如何使用 CredUIPromptForWindowsCredentials 验证凭据答案

【问题标题】：How to validate credentials with CredUIPromptForWindowsCredentials如何使用 CredUIPromptForWindowsCredentials 验证凭据
【发布时间】：2018-10-12 20:02:25
【问题描述】：

我不知道为什么我不能用 CredUnPackAuthenticationBufferW 解压 CredUIPromptForWindowsCredentials 中使用的身份验证缓冲区，我总是收到 ERROR_INSUFFICIENT_BUFFER 错误。感谢您的帮助。

std::wstring caption = L"Caption";
std::wstring msg= L"Msg";
CREDUI_INFOW credui = {};
credui.cbSize = sizeof(credui);
credui.hwndParent = nullptr;
credui.pszMessageText = msg.c_str();
credui.pszCaptionText = caption.c_str();
credui.hbmBanner = nullptr;

ULONG  authPackage = 0;
LPVOID outCredBuffer = nullptr;
ULONG  outCredSize = 0;
BOOL   save = false;

LPWSTR pszUserName = nullptr;
DWORD pcchlMaxUserName = 0;
LPWSTR pszDomainName = nullptr;
DWORD pcchMaxDomainName = 0;
LPWSTR pszPassword = nullptr;
DWORD pcchMaxPassword = 0;

DWORD result = CredUIPromptForWindowsCredentialsW(&credui,
                                                0,
                                                &authPackage,
                                                nullptr,
                                                0,
                                                &outCredBuffer,
                                                &outCredSize,
                                                &save,
                                                CREDUIWIN_ENUMERATE_ADMINS);


std::cout <<CredUnPackAuthenticationBufferW(CRED_PACK_PROTECTED_CREDENTIALS
                                ,outCredBuffer
                                ,outCredSize
                                ,pszUserName
                                ,&pcchlMaxUserName
                                ,pszDomainName
                                ,&pcchMaxDomainName
                                ,pszPassword
                                ,&pcchMaxPassword) << std::endl;

std::cout << GetLastError() << std::endl; // out put 122 == ERROR_INSUFFICIENT_BUFFER

【问题讨论】：

当然你必须得到ERROR_INSUFFICIENT_BUFFER，因为你传递了0大小的缓冲区。您需要为pszUserName、pszPassword 和pszDomainName 分配一些缓冲区。如果大小不足 - 使用返回值（pcchlMaxUserName、pcchMaxDomainName、pcchMaxPassword） - 重新分配缓冲区并再次调用 api

标签： c++ winapi msdn

【解决方案1】：

这是典型的 winapi 模式 - api 必须在内存缓冲区中返回一些信息。而是自己分配缓冲区 - 它要求调用者分配缓冲区。所以调用者必须自己分配缓冲区并将其指针和大小传递给 api。 api 检查缓冲区大小 - 如果它足够大的填充信息来缓冲，否则返回ERROR_INSUFFICIENT_BUFFER（假设没有其他错误）或有时返回ERROR_MORE_DATA。哪个具体错误再次出现ERROR_INSUFFICIENT_BUFFER 或ERROR_MORE_DATA 通常直接记录用于 api 调用。这两个错误之间的区别：ERROR_INSUFFICIENT_BUFFER - 表示没有任何信息填充到缓冲区，而ERROR_MORE_DATA 表示返回了一些数据，但不完整。在这种情况下，api 通过一些 out 参数返回给用户所需的缓冲区大小。通常这是通过相同的 inout 参数 - 指向 DWORD 的指针来完成的。在输入中指定用户分配的缓冲区的大小，在输出中 - 指定所需的缓冲区大小或返回数据的大小

通常需要哪个缓冲区大小 - 开始时未知。所以我们首先需要或调用具有 0 大小缓冲区的 api，或者分配一些据称足够的缓冲区大小。如果缓冲区不足 - 重新分配或扩展它并再次调用 api。对于某些 api（如CredUnPackAuthenticationBufferW），所需的输出缓冲区不会随时间变化（如果输入参数未更改），但通常的输出缓冲区大小可能会在两次调用之间发生变化 - 即使是第一次调用返回的缓冲区大小的第二次调用也可能因缓冲区而失败大小错误（因为返回的数据可能会在调用之间增长）。在这种情况下需要在do/while(error == ERROR_INSUFFICIENT_BUFFER/ERROR_MORE_DATA) 循环中调用api。但即使输出缓冲区不随时间变化，我们也可以更好地做到这一点，即循环使用单个 api 调用，而不是 2 个 api 调用。

具体案例代码可以是这样的

ULONG cred()
{
    CREDUI_INFO ci = { sizeof(ci) };
    BOOL bSave = FALSE;

    PVOID pvOutAuthBuffer;
    ULONG ulOutAuthBufferSize;
    ULONG ulAuthPackage = 0;
    ULONG dwError = CredUIPromptForWindowsCredentials(
        &ci, NOERROR, &ulAuthPackage, 0, 0, 
        &pvOutAuthBuffer, &ulOutAuthBufferSize, 
        &bSave, CREDUIWIN_ENUMERATE_ADMINS );

    if (dwError == NOERROR)
    {
        ULONG cchUserName = 0;
        ULONG cchPassword = 0;
        ULONG cchDomain = 0;

        static volatile UCHAR guz = 0;

        PWSTR stack = (PWSTR)alloca(guz);
        PWSTR szUserName = 0, szPassword = 0, szDomainName = 0;

        ULONG cchNeed, cchAllocated = 0;

        do 
        {
            if (cchAllocated < (cchNeed = cchUserName + cchPassword + cchDomain))
            {
                szUserName = (PWSTR)alloca((cchNeed - cchAllocated) * sizeof(WCHAR));
                cchAllocated = (ULONG)(stack - szUserName);
                szPassword = szUserName + cchUserName;
                szDomainName = szPassword + cchPassword;
            }

            dwError = CredUnPackAuthenticationBuffer(
                CRED_PACK_PROTECTED_CREDENTIALS, 
                pvOutAuthBuffer, ulOutAuthBufferSize, 
                szUserName, &cchUserName, 
                szDomainName, &cchDomain, 
                szPassword, &cchPassword)
                ? NOERROR : GetLastError();

            if (dwError == NOERROR)
            {
                DbgPrint("%S@%S %S\n", szDomainName, szUserName, szPassword);
                break;
            }

        } while (dwError == ERROR_INSUFFICIENT_BUFFER);

        CoTaskMemFree(pvOutAuthBuffer);
    }

    return dwError;
}

【讨论】：

非常感谢@RbMm 的非常好的澄清。现在我可以得到一些存储在缓冲区中的数据，但它们是加密的，我不知道如何检查输入的密码（pin 码、指纹......）是否有效？
@perrahmaouy - 没有加密。你得到了准确的数据

【解决方案2】：

@RbMm - 你是对的！我用 LogonUser 对其进行了测试，它运行良好。谢谢。对于现成的解决方案，我得到了这个：

bool Authenticate_ADMIN_User(std::wstring caption, std::wstring msg, int maxReAsks = 0)
{
    CREDUI_INFOW credui   = {};
    credui.cbSize         = sizeof(credui);
    credui.hwndParent     = nullptr;
    credui.pszMessageText = msg.c_str();
    credui.pszCaptionText = caption.c_str();
    credui.hbmBanner      = nullptr;

    ULONG  authPackage   = 0,
           outCredSize   = 0;
    LPVOID outCredBuffer = nullptr;
    BOOL   save          = false;

    DWORD err   = 0;
    int   tries = 0;

    bool reAsk = false;

    do
    {
      tries++;

      if(CredUIPromptForWindowsCredentialsW(&credui,
                                         err,
                                         &authPackage,
                                         nullptr,
                                         0,
                                         &outCredBuffer,
                                         &outCredSize,
                                         &save,
                                         CREDUIWIN_ENUMERATE_ADMINS)

              != ERROR_SUCCESS)
          return false;


      ULONG cchUserName = 0;
      ULONG cchPassword = 0;
      ULONG cchDomain   = 0;
      ULONG cchNeed, cchAllocated = 0;

      static volatile UCHAR guz = 0;

      PWSTR stack = (PWSTR)alloca(guz);
      PWSTR szUserName = nullptr, szPassword = nullptr, szDomainName = nullptr;

      BOOL ret;

      do{
          if (cchAllocated < (cchNeed = cchUserName + cchPassword + cchDomain))
          {
              szUserName = (PWSTR)alloca((cchNeed - cchAllocated) * sizeof(WCHAR));
              cchAllocated = (ULONG)(stack - szUserName);
              szPassword = szUserName + cchUserName;
              szDomainName = szPassword + cchPassword;
          }

          ret = CredUnPackAuthenticationBuffer(
              CRED_PACK_PROTECTED_CREDENTIALS , outCredBuffer, outCredSize, szUserName, &cchUserName,
              szDomainName, &cchDomain, szPassword,
              &cchPassword);

      }while(!ret && GetLastError() == ERROR_INSUFFICIENT_BUFFER);


        SecureZeroMemory(outCredBuffer, outCredSize);
        CoTaskMemFree(outCredBuffer);

        HANDLE handle = nullptr;

        if (LogonUser(szUserName, 
                      szDomainName,
                      szPassword,
                      LOGON32_LOGON_INTERACTIVE, 
                      LOGON32_PROVIDER_DEFAULT,
                      &handle)) 
        {

          CloseHandle(handle);
          return true;
        }

        else
        {
          err = ERROR_LOGON_FAILURE;
          reAsk = true;
        }


    }while(reAsk && tries < maxReAsks);

    return false;
}

【讨论】：