 计算机世界的法律还是要比人类有效和严厉得多啊！像这样的情况都属于程序自身的BUG，你往往可在特定的操作顺序下重现错误。 无效光标不一定总是0，因此错误提示中的内存地址也不一定为“0x”，而是其它随机数字。 首先建议： 1、 检查系统中是否有木马或病毒。 这类程序为了控制系统往往不负责任地修改系统，从而导致操作系统异常。 平常应加强信息安全意识，对来源不明的可执行程序绝不好奇。 2、 更新操作系统，让操作系统的安装程序重新拷贝正确版本的系统档案、修正系统参数。 有时候操作系统本身也会有BUG，要注意安装官方发行的升级程序。 3、 尽量使用最新正式版本的应用程序、Beta版、试用版都会有BUG。 4、 删除然后重新创建 Winnt\System32\Wbem\Repository 文件夹中的文件：在桌面上右击我的电脑，然后单击管理。 在服务和应用程序下，单击服务，然后关闭并停止 Windows Management Instrumentation 服务。 删除 Winnt\System32\Wbem\Repository 文件夹中的所有文件。 （在删除前请创建这些文件的备份副本。 ） 打开服务和应用程序，单击服务，然后打开并启动 Windows Management Instrumentation 服务。 当服务重新启动时，将基于以下注册表项中所提供的信息重新创建这些文件： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\Autorecover MOFs