如何将权限从一个主要用户令牌复制到另一个？

Question

我的目标是在使用目标令牌启动用户模式进程之前，将privileges 从一个主用户令牌复制到另一个。我创建了一个示例伪代码来说明我需要完成的工作。

以下将从本地系统服务运行：

//dwSessionId = user session ID to run process in

HANDLE hToken1 = NULL;      //Source user token
WTSQueryUserToken(dwSessionId, &hToken1);

HANDLE hSelfToken = NULL;   //User token for system service
HANDLE hToken2 = NULL;      //Adjusted self-token

OpenProcessToken(::GetCurrentProcess(), TOKEN_ALL_ACCESS, &hSelfToken);
DuplicateTokenEx(hSelfToken, TOKEN_ASSIGN_PRIMARY | TOKEN_ALL_ACCESS, 
    NULL, SecurityIdentification, TokenPrimary, &hToken2);

//Specify user session to run in
SetTokenInformation(hToken2, TokenSessionId, &dwSessionId, sizeof(dwSessionId));

//Now I need to set privileges in 'hToken2' as they are in 'hToken1'
...

//Then use 'hToken2' in CreateProcessAsUser() to start a process

知道如何将权限从hToken1 复制到hToken2？

Answer 1

好的。我可能已经得到了接近我需要的东西。这并不是真正的复制权限，但为了“剥离”权限，我可以创建一个受限令牌，该令牌将删除几乎所有权限（SeChangeNotifyPrivilege 和 SeSystemtimePrivilege 除外。）

//Call the following instead of DuplicateTokenEx() in my example above
CreateRestrictedToken(hSelfToken, DISABLE_MAX_PRIVILEGE,
            0, NULL, 0, NULL, 0, NULL,
            &hToken2);

仅供参考：只是一个奇怪的事实。由于某种原因，我无法从令牌中删除 SeSystemtimePrivilege。不使用此方法，也不使用属性设置为SE_PRIVILEGE_REMOVED 的AdjustTokenPrivileges。除了这个之外，所有其他权限都可以删除。所以如果有人知道为什么，我很乐意学习它？

Answer 2

使用以下代码从hToken获取hToken2，然后在CreateProcessAsUser中使用。其实不用hSelfToken。

HANDLE GetAdjustedToken(HANDLE hSrcToken)
{
    TOKEN_LINKED_TOKEN admin = {};
    HANDLE hTarToken = 0;
    DWORD dw = 0;
    if (GetTokenInformation(hSrcToken, (TOKEN_INFORMATION_CLASS)TokenLinkedToken, &admin, sizeof(TOKEN_LINKED_TOKEN), &dw))
    {
        hTarToken = admin.LinkedToken;
    }
    else
    {
        DuplicateTokenEx(hSrcToken, MAXIMUM_ALLOWED, NULL, SecurityIdentification, TokenPrimary, &hTarToken);
    }
    return hTarToken;
}

如果您想以较低的强制性完整性级别创建新流程，请参阅this MSDN 文章。

Answer 3

首先，您必须使用TokenPrivileges 类为您的原始令牌调用GetTokenInformation 以获得TOKEN_PRIVILEGES 结构。然后用它调用AdjustTokenPrivileges 来更新你的克隆令牌。您必须调用 GetTokenInformation 两次 - 第一次获取缓冲区长度，第二次获取实际数据。

HANDLE hSelfToken = NULL;   //User token for system service
HANDLE hToken2 = NULL;      //Adjusted self-token

OpenProcessToken(::GetCurrentProcess(), TOKEN_ALL_ACCESS, &hSelfToken);
DuplicateTokenEx(hSelfToken, TOKEN_ASSIGN_PRIMARY | TOKEN_ALL_ACCESS,
    NULL, SecurityIdentification, TokenPrimary, &hToken2);

PTOKEN_PRIVILEGES pPriv = NULL;
DWORD dwLen = 0;
GetTokenInformation(hSelfToken, TokenPrivileges, (LPVOID)pPriv, 0, &dwLen);
if (GetLastError() != ERROR_INSUFFICIENT_BUFFER)
    return(0);

pPriv = (PTOKEN_PRIVILEGES)HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, dwLen);
if (!GetTokenInformation(hSelfToken, TokenPrivileges, (LPVOID)pPriv, dwLen, &dwLen))
    return(0);

AdjustTokenPrivileges(hToken2, FALSE, pPriv, dwLen, NULL, NULL);