Null-sessies

Soms kan een oproep die binnenkomt op de null-sessie, worden weergegeven als een geverifieerde aanroep. Het aanroepen van de RpcBindingInqAuthClient functie retourneert het verificatieniveau en de beveiligingsprovider die wordt gebruikt voor de aanroep. Deze bewerking betekent niet dat de aanroep niet is uitgevoerd op een null-sessie. De twee problemen zijn orthogonaal. In Microsoft Windows 2000 kan een aanroep van een externe procedure proberen een beller te imiteren en de machtigingen na imitatie te controleren. In Microsoft Windows XP is het sneller om de RpcServerInqCallAttributes functie aan te roepen en te controleren op de vlag NullSession.

Een ander relevant verschil bestaat tussen Windows 2000 en Windows XP. Als alleen de RPC_IF_ALLOW_SECURE_ONLY vlag is opgegeven, worden aanroepen voor de null-sessie uitgevoerd in Windows 2000. In Windows XP, met de algemene verscherping van de standaardbeveiligingsinstellingen, wanneer deze vlag is opgegeven, worden aanroepen van de null-sessie geweigerd met toegang geweigerd. Zelfs met de vlag RPC_IF_ALLOW_SECURE_ONLY garandeert RPC echter niet het bevoegdheidsniveau van de aanroepende gebruiker. Alle RPC-controles zijn dat de gebruiker geldige referenties heeft. Het is mogelijk dat de aanroepende gebruiker het gastaccount of andere accounts met beperkte bevoegdheden gebruikt. Zorg ervoor dat de server niet van hoge bevoegdheden uitgaat zodra RPC_IF_ALLOW_SECURE_ONLY wordt gebruikt.