六、登录到域的过程

　　登录到域的验证过程，对于不同的验证协议也有不同的验证方法。如果域控制器是windows nt 4.0，那么使用的是ntlm验证协议，其验证过程和前面的“登录到本机的过程”差不多，区别就在于验证账号的工作不是在本地sam数据库中进行，而是在域控制器中进行；而对于windows 2000和windows 2003域控制器来说，使用的一般为更安全可靠的kerberos v5协议。通过这种协议登录到域，要向域控制器证明自己的域账号有效，用户需先 申请 允许请求该域的tgs（ticket-granting service——票据授予服务）。获准之后，用户就会为所要登录的计算机申请一个会话票据，最后还需申请允许进入那台计算机的本地系统服务。

　　其过程如下：

　　1. 用户首先按ctrl+alt+del组合键。

　　2. winlogon检测到用户按下sas键，就调用gina，由gina显示登录对话框，以便用户输入账号和密码。

　　3. 用户选择所要登录的域和填写账号与密码，确定后，gina将用户输入的信息发送给lsa进行验证。

　　4. 在用户登录到本机的情况下，lsa将请求发送给kerberos验证程序包。通过散列算法，根据用户信息生成一个密钥，并将密钥存储在证书缓存区中。

　　5. kerberos验证程序向kdc（key distribution center——密钥分配中心）发送一个包含用户身份信息和验证预处理数据的验证服务请求，其中包含用户证书和散列算法加密时间的标记。

　　6. kdc接收到数据后，利用自己的密钥对请求中的时间标记进行解密，通过解密的时间标记是否正确，就可以判断用户是否有效。

　　7. 如果用户有效，kdc将向用户发送一个tgt（ticket-granting ticket——票据授予票据）。该tgt（as_rep）将用户的密钥进行解密，其中包含会话密钥、该会话密钥指向的用户名称、该票据的最大生命期以及其他一些可能需要的数据和设置等。用户所申请的票据在kdc的密钥中被加密，并附着在as_rep中。在tgt的授权数据部分包含用户账号的sid以及该用户所属的全局组和通用组的sid。注意，返回到lsa的sid包含用户的访问令牌。票据的最大生命期是由域策略决定的。如果票据在活动的会话中超过期限，用户就必须申请新的票据。

　　8. 当用户试图访问资源时，客户系统使用tgt从域控制器上的kerberos tgs请求服务票据（tgs_req)。然后tgs将服务票据（tgs_rep）发送给客户。该服务票据是使用服务器的密钥进行加密的。同时，sid被kerberos服务从tgt复制到所有的kerberos服务包含的子序列服务票据中。

　　9. 客户将票据直接提交到需要访问的 网络 服务上，通过服务票据就能证明用户的标识和针对该服务的权限，以及服务对应用户的标识。

　　七、我要偷懒——设置自动登录

　　为了安全起见，平时我们进入windows xp时，都要输入账号和密码。而一般我们都是使用一个固定的账号登录的。面对每次烦琐的输入密码，有的朋友干脆设置为空密码或者类似“123”等弱口令，而这些账号也多数为 管理 员账号。殊不知黑客用一般的扫描工具，很容易就能扫描到一段ip段中所有弱口令的计算机。

　　所以，还是建议大家要把密码尽量设置得复杂些。如果怕麻烦，可以设置自动登录，不过自动登录也是很不安全的。因为自动登录意味着能直接接触计算机的人都能进入系统；另一方面，账号和密码是明文保存在注册表中的，所以任何人，只要具有访问注册表的权限，都可以通过网络查看。因此如果要设置登录，最好不要设置为管理员账号，可以设置为users组的用户账号。设置自动登录的方法是：运行“control userpasswords2”，在“用户账户”窗口中取消“要使用本机，用户必须输入用户名和密码”选项，确定后会出现一个对话框，输入要自动登录的账号和密码即可。注意，这里不对密码进行验证，用户要确保密码和账号的正确性。