是否可以在标准用户令牌（Windows 10）中拥有 SeCreateGlobalPrivilege 权限？答案

【问题标题】：Is it possible to have SeCreateGlobalPrivilege privilege in standard user token (Windows 10)?是否可以在标准用户令牌（Windows 10）中拥有 SeCreateGlobalPrivilege 权限？
【发布时间】：2017-07-21 18:39:45
【问题描述】：

在我的程序中，我想创建一个可以从任何会话访问的共享内存（带有global\ 前缀）。此外，它应该在标准用户令牌中工作。

到目前为止，AdjustTokenPrivileges() API 以 Error 1300 失败（并非所有引用的权限或组都分配给调用者）。

所以我只是想知道在标准用户令牌中有SeCreateGlobalPrivilege 的可能性。

你能帮忙吗？

【问题讨论】：

你检查组策略了吗？有一个定义谁可以创建全局对象。
是的。我的用户帐户具有管理员权限，并在策略中针对 SeCreateGlobalPrivilege 添加。亮点是我在默认 UAC 中运行应用程序而没有提升。仅供参考。
minimal reproducible example，我会考虑在我的机器上测试它。
据我所知，没有办法让 UAC 在受限令牌中保留任何管理员权限。您只能获得通常授予所有用户的五项特权。您没有为我们提供太多背景信息，但在大多数情况下，此类问题的正确解决方案是将应用程序中需要管理员权限的部分移动到系统服务中。

标签： windows-7 windows-10

【解决方案1】：

Microsoft Windows Security 博客中提到，以下权限仅分配给提升的令牌。

SeIncreaseQuotaPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeSystemProfilePrivilege
SeSystemtimePrivilege
SeProfileSingleProcessPrivilege
SeIncreaseBasePriorityPrivilege
SeCreatePagefilePrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeRemoteShutdownPrivilege
SeManageVolumePrivilege
SeImpersonatePrivilege
SeCreateGlobalPrivilege
SeIncreaseWorkingSetPrivilege
SeCreateSymbolicLinkPrivilege

因此，在标准令牌中，不能在上述任何权限上使用AdjustTokenPrivileges。

【讨论】：