我有一个应用程序需要在以管理员身份运行时注册控件，我希望应用程序在不再需要提升的权限时放弃这些权限。我读到这可以通过 AdjustTokenPrivileges ( Dropping privileges in C++ on Windows ) 完成，但我没有找到任何示例代码可以让我从 SECURITY_MANDATORY_HIGH_RID 转到 SECURITY_MANDATORY_MEDIUM_RID。我的代码是使用 Visual Studio 编写的 C++。

最佳答案

如果你愿意

sample code that will allow me to go from SECURITY_MANDATORY_HIGH_RID to SECURITY_MANDATORY_MEDIUM_RID.

您需要使用 TOKEN_ADJUST_DEFAULT(用于更改完整性级别 - 这是强制性的)和 WRITE_OWNER(用于更改 token 安全描述符中的强制性标签 - 否则您无法通过更多的写访问权限打开自己的 token - 但这是可选的)

调用SetTokenInformation与 TokenIntegrityLevel让当前的完整性级别降级。在此之后它已经无法提升。

当我们将完整性级别设置为低于 SECURITY_MANDATORY_HIGH_RID 时，系统内部也会禁用 token 中的某些权限。我怀疑这是否已记录在案，但根据我的测试，下一个权限已被禁用并且无法再启用:

SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege

但您仍然是管理员组的成员(S-1-5-32-544 Administrators)并且此组不能被 AdjustTokenGroups 禁用因为函数无法禁用具有 SE_GROUP_MANDATORY 属性的组 - 但 S-1-5-32-544 具有此属性。并且更改主进程 token 也是不可能的(如果我们有 SeAssignPrimaryTokenPrivilege ，则只有在进程创建之后(处于暂停状态)并且在它开始执行(恢复)之前才有可能)

所以在将完整性级别降级到中之后，您的应用程序实际上将处于中间状态 - 从一方面您失去了最重要的特权，但访问对象(文件，注册表项)主要不是基于特权但组成员资格和强制性标签 - 与完整性级别相比。因为 Administrators 组仍将在您的 token 中启用，并且大多数对象没有明确的强制标签(默认情况下为中等)-您的应用程序仍然能够打开/创建限制应用程序的文件/ key (在 uac 下为管理员) ) 不能。但是，如果您将完整性级别降级到 SECURITY_MANDATORY_LOW_RID - 您的应用程序确实有限，但大多数遗留代码在低级别完整性下不正确

降级完整性级别的最少代码:

ULONG SetMediumLevel()
{
    HANDLE hToken;

    if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_DEFAULT, &hToken))
    {
        ULONG cbSid = GetSidLengthRequired(1);

        TOKEN_MANDATORY_LABEL tml = { { alloca(cbSid)} };

        ULONG dwError = NOERROR;

        if (!CreateWellKnownSid(WinMediumLabelSid, 0, tml.Label.Sid, &cbSid) ||
            !SetTokenInformation(hToken, TokenIntegrityLevel, &tml, sizeof(tml)))
        {
            dwError = GetLastError();
        }

        CloseHandle(hToken);

        return dwError;
    }

    return GetLastError();
}

但这里存在薄弱点—— token 本身具有带有显式标签的安全描述符。和高完整性进程具有 High Mandatory Label 和 SYSTEM_MANDATORY_LABEL_NO_WRITE_UP 访问策略。这意味着我们不能再打开具有写入访问权限的进程 token (TOKEN_ADJUST_* )(具有读取访问权限的可以)。如果应用程序在某个地方尝试使用此访问权限打开自进程 token ，这可能会产生问题(一些糟糕的设计代码可以在需要查询自己的进程 token 属性时而不是 TOKEN_QUERY 访问询问 TOKEN_ALL_ACCESS 和在这一点上失败了)。为了防止这个潜在的问题，我们可以在降低完整性之前更改 token 安全描述符的强制标签:

ULONG SetMediumLevel()
{
    HANDLE hToken;

    if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_DEFAULT|WRITE_OWNER, &hToken))
    {
        ULONG cbSid = GetSidLengthRequired(1);

        TOKEN_MANDATORY_LABEL tml = { { alloca(cbSid)} };

        ULONG dwError = NOERROR;
        if (CreateWellKnownSid(WinMediumLabelSid, 0, tml.Label.Sid, &cbSid))
        {
            SECURITY_DESCRIPTOR sd;
            ULONG cbAcl = sizeof(ACL) + FIELD_OFFSET(SYSTEM_MANDATORY_LABEL_ACE, SidStart) + cbSid;
            PACL Sacl = (PACL)alloca(cbAcl);

            if (!InitializeAcl(Sacl, cbAcl, ACL_REVISION) ||
                !AddMandatoryAce(Sacl, ACL_REVISION, 0, SYSTEM_MANDATORY_LABEL_NO_WRITE_UP, tml.Label.Sid) ||
                !InitializeSecurityDescriptor(&sd, SECURITY_DESCRIPTOR_REVISION) ||
                !SetSecurityDescriptorSacl(&sd, TRUE, Sacl, FALSE) ||
                !SetKernelObjectSecurity(hToken, LABEL_SECURITY_INFORMATION, &sd) ||
                !SetTokenInformation(hToken, TokenIntegrityLevel, &tml, sizeof(tml)))
            {
                dwError = GetLastError();
            }
        }

        CloseHandle(hToken);

        return dwError;
    }

    return GetLastError();
}

关于c++ - 当我不再需要它们时如何放弃提升的特权，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/44633587/