SSPI：从以本地管理员权限运行的进程中获取另一个用户的凭据

Question

我正在 Windows 中运行具有 loacl 管理员权限的进程，并尝试使用AcquireCredentialsHandle获取另一个用户的凭据句柄。 可以使用用户信息（例如用户、域、密码）传入 SEC_WINNT_AUTH_IDENTITY 结构并获取句柄。 我已经验证过了。 没有 SEC_WINNT_AUTH_IDENTITY 仅传递 pszPrincipal 不起作用。

我想知道有没有其他方法可以在不提供用户密码的情况下做到这一点？

我正在运行以下场景：

1. 客户端使用 UPN 获取 kerberos 令牌并将其发送到服务器
2. 服务器尝试使用客户端的 UPN 获取凭据句柄 (AcquireCredentialsHandle)。

请问有什么建议吗？

Answer 1

您通常无法代表其他用户请求票证。 那将是一个非常危险的安全问题。

有两种方法可以解决这个问题。

1. 使用 S4U2Self，这是应用程序使用传入的用户名向自己请求票证的地方，这将代表用户为他们自己获取票证。 这使您可以查看用户组成员身份等内容。 您需要以SYSTEM身份运行或拥有SeImpersonatePrivilege才能执行此操作。

2. 使用 S4U2Proxy 又名协议转换，即应用程序使用传入的用户名请求另一个服务的票证。 这使您可以仅根据名称模拟用户，并且必须由 AD 明确授予服务器和目标。 这是一个非常危险的特权，因为您允许您的应用程序拥有与 KDC 相同的权限。

不幸的是，这是一段相当复杂的代码，因此在本文中无法按原样共享。 您可以在此处找到示例应用程序： https : //github.com/SteveSyfuhs/DelegatedAuthentication

该过程的要点是：

1. 客户端将用户名发送给服务。
2. 服务配置为SeImpersonatePrivilege或SeTcbPrivilege （意思是作为SYSTEM运行）
3. 服务调用LsaLogonUser并仅传递用户名，返回 NT 令牌句柄。
4. 服务使用 (3) 中的令牌调用SetThreadToken 。
5. 服务在没有任何凭据的情况下调用AcquireCredentialsHandle （使用默认 SSO 凭据）。
6. 服务调用InitializeSecurityContext
7. 服务将令牌发送到目标服务器