c++ - ERROR_ACCESS_DENIED 设置文件所有者

Question

我正在尝试在 C++ 中以编程方式将文件的所有者设置为另一个用户。

我确实为我的进程启用了 SeRestorePrivilege。我可以使用 Process Explorer 确认这一点。我开始这个过程，它被禁用，我运行我的代码来启用它，ProcExp 报告它已启用，我刚好到达要设置所有者的位置，它仍然启用(即我不是意外禁用它)。

这个access is denied消息还有什么其他原因导致的？我没有考虑到什么？

std::wstring fileSystemObject = L"C:\test.txt";
*status_code = SetNamedSecurityInfo((wchar_t*)fileSystemObject.c_str(), SE_FILE_OBJECT, OWNER_SECURITY_INFORMATION, pSID, NULL, NULL, NULL);
if (*status_code == ERROR_SUCCESS)
{
    Log(L"Successfully set owner for " + fileSystemObject);
    return true;
}
else
{
    Log(L"Failed to set owner for " + fileSystemObject + L". Error code: ", *status_code);
    return false;
}

谢谢。

编辑:非常感谢您一直以来的帮助。非常感谢。

我将您的代码用于以下所有测试。基本上，我也从您的代码中收到拒绝访问消息，但是，我已经对其进行了更多追踪。

首先，“C:\test.txt”不是我的真实代码，不幸的是，丢失的反斜杠不是导致我出现问题的原因。谢谢你敏锐的眼光:)

此外，我正在运行禁用 UAC 的管理员帐户，并且我的程序在 list 中设置了 requireAdministrator。

但是，我注意到我的代码和您的代码都适用于简单文件。经过多次测试，我发现我只会在以下情况下收到 AccessDenied 消息:

1:我不是所有者，“取得所有权”权限设置为拒绝，例如每个人。

2:我是所有者，“取得所有权”权限设置为拒绝，例如每个人。奇怪的是，在第二个实例中，尽​​管有失败代码，但所有权确实发生了变化。

我不明白为什么会这样。我和你已经在进程 token 中设置了 SE_RESTORE_NAME。我应该被允许任意设置所有者 SID。但是我好像做不到。

似乎对 TakeOwnership DACL 的任何拒绝都会覆盖我取得所有权的能力。但是，在获得所有权之前我无法更改权限! 叹气。

我可能会尝试按照您最初的建议设置 SeTakeOwnershipPrivilege，将所有权归我所有，更改权限，在外部设置所有权。多么痛苦啊。而且我什至不太相信它会奏效。

我还发现了这个:http://us.generation-nt.com/setnamedsecurityinfo-failing-rc-1307-help-59729462.html

他似乎处于类似情况(如果我没有正确设置进程 token ，我会得到 1307)。但是 CreatePrivateObjectSecurityEx 需要进行更多设置。

嗯嗯。感谢您的宝贵时间。

Answer 1

这里的问题是安全子系统和模型正在保护对象免受不合理的所有权更改，即使拥有管理员权限也需要正确克服障碍。

获取文件的所有权涉及两个权限:SE_TAKE_OWNERSHIP_NAME 和 SE_RESTORE_NAME。前者允许拿走某人的对象，后者允许设置不是设置者本人的所有者。

看起来 SE_RESTORE_NAME 是一个更强大的权限并且足以完成任务，但事实并非如此。是的，它允许设置某人的所有权，as MSDN states :

If the caller does not have the SeRestorePrivilege constant (see Privilege Constants), this SID must be contained in the caller's token, and must have the SE_GROUP_OWNER permission enabled. The SecurityInfo parameter must include the OWNER_SECURITY_INFORMATION flag. To set the owner, the caller must have WRITE_OWNER access to the object or have the SE_TAKE_OWNERSHIP_NAME privilege enabled.

但是，它不会让您克服明确阻止所有权更改的 DACL 项目。在这种情况下，您还需要其他特权(也就是说，您需要同时启用这两种特权)，这使您能够在决定将所有权授予谁之前从某人那里获得所有权。

我正在从上面的评论中复制指向 C++/ATL 源代码的链接:SetFileOwner.cpp .当 permissions/DACL 有 Deny 项时，会发生异常，启用第二权限即可解决问题。