Изоляция сеанса 0 в Remote Desktop
В Windows Server 2003, Windows ХР и ранних версиях Windows консольный сеанс назывался сеансом 0 (Session 0). В дополнение к тому, что это был сеанс интерактивного входа в систему, сеанс 0 был также сеансом, в котором запускались все службы. К сожалению, запуск служб в рамках одного сеанса, который также занимается интерактивным входом, представляет собой потенциально уязвимое направление для атак. Службы запускаются с повышенными привилегиями. Из-за этого службы сеанса 0 были целью для агентов злоумышленников, пытавшихся получить повышенный уровень прав.
В Microsoft устранили эту угрозу в версиях Windows Vista и Windows Server 2008 (позаботившись также о Windows 7 и Windows Server 2008 R2), сделав сеанс 0 не интерактивным. Теперь, когда пользователь входит в интерактивный сеанс, он получает сеанс 1 (Session 1), следующий параллельный пользователь получает сеанс 2 (Session 2), и т.д. Результатом этого изменения стал ряд последствий, касающихся того, как Remote Desktop for Administration работает в Windows 7 и Windows Server 2008 R2. Ниже перечислены эти последствия.
- Отсутствует переключатель /console. Этот переключатель не работает при соединении с сеансом Windows 7 или Windows Server 2008 R2.
- Только два сеанса удаленных рабочих столов могут подключаться одновременно. В Windows Server 2003 допускалось два сеанса удаленных рабочих столов и один сеанс удаленной консоли в каждый данный момент времени. С изменением сеанса 0 в Windows 7 и Windows Server 2008 R2 теперь разрешено максимум два параллельных сеанса удаленных рабочих столов.
- Взаимодействие с сеансом 0 через пользовательский интерфейс. Что если служба представляет пользовательский интерфейс для взаимодействия с ним? Поскольку сеанс 0 отныне не интерактивен, Windows 7 и Windows Server 2008 R2 позволяют пользователю взаимодействовать с интерфейсом сеанса 0 через специальный рабочий стол.
- Диалоговое окно отсоединенного сеанса. В новом клиенте соединения удаленных рабочих столов есть вероятность попытки подключения к терминальному серверу, на котором уже открыто слишком много сеансов. В Windows Server 2003 клиент просто получает сообщение: "The Terminal Server has exceeded the maximum number of connections" (Превышено максимальное число соединений с терминальным сервером). Теперь, когда открыто слишком много параллельных соединений, клиент получает диалоговое окно с выбором, позволяющим администратору отключить какой-то из существующих сеансов.
- По умолчанию пользователь ограничен только одним сеансом. По умолчанию в службе удаленных рабочих столов Windows Server 2008 R2 все пользователи ограничены одним интерактивным сеансом. Эта установка может быть изменена через консоль управления или групповую политику.