如何安全地进行 IPC 与 UAC 提升？

Question

我的程序的某些部分需要管理访问权限（影响所有用户的设置，存储在 HKLM 中，并且仅限于管理访问权限）。

我已更改我的软件以指示需要提升：

作为回应，我将在提示提升时启动我的可执行文件：

SHELLEXECUTEINFO shExecInfo;
shExecInfo.cbSize = sizeof(SHELLEXECUTEINFO);
shExecInfo.fMask = NULL;
shExecInfo.hwnd = NULL;
shExecInfo.lpVerb = L"runas";
shExecInfo.lpFile = L"myapp.exe";
shExecInfo.lpParameters = NULL;
shExecInfo.lpDirectory = NULL;
shExecInfo.nShow = SW_MAXIMIZE;
shExecInfo.hInstApp = NULL;
ShellExecuteEx(&shExecInfo);

我打算要做的是在命令行上传递命名管道的名称，告诉自己它可以连接回哪里，以便获得关于它应该做什么的说明：

myapp.exe /uac 6C844671-E262-46DD-939E-47517F105FB6

（是的，使用 GUID 作为管道的名称）。

通过这个管道我会告诉我提升的克隆是什么数据库，例如：

• 它应该连接到哪个服务器数据库
• 应该说是用户进行更改
• 应该添加/编辑/删除的东西

那时我担心的是任何人都可以启动myapp.exe，然后向它提供各种请求 - 我不希望它做的事情，因为 i 没有启动它，例如：

MaliciousProgram.exe：

 ShellExecute("myapp.exe /uac HahaYouDoWhatISayNow")

我记得在 Longhorn 测试版期间，有一个 Channel9 视频或一篇文章，谈论 UAC 以及错误执行 IPC（进程间通信）的危险。

我不想重新发明轮子，制造已经解决的安全错误。但我找不到任何关于“正确”方式使用 UAC 提升进行 IPC 的现有指导。

他不接受什么模式来执行 IPC 以与生成的提升进程进行通信以进行临时提升操作？

---

编辑： uac 和 ipc 标签的联合关注者：53

Answer 1

我认为这里不存在安全问题（有一些注意事项，如下所述）。如果用户不能提升，这个解决方案无论如何都行不通；如果用户可以提升，并且是恶意的，那么机器已经被入侵了。例如，如果恶意用户想要在 HKLM 中进行更改，为什么在 regedit 可用时使用 myapp.exe？

但是，我对您提到的服务器数据库感到困惑；这如何符合海拔要求？一般来说，访问远程资源不需要提升。 （如果 myapp.exe 或 HKLM 包含服务器数据库的密码，则不应。）

至于IPC的选择：我不是UAC编程专家，但是搜索MSDN我注意到提升的COM对象被多次提及，例如：

http://msdn.microsoft.com/en-us/magazine/cc163486.aspx

另请参阅本文第五个链接的幻灯片：

http://msdn.microsoft.com/en-us/library/bb756996.aspx

但是，如果您对 COM 不满意（加入俱乐部！），那么按照您的建议使用命名管道应该同样有效。但是，您确实需要对命名管道采取必要的常规预防措施 - 确保在启动提升的进程之前创建命名管道的服务器端，检查管道是否已经存在，并使用适当的 ACL 创建它.