Null-sessioner

Ibland kan ett samtal som anländer till null-sessionen visas som ett autentiserat anrop. Mer specifikt returnerar funktionen RpcBindingInqAuthClient den autentiseringsnivå och säkerhetsprovider som används för anropet. Den här åtgärden innebär inte att anropet inte var på en null-session. De två problemen är ortoggonala. I Microsoft Windows 2000 kan ett fjärrproceduranrop försöka personifiera en anropare och kontrollera behörigheterna efter personifiering. I Microsoft Windows XP går det snabbare att anropa funktionen RpcServerInqCallAttributes och söka efter flaggan NullSession.

En annan relevant skillnad finns mellan Windows 2000 och Windows XP. Om endast flaggan RPC_IF_ALLOW_SECURE_ONLY anges går anrop på null-sessionen igenom i Windows 2000. I Windows XP, med den allmänna skärpningen av standardsäkerhetsinställningarna, när den här flaggan har angetts, avvisas anrop på null-sessionen med nekad åtkomst. Men även med flaggan RPC_IF_ALLOW_SECURE_ONLY garanterar RPC inte behörighetsnivån för den anropande användaren. Alla RPC-kontroller är att användaren har giltiga autentiseringsuppgifter. Det är möjligt att den anropande användaren använder gästkontot eller andra lågprivilegierade konton. Kontrollera att servern inte har hög behörighet när RPC_IF_ALLOW_SECURE_ONLY används.