平時我們在使用Windows XP時，總要先進(jìn)行登錄。Windows XP的登錄驗證機(jī)制比Windows 98嚴(yán)格很多，理解并掌握Windows XP的登錄驗證機(jī)制和原理對我們來說很重要，能增強(qiáng)對系統(tǒng)安全的認(rèn)識，并能夠有效預(yù)防、解決黑客和病毒的入侵。

一、了解Windows XP的幾種登錄類型

1． 交互式登錄

交互式登錄是我們平常登錄時最常見的類型，就是用戶通過相應(yīng)的用戶賬號(User Account)和密碼在本機(jī)進(jìn)行登錄。有些網(wǎng)友認(rèn)為“交互式登錄”就是“本地登錄”，其實這是錯誤的。“交互式登錄”還包括“域賬號登錄”，而“本地登錄”僅限于“本地賬號登錄”。

這里有必要提及的是，通過終端服務(wù)和遠(yuǎn)程桌面登錄主機(jī)，可以看做“交互式登錄”，其驗證的原理是一樣的。

在交互式登錄時，系統(tǒng)會首先檢驗登錄的用戶賬號類型，是本地用戶賬號(Local User Account)，還是域用戶賬號(Domain User Account)，再采用相應(yīng)的驗證機(jī)制。因為不同的用戶賬號類型，其處理方法也不同。

◇ 本地用戶賬號

采用本地用戶賬號登錄，系統(tǒng)會通過存儲在本機(jī)SAM數(shù)據(jù)庫中的信息進(jìn)行驗證。所以也就是為什么Windows2000忘記Administrator密碼時可以用刪除SAM文件的方法來解決。不過對于Windows XP則不可以，可能是出于安全方面的考慮吧。用本地用戶賬號登錄后，只能訪問到具有訪問權(quán)限的本地資源。（圖1）

圖1

◇域用戶賬號

采用域用戶賬號登錄，系統(tǒng)則通過存儲在域控制器的活動目錄中的數(shù)據(jù)進(jìn)行驗證。如果該用戶賬號有效，則登錄后可以訪問到整個域中具有訪問權(quán)限的資源。

小提示：如果計算機(jī)加入域以后，登錄對話框就會顯示“登錄到：”項目，可以從中選擇登錄到域還是登錄到本機(jī)。

2． 網(wǎng)絡(luò)登錄

如果計算機(jī)加入到工作組或域，當(dāng)要訪問其他計算機(jī)的資源時，就需要“網(wǎng)絡(luò)登錄”了。如圖2，當(dāng)要登錄名稱為Heelen的主機(jī)時，輸入該主機(jī)的用戶名稱和密碼后進(jìn)行驗證。這里需要提醒的是，輸入的用戶賬號必須是對方主機(jī)上的，而非自己主機(jī)上的用戶賬號。因為進(jìn)行網(wǎng)絡(luò)登錄時，用戶賬號的有效性是由受訪主機(jī)控制的。

圖2

3． 服務(wù)登錄

服務(wù)登錄是一種特殊的登錄方式。平時，系統(tǒng)啟動服務(wù)和程序時，都是先以某些用戶賬號進(jìn)行登錄后運行的，這些用戶賬號可以是域用戶賬號、本地用戶賬號或SYSTEM賬號。采用不同的用戶賬號登錄，其對系統(tǒng)的訪問、控制權(quán)限也不同，而且，用本地用戶賬號登錄，只能訪問到具有訪問權(quán)限的本地資源，不能訪問到其他計算機(jī)上的資源，這點和“交互式登錄”類似。

從圖3的任務(wù)管理器中可以看到，系統(tǒng)的進(jìn)程所使用的賬號是不同的。當(dāng)系統(tǒng)啟動時，一些基與Win32的服務(wù)會被預(yù)先登錄到系統(tǒng)上，從而實現(xiàn)對系統(tǒng)的訪問和控制。運行Services.msc，可以設(shè)置這些服務(wù)。由于系統(tǒng)服務(wù)有著舉足輕重的地位，一般都以SYSTEM賬號登錄，所以對系統(tǒng)有絕對的控制權(quán)限，因此很多病毒和木馬也爭著加入這個貴族體系中。除了SYSTEM，有些服務(wù)還以Local Service和Network Service這兩個賬號登錄。而在系統(tǒng)初始化后，用戶運行的一切程序都是以用戶本身賬號登錄的。

圖3

從上面講到的原理不難看出，為什么很多電腦文章告訴一般用戶，平時使用計算機(jī)時要以Users組的用戶登錄，因為即使運行了病毒、木馬程序，由于受到登錄用戶賬號相應(yīng)的權(quán)限限制，最多也只能破壞屬于用戶本身的資源，而對維護(hù)系統(tǒng)安全和穩(wěn)定性的重要信息無破壞性。

4． 批處理登錄

批處理登錄一般用戶很少用到，通常被執(zhí)行批處理操作的程序所使用。在執(zhí)行批處理登錄時，所用賬號要具有批處理工作的權(quán)利，否則不能進(jìn)行登錄。

平常我們接觸最多的是“交互式登錄”，所以下面筆者將為大家詳細(xì)講解“交互式登錄”的原理。