windows - 使用适当的 PEB 和 ACL 从服务中创建 ProcessAsUser

Question

我已经阅读了大量有关此事的 SO 问题，但我没有找到以正确方式执行此操作的真正权威指南。

我的目标是枚举 [断开连接和事件] 用户控制台 session 并在每个 session 中启动一个进程。每个用户 session 进程在其 DACL 中至少需要这些权限:

Token access rights :

• TOKEN_QUERY(对于 GetTokenInformation())
• TOKEN_QUERY_SOURCE(对于 GetTokenInformation())

Process access rights :

• PROCESS_QUERY_INFORMATION(对于 OpenProcessToken())
• PROCESS_QUERY_INFORMATION | PROCESS_VM_READ(对于 GetModuleFileNameEx())
• PROCESS_VM_OPERATION(与 GetTokenInformation() 一起使用，稍后用 LookupAccountSid() 获取其他进程的用户名)

但正如您所见here (在底部):“Windows Vista 引入了 protected 进程以增强对数字权限管理的支持。系统限制对 protected 进程和 protected 进程的线程的访问。”
所以我想也许只有使用 PROCESS_QUERY_LIMITED_INFORMATION 我才能获得有关其他进程的一些信息。我试过 QueryFullProcessImageName()对于从 Vista 开始的提升进程(参见 Giori's answer )但它 doesn't work anymore as it seems .
解决方案:CreateProcessAs_LOCAL_SYSTEM 使用 Windows 服务的重复 token 。
问题: 生成的进程应设置相应的登录用户环境变量，以便能够定位网络打印机和映射驱动器等。但是，如果我使用该服务的 token ，我将继承它的 PEB，我什至无法将映射的驱动器转换为它们的 UNC 路径。

所以我开始寻找“提升”流程并绕过 UAC 提示的方法，我尝试过:

• 使用 AdjustTokenPrivileges() 在 token 中启用一些权限，例如 SE_DEBUG_PRIVILEGE (如果 token 没有这些权限则不起作用，可以先使用 LookUpPrivilegeValue() 进行验证)
• 使用来自 winlogon.exe. 的 token (不起作用)
• 更改 DACL ( source code)(无效)

我要执行的步骤是:

1. 使用 WTSEnumerateSessions() 枚举 session
2. 获取 token (二选一):
   • 系统 token :OpenProcessToken ( GetCurrentProcess() ,TokenAccessLevels.MaximumAllowed, out hProcessToken)
   • 用户 token :WTSQueryUserToken (sessionId, out hUserToken)
3. 使用 DuplicateTokenEx() 复制 token
4. LookUpPrivilegeValue()/AdjustTokenPrivileges() (没用？)
5. CreateEnvironmentBlock()
6. CreateProccessAsUser() ，标志:NORMAL_PRIORITY_CLASS |创建新控制台 | CREATE_UNICODE_ENVIRONMENT，启动信息的桌面:"WinSta0\Default"
7. 更改进程 DACL(见上面的链接，没用？)
8. 处置/清理:销毁创建的 PEB，关闭打开的句柄并释放内存。

我的问题:如何授予使用 CreateProccessAsUser() 创建的进程从在 LOCAL_SYSTEM 帐户下运行的 Windows 服务获得足够的特权/权利来获取有关其他进程(来自其他 session ；其他用户和不同完整性级别)的信息，而不会丢失用户的环境变量？

Answer 1

您对很多事情感到困惑。

Every user session process requires at least these rights in its DACL

进程 DACL 控制对该进程的访问，它不决定该进程具有什么访问权限。进程的安全 token 决定访问权限。

Windows Vista introduces protected processes to enhance support for Digital Rights Management.

很明显，您还没有深入到担心 protected 进程的程度。首先让它为普通流程工作!

The spawned processes should have the respective logged on user's environment variables set to be able to locate network printers and mapped drives among other things.

网络打印机和映射驱动器与环境变量无关。我认为您要做的是将新进程放入用户的登录 session 中，这就是控制网络驱动器映射等的原因。

how to grant the process created using CreateProccessAsUser() [...] enough privileges/rights to get information on other processes (from other sessions; of other users and different integrity levels) without losing the user's environment variables ?

不要。这将违反安全模型的完整性。

相反，从系统服务枚举和查询进程，并使用共享内存(在 MSDN 中查找“文件映射对象”)或其他合适的 IPC 机制，仅将任何必要的信息传递给用户 session 进程。