c++ - 通过 Winapi 以编程方式编辑 Windows 审核策略时出现权限错误

Question

简短版本:

我正在尝试编写一个 C++ 程序，以在 Windows 8 上启用进程创建日志记录。我知道这可以使用 auditpol.exe 来完成，但我想以编程方式进行。我的研究表明，唯一的方法是通过 Windows API 命令 AuditSetSystemPolicy ，所以我写了一个调用这个函数的 C++ 程序(见下文)。但是，该程序因权限问题而失败(错误代码 1314)。我以管理员身份运行 Visual Studio，我尝试在以管理员身份运行的命令提示符下执行该程序，但我仍然遇到错误。

长版:

以下程序采用 GUID string describing the Process Creation Subcategory我想开始审核并将其转换为 GUID 结构。然后它构造一个 AUDIT_POLICY_INFORMATION来自 GUID 和 ULONG 的结构描述了我想要进行的更改(启用成功和失败的日志记录)。最后，我将结构放入一个数组中并调用 AuditSetSystemPolicy功能。

// Subcategory GUID for Process Creation
string guidstr ("{0CCE922B-69AE-11D9-BED3-505054503030}");

// Construct a GUID object
GUID guid;
HRESULT hr = CLSIDFromString(s2ws (guidstr).c_str(), (LPCLSID)&guid);

// Check if the GUID converted correctly
if (hr == S_OK)
{
    cout << "GUID successfully converted: " << endl;

    // Print english version of the SubCateogory GUID according to the API
    PSTR *output = new PSTR("");
    bool categ_name = AuditLookupSubCategoryName(&guid, output);
    cout << *output << endl;
}
else
{
    cout << "GUID failed conversion" << endl;
}

// Create an AUDIT_POLICY_INFORMATION structure describing the desired change
// The AuditCategoryGuid field will be ignored according to documentation
AUDIT_POLICY_INFORMATION audit;
audit.AuditCategoryGuid = (GUID)guid;
audit.AuditSubCategoryGuid = (GUID)guid;

// Turn on auditing for success and failure
audit.AuditingInformation = 0x00000003;

// Create an array of AUDIT_POLICY_INFORMATION change requests
AUDIT_POLICY_INFORMATION arr[1];
arr[0] = audit;

bool policyChanged = TRUE;
policyChanged = AuditSetSystemPolicy(arr, 1);
DWORD last_error = GetLastError();

// Check if the policy change succeeded or not
if (policyChanged == TRUE)
{
    cout << "Successfully set policy" << endl;
}
else
{
    cout << "Failed to set policy. Error:" << endl;     
    cout << last_error << endl;
}

我使用 Visual Studio Professional 2013 运行此代码，它是通过选择“以管理员身份运行”启动的。它会产生以下输出:

GUID successfully converted:
Process Creation
Failed to set policy. Error:
1314

代码 1314 表示:“A required privilege is not held by the client.” 根据 AuditSetSystemPolicy 文档:“要成功调用此函数，调用者必须具有 SeSecurityPrivilege 或对 Audit 安全对象具有 AUDIT_SET_SYSTEM_POLICY 访问权限。”我关注了instructions on TechNet并验证管理员有权管理审计和安全。为了更好地衡量，我还授予我的用户这些权限并重新启动计算机以确保应用更改。我仍然收到错误。

我还尝试使用 auditpol.exe 手动关闭进程创建日志记录，运行上面的代码，然后使用 auditpol.exe 验证日志记录是否仍然关闭。我还打开了事件查看器并手动验证没有日志记录发生。

Answer 1

我使用了这段代码并不得不纠正了一些小问题，但总的来说，您需要的是在您的进程对象上设置“SeSecuritiyPrivilege”。以管理员或系统身份运行将授予您设置此标志的权限，但您必须在尝试设置审核级别之前在代码中设置它:

#include <atlsecurity.h>
...
ATL::CAccessToken processToken;
processToken.GetEffectiveToken(TOKEN_QUERY | TOKEN_ADJUST_PRIVILEGES);
processToken.EnablePrivilege("SeSecuritiyPrivilege");

在尝试设置审核级别之前执行此操作。