# Khái niệm cơ bản

## ACL

Trong AD thì việc phân quyền thuộc nhiệm vụ của `ACL`

ACL chứa tập hợp các `ACE`, ACE có thể hiểu là các rule của ACL

ACL có 2 loại là:

* DACL: tập hợp những ACE có công dụng chỉ định object nào được phép hoặc không được phép truy cập vào tài nguyên
* SACL: cho phép admin log lại hành vi access

Ví dụ DACL:

<figure><img src="https://84143647-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOzRSs0yxBc5GafSMIql8%2Fuploads%2FveJ6Cj31jd8qBCg06qxC%2Fimage.png?alt=media&#x26;token=d6fd099d-531c-47ae-91ff-919637fb1940" alt=""><figcaption></figcaption></figure>

Ví dụ SACL:

<figure><img src="https://84143647-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOzRSs0yxBc5GafSMIql8%2Fuploads%2FZVLJbQNsm5tR4Mgehqpw%2Fimage.png?alt=media&#x26;token=3ca8d87c-7664-41b2-a1bb-74a7326f370c" alt=""><figcaption></figcaption></figure>

## ACE

Có 3 loại ACE như sau

| ACE                  | Description                    |
| -------------------- | ------------------------------ |
| `Access denied ACE`  | Dùng với DACL để denied access |
| `Access allowed ACE` | Dùng với DACL để aloow access  |
| `System audit ACE`   | Dùng với SACL để audit logs    |

Mỗi ACE được cấu thành từ 4 thành phần:

* SID của user/group access object
* Flag biểu thị type ACE
* Set các flag biểu thị việc kế thừa ACE cho các Object con
* Cuối cùng là [access mark.](https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-dtyp/7a53f60e-e730-4dfe-bbe9-b21b62eb790b?redirectedfrom=MSDN) Giá trị 32bit biểu thị quyền được granted cho object

Ví dụ:

<figure><img src="https://84143647-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOzRSs0yxBc5GafSMIql8%2Fuploads%2FMGUYEiIRfoVW4ClBBuQZ%2Fimage.png?alt=media&#x26;token=cb7a09ff-2b4a-4731-9281-e52efdb2cf2e" alt=""><figcaption></figcaption></figure>

1. Là security principal là Angela Dunn (<adunn@inlanefreight.local>)
2. ACE type là `Allow`
3. Option `This object and all descendant objects` nghĩa là tất cả object con của `forend` đều được granted quyền giống object này
4. Quyền được granted vào object

## Ví dụ abuse ACL

<figure><img src="https://84143647-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FOzRSs0yxBc5GafSMIql8%2Fuploads%2FAPUBPhCB3JwJqYavBM3v%2Fimage.png?alt=media&#x26;token=e6026798-0a1b-46ed-b10d-28c81a7133f4" alt=""><figcaption><p>Hình ăn cắp</p></figcaption></figure>
