Windows Internals on Roduygo | Blog

Windows Registry và cách dùng ProcMon

Fri, 08 May 2026 16:00:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Windows OS & SOC Analytics! Chúng ta đã biết File System là nơi cất giữ dữ liệu, vậy đâu là nơi lưu trữ các quy tắc điều hành máy tính? Làm sao hệ thống biết khi bật máy lên phải chạy những phần mềm nào, hình nền của bạn màu gì, hay file .docx thì phải mở bằng Microsoft Word? Câu trả lời nằm ở “bộ não” của Windows: Registry. Hôm nay, chúng ta sẽ mổ xẻ cơ sở dữ liệu khổng lồ này và học cách giám sát nó bằng ProcMon.

1. Windows Registry là gì? Cấu trúc của các Hives

Windows Registry là một cơ sở dữ liệu phân cấp khổng lồ, làm nhiệm vụ lưu trữ toàn bộ các thiết lập phần cứng, cấu hình phần mềm, tùy chọn của người dùng và các thiết lập bảo mật cốt lõi của hệ điều hành Windows.

Mặc dù khi mở công cụ regedit.exe, bạn sẽ thấy Registry hiển thị như một cây thư mục thống nhất, nhưng thực tế nó được ghép lại từ nhiều tệp tin vật lý (gọi là các Hives) nằm rải rác trên ổ cứng.

Cấu trúc cốt lõi của Registry được chia thành 5 nhánh (Hives) chính:

HKEY_CLASSES_ROOT (HKCR): Quản lý thông tin về các định dạng file (ví dụ: quy định file .txt thì mở bằng Notepad) và các thành phần COM/OLE.
HKEY_CURRENT_USER (HKCU): Lưu cấu hình riêng của người dùng đang đăng nhập hiện tại (như hình nền, màu sắc giao diện, các icon hay app cá nhân).
HKEY_LOCAL_MACHINE (HKLM): Đây là nhánh quan trọng nhất dưới góc độ SOC. Nó lưu trữ cấu hình của toàn bộ máy tính, bao gồm phần cứng, Driver, thiết lập mạng, bảo mật và các phần mềm dùng chung cho mọi người dùng.
HKEY_USERS (HKU): Chứa tất cả các profile (hồ sơ) của mọi người dùng từng đăng nhập trên máy tính này. Thực chất, dữ liệu của nhánh HKCU chỉ là một bản ánh xạ từ một nhánh con bên trong HKU.
HKEY_CURRENT_CONFIG (HKCC): Chứa các thông tin về cấu hình phần cứng hiện tại đang được sử dụng ở lần khởi động này.

2. Cơ chế hoạt động: Nguồn gốc dữ liệu và Sự “lắng nghe”

Vậy làm sao các phần mềm biết phải ghi thông tin vào đâu trong Registry, và Windows lấy dữ liệu ra như thế nào?

2.1 Tài liệu MSDN (Microsoft Developer Network)

Khi Microsoft tạo ra Windows, họ thiết kế một bộ quy tắc và công khai các khóa Registry thông qua tài liệu SDK/MSDN. Nhờ đó, các lập trình viên phần mềm (như Adobe, Google,…) biết cách đăng ký dịch vụ, thiết lập quyền hạn hoặc tùy chỉnh giao diện ứng dụng của mình. Chẳng hạn, các khóa tự khởi động (Run keys) được ghi chép rất rõ ràng để phần mềm biết chỗ mà “cắm chốt” khởi động cùng máy.

2.2 Cơ chế “Lắng nghe” (Event-Driven)

Một câu hỏi thú vị: Tại sao khi bạn vào Registry, đổi một Key từ False sang True thì thanh Dock (hoặc Taskbar) lại lập tức thay đổi vị trí?

Bản chất của vấn đề là: Windows (và các tiến trình như explorer.exe) liên tục thực hiện hành động “đọc” Registry. Registry thực chất chỉ là một “cái kho” hay một bảng cài đặt khổng lồ. Việc một tính năng có hoạt động hay không là do mã nguồn của Windows đã được lập trình để luôn nhìn vào cái kho đó trước khi thực hiện hành động. Hệ thống chạy một đoạn mã logic dạng: “Nếu giá trị tại Key [ThanhDock] là True thì vẽ nó ở giữa, nếu là False thì vẽ bên trái”.

3. Kỹ thuật Đảo ngược và Giám sát bằng ProcMon

Vì Registry là một cái kho tĩnh, đôi khi có những “bí mật” hoặc các khóa Registry không hề được Microsoft ghi trong tài liệu chính thức. Vậy làm sao các chuyên gia hay những “người ham vọc vạch” tìm ra chúng? Câu trả lời là Kỹ thuật Đảo ngược (Reverse Engineering) bằng việc giám sát thời gian thực.

Công cụ đắc lực nhất cho việc này là Process Monitor (ProcMon) - một phần mềm thuộc bộ Sysinternals do chính Microsoft cung cấp.

Cách thực chiến với ProcMon:

Bật ProcMon và đặt bộ lọc (Filter) chỉ theo dõi các sự kiện liên quan đến Registry (Registry Activity).
Mở giao diện cài đặt của Windows lên (ví dụ: cài đặt vị trí thanh Dock hoặc tắt/bật một tính năng bảo mật).
Thực hiện thay đổi (click chuột, bấm Apply) và ngay lập tức quan sát trên màn hình ProcMon.
ProcMon sẽ bắt được chính xác tiến trình nào của Windows vừa thực hiện lệnh Write (ghi) giá trị gì vào đường dẫn khóa Registry nào.

Bằng cách khoa học này, các nhà phân tích bảo mật có thể dễ dàng bắt thóp được mọi hành vi ngầm mà một ứng dụng (hoặc một mã độc) đang cố tình can thiệp vào hệ thống.

4. Góc nhìn SOC: Điểm neo của Hacker (Persistence)

Registry không chỉ đơn thuần lưu trữ cài đặt, nó còn có khả năng ra lệnh cho Windows phải làm gì. Do đó, đây là “mỏ vàng” để virus và mã độc lẩn trốn, đảm bảo rằng dù bạn có xóa file thực thi trên màn hình, mã độc vẫn sẽ tự động quay lại (Persistence) nhờ các dòng lệnh được nhúng trong Registry.

Những vị trí Registry nhạy cảm nhất mà một SOC Analyst phải thường xuyên giám sát bao gồm:

4.1 Các khóa tự khởi động (Auto Run Keys)

Hacker cực kỳ thích “cắm chốt” tại các đường dẫn sau để mã độc chạy ngay khi bật máy:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

(Lưu ý: HKLM sẽ chạy cho toàn bộ máy tính và yêu cầu quyền Admin để ghi, trong khi HKCU chỉ chạy cho người dùng hiện tại).

4.2 Lợi dụng tính năng Userinit (Winlogon)

Được thiết kế để chuẩn bị môi trường làm việc sau khi đăng nhập, khóa Registry sau quy định chương trình khởi tạo mặc định của Windows:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

Giá trị mặc định của nó chỉ là userinit.exe. Hacker rất ranh ma, chúng không xóa file gốc mà chỉ cần nối thêm một dấu phẩy (,) và ghi kèm đường dẫn mã độc của chúng vào đằng sau (ví dụ: userinit.exe, C:\Temp\malware.bat) để được hệ thống “rước” vào máy một cách hợp lệ.

4.3 Vô hiệu hóa sức đề kháng (Security Evasion)

Ngoài việc thiết lập khởi động, hacker còn trực tiếp can thiệp Registry để “bịt mắt” các phần mềm bảo mật:

Tắt Windows Defender: Bằng cách sửa khóa HKLM\SOFTWARE\Policies\Microsoft\Windows Defender, gán giá trị DisableAntiSpyware = 1.
Vô hiệu hóa UAC: Sửa giá trị EnableLUA = 0 tại khóa HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System để UAC không bao giờ hiện bảng thông báo quyền Admin nữa.

Windows Registry thực sự là một hệ thần kinh phức tạp của hệ điều hành. Việc am hiểu cấu trúc Hives và biết cách sử dụng ProcMon để soi chiếu từng “nhịp đập” Write/Read của Registry sẽ biến bạn thành một thợ săn mã độc đáng gờm. Ở bài viết tới, chúng ta sẽ bắt tay vào thực hành săn lùng Malware trong Registry bằng bộ công cụ nâng cao Autoruns và cách phân tích chữ ký số (Digital Signatures). Hẹn gặp lại các bạn!

Phân tích NTFS

Fri, 08 May 2026 15:30:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Ở bài viết trước, chúng ta đã hiểu được bức tranh tổng thể về File System và “chiêu trò” giấu mã độc qua Alternate Data Streams (ADS).Hôm nay, chúng ta sẽ cầm kính lúp pháp y (Forensics) để soi vào tận cùng cấu trúc NTFS, bóc tách cuốn sổ cái MFT và trích xuất các “camera an ninh” ngầm của hệ thống.

1. Kiến trúc tổng thể của NTFS: Đường đi của một tệp tin

Để hiểu NTFS, trước tiên ta cần nắm được cách nó phân chia ổ đĩa. NTFS chia đĩa thành các Cluster (thường là 4KB). Ngay cả khi một file chỉ nặng 2KB, nó vẫn chiếm trọn 1 Cluster 4KB, phần dư thừa đó (Slack Space) không cho file khác dùng. Điều này giúp NTFS tăng tốc độ ghi đọc theo khối lớn và hỗ trợ điều tra dấu vết mã độc.

Cấu trúc cốt lõi của một phân vùng NTFS bao gồm 4 phần chính:

Boot Sector: Nằm ở phần đầu phân vùng, chứa Jump code để boot và vị trí của MFT.
MFT (Master File Table): Cuốn sổ cái lưu trữ mọi thông tin.
MFT Mirror ($MFTMirr): Bản sao lưu một phần của MFT để phục hồi khi lỗi.
Data Area: Khu vực chứa nội dung dữ liệu thực sự của file.

Luồng hoạt động khi bạn mở một tệp: Hệ thống đọc Boot Sector -> Xác định vị trí MFT -> Đọc bản ghi (Record) của file trong MFT -> Tìm ra Cluster chứa dữ liệu -> Lấy dữ liệu từ Data Area.

2. Bóc tách “Trái tim” MFT (Master File Table)

Trong NTFS, mọi thứ đều là một tệp, kể cả chính hệ thống tệp. MFT thực chất là một tệp đặc biệt có tên $MFT. Cuốn sổ cái này được chia thành hàng nghìn bản ghi (MFT Records) có kích thước cố định. Mỗi tệp tin hoặc thư mục trên máy tính của bạn đều tương ứng với đúng 1 Record bên trong $MFT.

2.1 Giải phẫu một MFT Record

Một bản ghi MFT chứa siêu dữ liệu (Metadata) cực kỳ chi tiết, bao gồm:

Standard Information (Thông tin tiêu chuẩn): Chứa các dấu thời gian (Timestamps), quyền hạn, và các cờ như Read-only, Hidden, System.
File Name: Tên của tệp hoặc thư mục.
Data Attribute (Thuộc tính dữ liệu): Đây là phần thú vị nhất. Nếu file của bạn cực nhỏ (dưới vài trăm byte), NTFS sẽ nhét thẳng nội dung của file đó vào bên trong MFT Record (gọi là Resident Data). Nếu file lớn, phần này sẽ chứa danh sách các con trỏ (Data Runs) trỏ ra các Cluster ngoài Data Area (gọi là Non-Resident Data).
Security Descriptor: Chứa danh sách kiểm soát truy cập (ACL) quy định ai được phép đọc/ghi file.

2.2 Góc nhìn Điều tra số

MFT là “mỏ vàng” vì những lý do sau:

Cờ In Use: Xác định xem bản ghi này đang chứa một file hoạt động hay file đã bị xóa. Khi bạn xóa một file, dữ liệu trên đĩa chưa mất đi, NTFS chỉ đổi cờ In Use thành “chưa sử dụng”. Do đó, các tệp bị xóa vẫn tồn tại bản ghi trong MFT, hỗ trợ việc khôi phục dữ liệu (Carving).
Số thứ tự (Sequence Number): Bộ đếm tăng lên khi một bản ghi MFT được sử dụng lại cho file khác, giúp phân biệt file cũ và mới trên cùng một mục nhập.
Phân tích Dòng thời gian (Timeline): MFT lưu trọn bộ 4 mốc thời gian MACB: Modified (Sửa đổi nội dung), Accessed (Truy cập cuối), Created (Tạo lập), và MFT Record Modified (Sửa đổi siêu dữ liệu). Đây là bằng chứng thép để tái tạo trình tự sự kiện của mã độc.

Bạn có thể dùng công cụ MFTECmd.exe của Eric Zimmerman để trích xuất $MFT ra file CSV và đọc bằng Timeline Explorer:

:: Lệnh trích xuất và phân tích file $MFT
MFTECmd.exe -f C:\Evidence\$MFT --csv C:\Evidence --csvf MFT_record.csv

3. “Camera an ninh” của NTFS: $LogFile và USN Journal

Khi mã độc hoạt động, nó thường tạo file, ghi dữ liệu, rồi xóa ngay lập tức để phi tang dấu vết. Tuy nhiên, mọi hành động này đều bị hai “camera an ninh” của NTFS ghi lại trọn vẹn.

3.1 $LogFile (Nhật ký giao dịch)

$LogFile là một tệp siêu dữ liệu đặc biệt ghi lại mọi thay đổi (tạo, xóa, sửa tệp) trước khi chúng được ghi chính thức xuống đĩa. Chức năng gốc của nó là để hệ thống có thể “phát lại” (replay) các giao dịch và khôi phục tính nhất quán nếu máy tính bị sập nguồn đột ngột.

3.2 $USNJrnl (Update Sequence Number Journal)

Nếu $LogFile phục vụ cho hệ thống, thì USN Journal là bản ghi lịch sử tuyệt vời dành cho các dịch vụ theo dõi và giám sát. Nó nằm ẩn trong thư mục $Extend\$UsnJrnl ở thư mục gốc.

Đặc biệt, $USNJrnl bao gồm thành phần chính là $J, nơi lưu trữ các bản ghi thay đổi thực tế. Đáng chú ý, $J được Windows triển khai dưới dạng một luồng dữ liệu ẩn Alternate Data Stream (ADS) – chính là kỹ thuật chúng ta đã phân tích ở bài số 4!

Khi phân tích file $J (bằng MFTECmd), chúng ta sẽ thấy các mã sự kiện (Update Reasons) “tố cáo” mã độc:

USN_REASON_FILE_CREATE: Tệp mã độc mới được tạo.
USN_REASON_DATA_OVERWRITE: Dữ liệu trong tệp đã bị ghi đè.
USN_REASON_FILE_DELETE: Tệp mã độc vừa tự xóa chính nó.
USN_REASON_RENAME_OLD_NAME: Tệp tin bị đổi tên (thường thấy trong các vụ tấn công Ransomware đổi đuôi file).

4. Khám phá góc khuất $I30 (NTFS Index Allocation)

Để truy tìm dấu vết của các tệp tin đã bị xóa bốc hơi hoàn toàn khỏi MFT, các chuyên gia Forensics sẽ tìm đến một thuộc tính ẩn khác gọi là $I30.

Thuộc tính $I30 là một chỉ mục (Index) thư mục, có nhiệm vụ duy trì cấu trúc sắp xếp các tệp và thư mục con bên trong một ổ đĩa NTFS.

Góc nhìn Forensics: Khi một tệp bị xóa, đổi tên hoặc di chuyển sang thư mục khác, tên của tệp đó sẽ bị gạch bỏ khỏi chỉ mục hoạt động của $I30. Tuy nhiên, dữ liệu văn bản chứa tên tệp đó vẫn còn sót lại trong vùng không gian trống (Slack Space) của tệp $I30 cho đến khi bị ghi đè. Bằng cách quét vùng không gian Slack Space này, chúng ta có thể chứng minh được sự tồn tại trong quá khứ của một công cụ hack hoặc một tệp tin dữ liệu nhạy cảm mà kẻ tấn công tưởng chừng đã xóa sạch không tì vết.

Qua bài viết này, chúng ta đã đi sâu vào tận cùng các khối cấu trúc tĩnh của hệ thống tệp NTFS. Bằng cách kết hợp phân tích MFT, USN Journal và chỉ mục $I30, không một hành vi tạo, xóa hay sửa đổi tệp tin nào của mã độc có thể qua mắt được bạn. Ở bài viết tiếp theo, chúng sẽ chuyển sang một lĩnh vực đầy tính động và cực kỳ hấp dẫn: Giải phẫu Windows Registry và các điểm neo duy trì sự hiện diện của Malware. Đừng bỏ lỡ nhé!

User Account Control (UAC)

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Nếu Registry là “bộ não”, Event Logs là “nhật ký”, thì UAC chính là “người gác cổng” khó tính nhất của Windows. Bạn từng tự hỏi tại sao mình đã đăng nhập bằng tài khoản Administrator mà thỉnh thoảng Windows vẫn làm tối đen màn hình và hỏi “Bạn có chắc chắn muốn chạy phần mềm này không?”. Hôm nay, chúng ta sẽ đi sâu vào hệ thống phân quyền phức tạp này để hiểu tại sao nó lại là chốt chặn bảo mật quan trọng nhất, và cách các tiến trình hệ thống như Appinfo hay consent.exe vận hành.

1. Bản chất của UAC và Nguyên lý 2 “Thẻ bài” (Tokens)

User Account Control (UAC) là một tính năng bảo mật nhằm ngăn chặn các thay đổi trái phép đối với hệ điều hành. Cơ chế cốt lõi của nó nghe có vẻ ngược đời: Ngay cả khi bạn đăng nhập bằng tài khoản Quản trị viên (Administrator), các ứng dụng mà bạn mở lên mặc định vẫn chỉ chạy với quyền Người dùng tiêu chuẩn (Standard User).

Làm sao Windows làm được điều này? Nguyên lý nằm ở các Access Tokens (Thẻ bài quyền lực). Khi bạn đăng nhập bằng tài khoản Admin, Windows thực chất không cấp cho bạn toàn quyền ngay lập tức. Thay vào đó, nó cấp cho bạn 2 “thẻ bài”: Một thẻ User thường và một thẻ Admin.

Trong quá trình sử dụng bình thường (lướt web, gõ văn bản), hệ thống chỉ dùng thẻ User. Chỉ khi nào bạn (hoặc một ứng dụng) cần thực hiện các hành động “nhạy cảm” (như sửa Registry hệ thống, cài driver), UAC mới hiện ra bảng thông báo để bạn xác nhận “nâng quyền” (Elevation). Lúc này, thẻ Admin mới được rút ra để sử dụng.

2. Ranh giới ưu tiên: Integrity Levels (Mức độ toàn vẹn)

Để SOC Analyst có thể phát hiện tiến trình nào đang chạy quyền cao hay thấp, chúng ta dựa vào khái niệm Integrity Levels (IL). Hãy cùng làm một bài test thực tế: Mở hai cửa sổ Command Prompt (CMD), một cái mở bình thường (Open) và một cái mở bằng quyền Admin (Run as administrator).

Nếu soi hai tiến trình này bằng công cụ Process Hacker hoặc Sysinternals, bạn sẽ thấy sự khác biệt “một trời một vực”:

2.1 Cửa sổ CMD bình thường (Quyền thấp)

Nhóm BUILTIN\Administrators: Có cờ (Flag) là Deny. Điều này nghĩa là hệ thống đang nói: “Dù tài khoản của anh là Admin, nhưng cửa sổ này bị tước quyền quản trị”.
Integrity Level: Chạy ở mức Medium Mandatory Level. Đây là mức độ trung bình mặc định của người dùng thường.
Privileges (Đặc quyền): Chỉ có một danh sách rất ngắn các quyền cơ bản, không thể can thiệp sâu vào hệ thống.

2.2 Cửa sổ CMD “Run as administrator” (Quyền cao)

Nhóm BUILTIN\Administrators: Có cờ là Owner. Cửa sổ này có toàn quyền thực thi các lệnh hệ thống.
Integrity Level: Chạy ở mức High Mandatory Level. Mọi tiến trình do CMD này sinh ra (như chạy file .exe) đều sẽ kế thừa quyền High IL này.
Privileges (Đặc quyền): Danh sách dài hơn rất nhiều, bao gồm các quyền cực kỳ nguy hiểm như SeBackupPrivilege, SeImpersonatePrivilege và đặc biệt là SeDebugPrivilege (quyền gỡ lỗi, thường bị malware lợi dụng để can thiệp bộ nhớ).

3. Secure Desktop: Bức tường thành cô lập

Khi bảng thông báo UAC hiện lên, bạn có để ý rằng toàn bộ màn hình nền phía sau bị tối đen lại và bạn không thể click chuột vào bất kỳ ứng dụng nào khác không? Đó chính là tính năng Secure Desktop.

Mục đích cốt lõi: Secure Desktop tạo ra một màn hình nền hoàn toàn riêng biệt, cách ly bảng hỏi UAC khỏi không gian làm việc hiện tại. Nó đảm bảo rằng không có bất kỳ một phần mềm mã độc nào chạy ngầm có khả năng can thiệp hay “ấn hộ” bạn nút Yes. Chỉ có con người thật, cầm con chuột vật lý mới có thể tương tác với bảng thông báo này.

Tùy vào nhu cầu, Windows cho phép bạn thiết lập 4 cấp độ (Level) của UAC trong cài đặt:

Always Notify: Mức cao nhất, luôn làm tối màn hình (Secure Desktop) và hỏi khi có thay đổi.
Notify me only when apps try to make changes (Default): Chỉ hỏi khi ứng dụng bên thứ ba thay đổi hệ thống, không hỏi khi bạn tự tay chỉnh cài đặt Windows.
Notify me only when apps try to make changes (Do not dim my desktop): Giống mức 2 nhưng không làm tối màn hình. Góc nhìn SOC: Mức này rất nguy hiểm vì không dùng Secure Desktop, mã độc có thể dùng kỹ thuật giả lập click chuột (Clickjacking) để tự bấm Yes.
Never Notify (Disable): Tắt hoàn toàn UAC. Đây thực sự là “thiên đường” cho hacker, vì mã độc có thể tự do leo thang quyền hạn từ Medium lên High mà không gặp bất cứ rào cản nào.

4. Giải phẫu quy trình hoạt động của UAC

Để qua mặt được UAC, hacker phải hiểu tường tận quy trình hệ thống xử lý yêu cầu nâng quyền. Dưới góc nhìn kỹ thuật, “trái tim” của UAC là Dịch vụ Thông tin Ứng dụng (Appinfo). Khi bạn click “Run as administrator”, 6 bước sau sẽ diễn ra trong chớp mắt:

Gửi yêu cầu: Người dùng yêu cầu chạy một ứng dụng (ví dụ: cmd.exe) với quyền quản trị.
Gọi API: Lệnh gọi API ShellExecute của Windows được kích hoạt, mang theo một động từ (verb) đặc biệt là runas.
Appinfo tiếp nhận: Yêu cầu này không được xử lý ngay mà chuyển tiếp đến dịch vụ Appinfo để quản lý việc nâng quyền.
Kiểm tra Manifest: Dịch vụ Appinfo sẽ đọc tệp kê khai (Manifest) của ứng dụng đó để xem tính năng Tự động nâng quyền (autoElevate) có được cho phép hay không. (Bật mí: Hacker rất thích lợi dụng các file có sẵn autoElevate của Microsoft).
Bật Secure Desktop: Appinfo thực thi tiến trình consent.exe. Chính consent.exe là kẻ làm tối màn hình của bạn và vẽ ra cái bảng hỏi (Yes/No) trên môi trường Secure Desktop cô lập.
Cấp “Thẻ bài”: Nếu bạn bấm Yes đồng ý, dịch vụ Appinfo sẽ lấy cái Mã thông báo nâng cao (Elevated Token - thẻ Admin) của bạn ra và áp vào ứng dụng. Sau đó, ứng dụng sẽ chính thức được khởi chạy dưới quyền High Integrity.

UAC được thiết kế như một chốt chặn hoàn hảo giữa người dùng và quyền kiểm soát hệ thống. Tuy nhiên, không có bức tường thành nào là không thể vượt qua. Ở Bước 4 của quy trình trên, việc Windows cho phép một số tiến trình hệ thống được “Tự động nâng quyền” (AutoElevate) để tránh làm phiền người dùng chính là một lỗ hổng chí mạng. Trong bài viết tiếp theo, chúng ta sẽ trực tiếp thực hành đóng vai Hacker: Sử dụng tiến trình fodhelper.exe kết hợp Registry Hijacking để lách qua UAC một cách “không kèn không trống” (UAC Bypass). Hẹn gặp lại các bạn!

File System - NTFS, FAT32 và ADS

Fri, 08 May 2026 11:30:00 +0700

Ở các bài viết trước, chúng ta đã “mổ xẻ” quá trình khởi động và đọc hiểu cấu trúc phân vùng ổ cứng ở mức vật lý. Nhưng khi hệ điều hành đã lên, làm sao nó biết tệp tin malware.exe nằm ở đâu giữa hàng tỷ byte dữ liệu hỗn độn? Hôm nay, chúng ta sẽ bước vào thế giới của Hệ thống tệp (File System) – người quản lý kho vĩ đại của hệ điều hành, và khám phá những góc khuất mà hacker thường lợi dụng để ẩn mình.

1. Hệ thống tệp (File System) thực chất là gì?

Nếu bạn tưởng tượng ổ cứng vật lý là một cái kho chứa khổng lồ trống rỗng, thì Tệp (File) chính là những thùng hàng chứa đồ đạc. Vậy Hệ thống tệp (File System) là gì? Nó chính là thủ kho và bộ sổ sách quản lý. Thủ kho sẽ quyết định thùng hàng này đặt ở kệ nào, ghi chú vào sổ để khi bạn cần, họ có thể lấy ra ngay lập tức.

Về mặt kỹ thuật, đĩa vật lý chia thành các Sector (đơn vị lưu trữ nhỏ nhất, thường là 512 byte). Tuy nhiên, để quản lý dễ dàng hơn, hệ điều hành gom các Sector lại thành các Cluster (Liên cung). Một Cluster là “đơn vị thuê đất” nhỏ nhất; một tệp dù chỉ chứa 1 chữ cái cũng sẽ được cấp ít nhất 1 Cluster.

Nếu không có Hệ thống tệp, dữ liệu trên ổ cứng sẽ chỉ là một khối bit khổng lồ không có điểm bắt đầu hay kết thúc.

2. FAT32: Kẻ lỗi thời nhưng không thể thay thế

FAT32 (File Allocation Table 32-bit) ra đời từ thời Windows 95 để thay thế cho FAT16, sử dụng 28-bit để đánh số Cluster. Mặc dù đã cũ, nó vẫn được dùng rất phổ biến trên USB, thẻ nhớ máy ảnh và các thiết bị IoT vì tính tương thích cao với mọi hệ điều hành.

2.1 Kiến trúc cốt lõi của FAT32

Một phân vùng FAT32 được chia làm 3 vùng chính:

Reserved Region (Vùng lưu trữ): Chứa Boot Sector (Sector 0) lưu các tham số cấu hình BIOS (BPB) và FSInfo (Sector 1) lưu số lượng Cluster còn trống.
FAT Region (Vùng bảng FAT): Cuốn “mục lục” khổng lồ của ổ đĩa. Nó chứa Bảng cấp phát tệp (thường có FAT1 và bản dự phòng FAT2) ghi lại tệp nào nằm ở Cluster nào và Cluster tiếp theo là gì.
Data Region (Vùng dữ liệu): Nơi chứa nội dung thực sự của các tệp và Thư mục gốc.

Cơ chế nối xích (Cluster Chain): Khi bạn lưu một file nặng 10KB vào đĩa có Cluster 4KB, file sẽ bị cắt làm 3 phần. Bảng FAT sẽ ghi lại mối liên kết: “Cluster A trỏ tới B”, “Cluster B trỏ tới C”, và “Cluster C là kết thúc (EOF)”.

2.2 Những giới hạn “huyền thoại” và Dấu vết Forensics

Điểm yếu chí mạng của FAT32 là nó chỉ hỗ trợ kích thước file tối đa 4GB và Windows mặc định chỉ cho tạo phân vùng tối đa 32GB. Ngoài ra, nó không hỗ trợ tính năng phân quyền bảo mật (như NTFS), ai cắm USB vào cũng có thể đọc được file.

Góc nhìn Forensics: Khi một tệp bị xóa trên FAT32, hệ thống không hề xóa dữ liệu thực sự. Nó chỉ đổi ký tự đầu tiên của tên tệp thành mã Hex 0xE5 để báo hiệu rằng vùng nhớ đó đã “được giải phóng”. Bằng các công cụ chuyên dụng (như Autopsy), SOC Analyst hoàn toàn có thể khôi phục lại (Carving) các tệp tin mã độc đã bị hacker vội vàng xóa đi.

3. NTFS: Kẻ kế thừa mạnh mẽ và phức tạp

Để đáp ứng nhu cầu bảo mật và lưu trữ khổng lồ, Windows hiện đại chuyển sang dùng NTFS (New Technology File System). NTFS vượt qua giới hạn 4GB, hỗ trợ phân quyền truy cập (ACLs), nén file và đặc biệt là khả năng tự phục hồi nhờ tính năng Nhật ký (Journaling).

Cấu trúc NTFS bao gồm: Boot Sector, MFT (Master File Table), MFT Mirror (bản sao dự phòng), và Vùng dữ liệu (Data Area).

3.1 “Trái tim” MFT (Master File Table)

MFT là một tệp đặc biệt có tên $MFT. Trong NTFS, mọi thứ đều là một tệp, kể cả chính hệ thống tệp! Mỗi tệp, thư mục trên ổ đĩa đều có một bản ghi (Record) tương ứng bên trong MFT.

Bản ghi MFT chứa siêu dữ liệu cực kỳ chi tiết: Tên tệp, quyền truy cập, dấu thời gian (MACB - Modified, Accessed, Created, Birth), và con trỏ trỏ đến vị trí Cluster chứa dữ liệu thực sự. Nếu một tệp có kích thước cực nhỏ, nội dung của nó thậm chí được lưu trực tiếp ngay bên trong bản ghi MFT (Resident Data)!

3.2 “Camera an ninh” Journaling ($LogFile và $USNJrnl)

Đây là “mỏ vàng” cho Blue Team khi điều tra dấu vết mã độc:

$LogFile: Ghi lại mọi thay đổi siêu dữ liệu (tạo, xóa, sửa tệp) trước khi chúng được ghi xuống đĩa, giúp hệ thống khôi phục tính nhất quán nếu bị sập nguồn.
$USNJrnl (Update Sequence Number Journal): Nằm trong thư mục $Extend, nó cung cấp bản ghi lịch sử mọi hoạt động của tệp tin. Nếu mã độc tạo một file rồi xóa ngay lập tức để phi tang, $USNJrnl (cụ thể là luồng dữ liệu $J) vẫn lưu lại mã sự kiện USN_REASON_FILE_CREATE và USN_REASON_FILE_DELETE.

4. Alternate Data Streams (ADS) - Kỹ thuật ẩn mình của Mã độc

Cuối cùng, chúng ta sẽ đề cập đến góc khuất nguy hiểm nhất của NTFS: Alternate Data Streams (ADS).

Theo thiết kế ban đầu, ADS là một tính năng ẩn giúp một tệp tin NTFS có thể chứa nhiều luồng dữ liệu (streams) khác nhau. Luồng chính chứa nội dung mà chúng ta nhìn thấy, trong khi luồng phụ chứa các siêu dữ liệu. Điển hình nhất, Windows dùng luồng Zone.Identifier để đánh dấu các tệp được tải về từ Internet nhằm hiển thị cảnh báo bảo mật.

Kỹ thuật giấu mã độc (Hide Payload): Hacker nhận ra rằng luồng phụ của ADS có thể chứa một lượng dữ liệu bất kỳ mà dung lượng file hiển thị bên ngoài trong File Explorer không hề thay đổi. Chúng có thể đính kèm một mã độc nặng hàng chục Megabyte vào đằng sau một tệp .txt vô hại nặng vài Kilobyte!

4.1 Thực hành tạo và phát hiện ADS

Bạn có thể tự tay tạo một luồng ADS bằng lệnh Command Prompt rất đơn giản:

:: Nhét dòng chữ "hiden" vào luồng phụ mang tên "hiden" đằng sau tệp hiddendata.txt
notepad hiddendata.txt:hiden

:: Nhét toàn bộ nội dung của tệp hinhconmeo.jpg vào luồng ADS của file hiddendata.txt
type hinhconmeo.jpg > hiddendata.txt:hinhmeo.jpg

Để phát hiện mã độc đang lẩn trốn trong ADS, lệnh dir thông thường sẽ hoàn toàn vô dụng. Bạn bắt buộc phải thêm tham số /r:

:: Kiểm tra các tệp có chứa luồng dữ liệu ẩn (ADS)
dir /r

Khi chạy lệnh này, bạn sẽ thấy kết quả hiển thị dạng <Tên_tệp>:<Tên_luồng>:$DATA (ví dụ: hiddendata.txt:hiden:$DATA), bóc trần hoàn toàn vị trí ẩn náu của tệp tin độc hại.

Tóm lại, hiểu thấu bề mặt cấu trúc File System không chỉ giúp chúng ta biết máy tính lưu trữ dữ liệu ra sao, mà còn cung cấp bộ công cụ tối thượng để săn lùng các đoạn mã độc cố tình bị xóa hoặc bị che giấu tinh vi. Trong bài viết tiếp theo, chúng sẽ chuyển hướng sang một khu vực nhạy cảm không kém: Giải phẫu “Bộ não” cấu hình Windows Registry và các điểm neo duy trì sự hiện diện của Malware. Các bạn nhớ đón đọc nhé!

User Mode, Kernel Mode

Thu, 07 May 2026 21:30:00 +0700

Ở hai bài viết trước, chúng ta đã cùng nhau chứng kiến cách máy tính thức giấc và giải phẫu bề mặt vật lý của ổ cứng. Bây giờ, hệ điều hành đã được nạp thành công lên RAM. Nhưng làm sao Windows có thể quản lý hàng trăm phần mềm chạy cùng lúc mà không để chúng “dẫm chân” lên nhau hay làm sập toàn bộ hệ thống?

1. Ranh giới sinh tử: User Mode và Kernel Mode

Để bảo vệ cốt lõi của mình, Windows chia không gian bộ nhớ và quyền thực thi lệnh thành hai thế giới song song và hoàn toàn cách biệt: User Mode (Chế độ người dùng) và Kernel Mode (Chế độ hạt nhân).

1.1 Kernel Mode - Vùng đất của những “Vị thần”

Kernel Mode nắm giữ “thượng phương bảo kiếm” của hệ thống.

Quyền hạn: Có toàn quyền kiểm soát CPU, RAM và mọi thiết bị ngoại vi. Nó làm nhiệm vụ phân chia thời gian CPU cho các ứng dụng, quản lý bộ nhớ và điều khiển phần cứng qua các driver.
Không gian bộ nhớ: Tất cả các thành phần chạy trong Kernel Mode dùng chung một vùng nhớ hệ thống duy nhất.
Mức độ an toàn (Sự trả giá): Vì dùng chung bộ nhớ và có quyền cao nhất, nếu bất kỳ một đoạn mã nào ở đây (như Kernel ntoskrnl.exe hay một Driver card đồ họa) bị lỗi, hệ điều hành không thể tự phục hồi. Kết quả? Toàn bộ hệ thống sẽ sập, dẫn đến lỗi Màn hình xanh chết chóc (BSoD) huyền thoại.

1.2 User Mode - Khu cách ly an toàn

Ngược lại, User Mode là nơi cung cấp môi trường cho chúng ta làm việc, chạy giao diện và xử lý logic ứng dụng. Hầu hết mọi thứ bạn mở (Chrome, Word, các dịch vụ chạy nền) đều nằm ở đây.

Quyền hạn: Cực kỳ hạn chế. Ứng dụng ở User Mode không được phép trực tiếp chạm vào phần cứng hay bộ nhớ dùng chung.
Không gian bộ nhớ: Mỗi tiến trình được cấp một vùng bộ nhớ ảo biệt lập. Chrome không thể tự tiện đọc bộ nhớ của Word.
Mức độ an toàn: Rất cao. Nếu một ứng dụng User Mode bị lỗi (Crash), chỉ ứng dụng đó bị đóng lại, Windows vẫn sống khỏe.

Câu hỏi thực chiến: Nếu User Mode không được chạm vào phần cứng, làm sao Chrome có thể vẽ đồ họa lên màn hình hay lưu file xuống ổ cứng? Trả lời: Ứng dụng phải “nhờ vả” Kernel thông qua một cánh cổng gọi là API (System Calls). Kernel sẽ tiếp nhận yêu cầu, kiểm tra tính hợp lệ, thay mặt ứng dụng thực thi trên CPU/phần cứng, rồi trả kết quả về.

2. Giám sát ranh giới bằng Task Manager

Là một người làm bảo mật, bạn hoàn toàn có thể theo dõi xem CPU đang dồn sức cho thế giới nào bằng công cụ Task Manager có sẵn của Windows. Bạn hãy mở Task Manager -> tab Performance -> Nhấp chuột phải vào biểu đồ CPU và chọn Show kernel times.

Lúc này trên biểu đồ sẽ xuất hiện hai thành phần:

Đường nét đứt (Kernel Mode): Cho thấy CPU đang tốn bao nhiêu % công suất để xử lý các việc “hậu cần” của hệ điều hành (quản lý bộ nhớ, điều khiển driver, xử lý ngắt…).
Khoảng trống giữa nét đứt và đỉnh biểu đồ (User Mode): Đại diện cho mức tiêu thụ của các ứng dụng đang mở.

SOC Lưu ý: Nếu máy tính không mở phần mềm nào nặng, nhưng đường nét đứt (Kernel Mode) lại tăng vọt bất thường, rất có thể một Driver rác hoặc một Rootkit (mã độc mức Kernel) đang âm thầm hoạt động.

3. Giải phẫu hệ sinh thái Tiến trình cốt lõi

Sau khi Kernel (ntoskrnl.exe) yên vị trên RAM, tiến trình System (PID 4) sẽ tạo ra tiến trình User-mode đầu tiên: smss.exe (Session Manager Subsystem). Đây chính là “ông tổ” của mọi tiến trình sau này.

Nhiệm vụ của smss.exe là thiết lập bộ nhớ ảo, biến môi trường và đặc biệt là chia phòng (tạo Session). Windows chia làm 2 Session chính:

Session 0: Khu vực cấm địa, cách ly hoàn toàn giao diện, chỉ dành cho các dịch vụ hệ thống ngầm.
Session 1 (hoặc các số lớn hơn): Dành cho người dùng đăng nhập và tương tác.

3.1 Trong cõi Session 0 (Hệ thống)

Tại đây, smss.exe gọi ra hai cận vệ trung thành:

csrss.exe (Client/Server Runtime Subsystem): Xử lý các tác vụ nền cho Session 0.
wininit.exe (Windows Initialize): Kẻ khởi tạo dịch vụ hệ thống. Từ wininit.exe, một loạt các tiến trình trọng yếu khác ra đời:
- services.exe: Quản lý toàn bộ các dịch vụ (Services) của Windows. Nó khởi chạy hàng loạt các dịch vụ được bọc trong vỏ bọc svchost.exe (Service Host) để thực thi các DLL hệ thống.
- lsass.exe (Local Security Authority Subsystem Service): Người gác đền tối cao, chịu trách nhiệm xác thực và quản lý bảo mật.

3.2 Trong cõi Session người dùng (Session 1+)

Khi bạn chuẩn bị đăng nhập, smss.exe tạo ra:

Một bản sao csrss.exe mới: Để quản lý giao diện console cho người dùng.
winlogon.exe: Tiến trình vẽ lên màn hình đăng nhập yêu cầu bạn nhập mật khẩu.

Quy trình Xác thực (Authentication Flow): Khi bạn gõ mật khẩu, winlogon.exe không tự kiểm tra. Nó gói thông tin đó gửi thẳng xuống cho “người gác đền” lsass.exe ở Session 0. lsass.exe sẽ đối chiếu mật khẩu. Nếu đúng, lsass.exe gật đầu, tạo ra một Access Token (Thẻ bài quyền lực) và cấp quyền cho phiên đăng nhập của bạn.

4. SOC Analytics: “Bắt thóp” mã độc ngụy trang

Hacker biết rất rõ kiến trúc này. Chúng thừa hiểu nếu chạy một file tên là Trojan_steal_data.exe, các nhà phân tích SOC sẽ khóa cổ chúng ngay lập tức. Vì vậy, chúng thường đổi tên mã độc thành svchost.exe, lsass.exe hay csrss.exe.

Vậy làm sao để SOC Analyst nhận diện được kẻ giả mạo? Chúng ta dựa vào Mối quan hệ Cha - Con (Parent-Child Process) và Vị trí file.

Quy luật 1: lsass.exe xịn chỉ có một bản duy nhất đang chạy, vị trí file bắt buộc phải ở C:\Windows\System32\, và tiến trình cha bắt buộc phải là wininit.exe. Nếu bạn thấy lsass.exe mọc ra từ explorer.exe (nghĩa là do người dùng click chuột mở lên) hoặc nằm ở thư mục C:\Temp\, đó 100% là Malware.
Quy luật 2: svchost.exe có thể có hàng chục bản đang chạy (để chứa các dịch vụ khác nhau). Nhưng tất cả chúng đều phải có tiến trình cha là services.exe. Mã độc thường sinh ra svchost.exe độc lập để đánh lừa mắt người.

Mục tiêu số 1 - lsass.exe: Vì tiến trình này làm nhiệm vụ đối chiếu và lưu trữ thông tin đăng nhập, nó giữ rất nhiều mật khẩu (đôi khi là mật khẩu chưa mã hóa) trong RAM của nó. Các công cụ tấn công khét tiếng như Mimikatz luôn tìm cách can thiệp vào bộ nhớ của lsass.exe để trích xuất (dump) mật khẩu của quản trị viên.

Kiến trúc tiến trình của Windows là một cỗ máy vận hành hoàn hảo với ranh giới quyền lực khắt khe. Việc hiểu rõ ai gọi ai, ai làm nhiệm vụ gì là kỹ năng sống còn giúp SOC Analyst nhạy bén trước các kỹ thuật ẩn mình (Evasion) của Malware. Trong bài viết tiếp theo, chúng ta sẽ rời khỏi RAM để đi sâu vào các ngóc ngách của ổ cứng: Khám phá hệ thống tệp NTFS và kỹ thuật giấu mã độc bằng Alternate Data Streams. Đừng bỏ lỡ nhé!

Khởi nguồn hệ thống - Windows Booting

Thu, 07 May 2026 16:30:00 +0700

Chào mừng các bạn đến với Series Giải phẫu Windows OS & SOC Analytics. Ở bài viết đầu tiên này mình sẽ giúp các bạn hiểu về quá trình khởi tạo của Windows.

1. Giai đoạn Phần cứng: Tiếng gọi đầu tiên (Pre-boot)

Bước đầu tiên của quá trình khởi động bắt đầu bằng việc nhấn nút nguồn, thao tác này sẽ gửi tín hiệu điện đến bo mạch chủ và khởi tạo tất cả các thành phần. CPU là thành phần đầu tiên nhận tín hiệu điện và cần một số chỉ dẫn để tiếp tục. Lúc này, quá trình kiểm tra phần cứng POST (Power on Self-Test) sẽ diễn ra để xem RAM, CPU, bàn phím có hoạt động không.

Để có chỉ dẫn, CPU sẽ tìm đến một phần mềm nhúng trên bo mạch chủ (được gọi chung là Firmware). Trong lịch sử thiết kế hệ thống, có hai chuẩn Firmware khởi động chính và sự khác biệt giữa chúng là điểm mấu chốt trong điều tra số:

Legacy BIOS (Hệ thống đầu vào/đầu ra cơ bản): Chuẩn Firmware cũ kỹ hoạt động ở chế độ 16-bit và chỉ hỗ trợ dung lượng ổ đĩa tối đa 2 terabyte. Legacy BIOS đi liền với lược đồ phân vùng MBR (Master Boot Record).
UEFI (Giao diện phần mềm mở rộng thống nhất): Chuẩn Firmware thế hệ mới, hiện đại chạy ở chế độ 32-bit/64-bit, hỗ trợ dung lượng lên đến 9 zettabyte và mang theo tính năng Khởi động an toàn (Secure Boot). UEFI sử dụng sơ đồ phân vùng GPT (GUID Partition Table).

(Lưu ý: Dân IT chúng ta vẫn hay quen miệng gọi chung là “vào màn hình BIOS để cài đặt”, nhưng thực chất trên các máy tính từ năm 2012 trở lại đây, cái mà chúng ta đang truy cập chính là giao diện của UEFI. Trong UEFI có một chế độ gọi là Legacy Mode dùng để giả lập lại môi trường BIOS cũ nhằm hỗ trợ cài các hệ điều hành đời cổ).

2. Giai đoạn Tìm kiếm “Sự Sống”: MBR và GPT

Sau khi kiểm tra POST, BIOS/UEFI sẽ quét các thiết bị khởi động (SSD, HDD, USB) để tìm kiếm mã khởi động (có thể hiểu là đi tìm điểm bắt đầu, và tất nhiên các thiết bị lưu trữ sẽ được ưu tiên hàng đầu).

2.1. BIOS đi tìm MBR (Master Boot Record)

Trên hệ thống BIOS, sector đầu tiên của đĩa (kích thước chuẩn 512 byte) sẽ chứa MBR. Cấu trúc của MBR cực kỳ chật chội:

Bootstrap code (446 bytes): Bộ nạp khởi động ban đầu. Mục đích chính của nó là tìm phân vùng có thể khởi động từ bảng phân vùng và tải bộ nạp khởi động thứ hai từ đó.
Partition Table (64 bytes): Bảng phân vùng chứa thông tin chi tiết của tất cả phân vùng (tối đa 4 phân vùng Primary).
MBR Signature (2 bytes): Chữ ký đánh dấu điểm kết thúc của mã MBR, luôn luôn là giá trị Hex 55 AA.

Note: Vì mã khởi động nằm ngay trong 446 bytes này, Malware (như Bootkit) cực kỳ thích ghi đè vào đây. Bằng cách này, mã độc sẽ sống sót ngay cả khi người dùng format phân vùng hệ điều hành C: vì nó nằm hoàn toàn ngoài vùng kiểm soát của OS.

2.2. Sự tiến hóa: GPT và Protective MBR

UEFI thông minh hơn. Nó không tìm mã khởi động ở sector đầu tiên mà tìm đến một phân vùng đặc biệt gọi là Phân vùng hệ thống EFI (ESP). Trong GPT, bộ nạp khởi động bao gồm nhiều tệp có phần mở rộng .efi và tất cả chúng đều được lưu trữ trong ESP này.

Tuy nhiên, để bảo vệ đĩa GPT khỏi bị các hệ thống BIOS cũ tưởng nhầm là đĩa trắng và ghi đè, GPT tạo ra một lớp giáp gọi là Protective MBR nằm ở ngay sector 0. Protective MBR này chỉ khai báo đúng một phân vùng duy nhất trỏ đến ESP với cờ định dạng là EE (báo hiệu đây là đĩa GPT), để firmware BIOS không can thiệp vào.

3. Giai đoạn Nạp nhân (Windows OS Loader)

Sau khi phân vùng khởi động được xác định, quyền điều khiển được chuyển sang Windows Boot Manager (file bootmgr). Nó sẽ đọc file dữ liệu cấu hình khởi động (BCD - Boot Configuration Data) để quyết định sẽ nạp hệ điều hành nào.

Tiếp theo, logo Windows bắt đầu hiện lên trên màn hình. Đây là lúc file nạp hệ điều hành (Winload.exe hoặc winload.efi) ra sân để nạp các thành phần cốt lõi nhất vào RAM:

ntoskrnl.exe: Trái tim thực sự của hệ thống - Nhân (Kernel) của Windows.
Hal.dll: Lớp trừu tượng phần cứng, có nhiệm vụ “phiên dịch” để Kernel có thể ra lệnh được cho các linh kiện phần cứng vật lý.
System Registry Hive: Nạp các thiết lập cấu hình tối quan trọng của hệ thống từ Registry.
Boot-start Drivers: Các driver tối quan trọng để có thể tiếp tục đọc ổ đĩa.

4. Giai đoạn Khởi tạo hệ thống: Ranh giới và Các tiến trình đầu tiên

Khi Kernel (ntoskrnl.exe) đã nằm vững chãi trên RAM, nó bắt đầu thiết lập trật tự cho hệ thống. Đây là lúc sự phân chia hai cõi Kernel Mode (toàn quyền) và User Mode (hạn chế) được xác lập.

Sau khi kernel khởi động xong, tiến trình System (PID 4) sẽ tạo ra tiến trình User Mode đầu tiên của hệ thống: smss.exe (Session Manager Subsystem).

smss.exe là “ông tổ” của toàn bộ các phiên làm việc trên Windows. Nhiệm vụ của nó là tạo ra các biến môi trường, thiết lập bộ nhớ ảo và bắt đầu chia phòng (Session).

Tạo Session 0: Khu vực cấm địa chỉ dành riêng cho các dịch vụ hệ thống ngầm.
Tạo Session cho người dùng: Môi trường hiển thị giao diện cho chúng ta làm việc.

4.1. Sự hình thành các cây tiến trình (Process Tree)

Cách smss.exe sinh con:

Trong Session 0 (Hệ thống): smss.exe gọi ra wininit.exe (khởi tạo dịch vụ hệ thống) và csrss.exe (runtime subsystem cho session 0).

wininit.exe sau đó tiếp tục tạo ra hai mảnh ghép quan trọng:

services.exe: Trình quản lý dịch vụ. Nó sẽ khởi chạy hàng loạt các dịch vụ hệ thống, phần lớn được bọc bên trong các tiến trình svchost.exe.
lsass.exe (Local Security Authority Subsystem Service): Người gác đền quản lý bảo mật và xác thực thông tin đăng nhập.

Trong Session người dùng: smss.exe gọi ra một phiên bản csrss.exe khác (để xử lý console giao diện) và winlogon.exe (hiển thị màn hình đăng nhập quen thuộc).

Khi bạn nhập mật khẩu trên màn hình của winlogon.exe, nó sẽ gửi thông tin đến lsass.exe để đối chiếu. Nếu mật khẩu đúng, lsass.exe sẽ gật đầu và tạo ra một “thẻ bài” (Access Token) cấp quyền cho phiên làm việc của bạn.

Góc nhìn SOC: Hacker hiểu rõ thứ tự này. Nếu bạn thấy một tiến trình lsass.exe hoặc svchost.exe nằm “chơi vơi” mà không có tiến trình cha hợp lệ (như wininit.exe hay services.exe), hoặc file thực thi không nằm trong C:\Windows\System32\, thì 99% đó là phần mềm độc hại đang “đội lốt” tiến trình hệ thống. Ngoài ra, tiến trình lsass.exe nắm giữ mật khẩu của hệ thống, nên nó thường xuyên là mục tiêu để các công cụ như Mimikatz “dump” bộ nhớ hòng đánh cắp thông tin xác thực.

Kết thúc Bài 1, chúng ta đã nắm được cách một cỗ máy tính thức giấc và xây dựng cấu trúc tiến trình chặt chẽ của nó. Ở bài tiếp theo, chúng ta sẽ bắt tay vào phân tích chuyên sâu về hệ thống tệp và cấu trúc thư mục đĩa đệm. Hãy đón chờ nhé!