为什么OpenProcessToken失败并显示ERROR_ACCESS_DENIED

Question

我正在以Administrators组中的用户身份运行一个进程，试图获取另一个进程的进程令牌。 另一个进程由不在Administrators组中的用户运行。 这是我正在使用的代码的要点。 此代码中的pid表示非管理员进程的进程ID。 所有这些都在Windows XP SP 2上，并且都在同一台计算机上。 这里没有远程访问。

HANDLE handle;
HANDLE token;

handle = OpenProcess(PROCESS_QUERY_INFORMATION,FALSE,pid);
token = NULL;
OpenProcessToken(handle,TOKEN_DUPLICATE,&token);

此处的OpenProcess参考： http : //msdn.microsoft.com/zh-cn/library/ms684320%28VS.85%29.aspx

此处的OpenProcessToken参考： http : //msdn.microsoft.com/en-us/library/aa379295%28VS.85%29.aspx

OpenProcess成功，但无论我为OpenProcessToken的DesiredAccess参数传递什么，它都会失败，并且GetLastError（）返回ERROR_ACCESS_DENIED。 我添加了一些代码，以了解运行此代码的进程的特权，并启用尽可能多的特权，以及收集有关我要为其获取令牌的进程的信息。 这涉及从OpenProcess请求更多访问权限（除了PROCESS_QUERY_INFORMATION之外，还具有READ_CONTROL | ACCESS_SYSTEM_SECURITY）并调用GetKernelObjectSecurity（handle）。 这是我得到的：

current user: PLEASE_T\dbyron (S-1-5-21-3405506234-1792454352-3826119157-1005)
current process: group 0: flags: 0x00000007 sid: S-1-5-21-3405506234-1792454352-3826119157-513 (PLEASE_T\None)
current process: group 1: flags: 0x00000007 sid: S-1-1-0 (\Everyone)
current process: group 2: flags: 0x0000000F sid: S-1-5-32-544 (BUILTIN\Administrators)
current process: group 3: flags: 0x00000007 sid: S-1-5-32-545 (BUILTIN\Users)
current process: group 4: flags: 0x00000007 sid: S-1-5-4 (NT AUTHORITY\INTERACTIVE)
current process: group 5: flags: 0x00000007 sid: S-1-5-11 (NT AUTHORITY\Authenticated Users)
current process: group 6: flags: 0xC0000007 sid: S-1-5-5-0-91553 (no account mapping)
current process: group 7: flags: 0x00000007 sid: S-1-2-0 (\LOCAL)
SeDebugPrivilege privilege enabled
SeTakeOwnershipPrivilege privilege enabled
SeSecurityPrivilege privilege enabled
SeChangeNotifyPrivilege privilege enabled
SeBackupPrivilege privilege enabled
SeRestorePrivilege privilege enabled
SeSystemtimePrivilege privilege enabled
SeShutdownPrivilege privilege enabled
SeRemoteShutdownPrivilege privilege enabled
SeDebugPrivilege privilege enabled
SeSystemEnvironmentPrivilege privilege enabled
SeSystemProfilePrivilege privilege enabled
SeProfileSingleProcessPrivilege privilege enabled
SeIncreaseBasePriorityPrivilege privilege enabled
SeLoadDriverPrivilege privilege enabled
SeCreatePagefilePrivilege privilege enabled
SeIncreaseQuotaPrivilege privilege enabled
SeUndockPrivilege privilege enabled
SeManageVolumePrivilege privilege enabled
SeImpersonatePrivilege privilege enabled
SeCreateGlobalPrivilege privilege enabled

我试图获得所有可能的特权，并且我认为上面的组信息表明，调用OpenTokenProcess的进程是Administrators组的成员。

这是来自GetKernelObjectSecurity的信息：

control(SE_DACL_PRESENT | SE_SELF_RELATIVE, 0x00008004)
owner sid: S-1-5-21-3405506234-1792454352-3826119157-2807 (PLEASE_T\dummyusr)
group sid: S-1-5-21-3405506234-1792454352-3826119157-513 (PLEASE_T\None)
grant: mask(PROCESS_ALL_ACCESS, 0x001F0FFF), flags(0x00000000): S-1-5-21-3405506234-1792454352-3826119157-2807 (PLEASE_T\dummyusr)
grant: mask(PROCESS_ALL_ACCESS, 0x001F0FFF), flags(0x00000000): S-1-5-32-544 (BUILTIN\Administrators)
grant: mask(PROCESS_ALL_ACCESS, 0x001F0FFF), flags(0x00000000): S-1-5-18 (NT AUTHORITY\SYSTEM)

因此，看来dummyusr（非管理员）进程允许访问管理员组。 可能是我误解了，为什么OpenProcessToken失败并显示ERROR_ACCESS_DENIED？ 我尝试将TOKEN_DUPLICATE更改为TOKEN_QUERY，但这不会更改结果。

我是否缺少特权？ 还有什么会拒绝我为此过程访问访问令牌？ 我已经在没有防病毒软件的计算机上尝试过此操作，但仍然得到相同的结果。

我还尝试了在系统上下文中运行。 在这种情况下，有关当前进程的信息是：

current user: NT AUTHORITY\SYSTEM (S-1-5-18)
current process: group 0: flags: 0x0000000E sid: S-1-5-32-544 (BUILTIN\Administrators)
current process: group 1: flags: 0x00000007 sid: S-1-1-0 (\Everyone)
current process: group 2: flags: 0x00000007 sid: S-1-5-11 (NT AUTHORITY\Authenticated Users)

请注意，BUILTIN \\ Administrators组的标志略有不同。 管理员进程为0xF，系统进程为0xE。 从http://msdn.microsoft.com/zh-cn/library/aa379624%28VS.85%29.aspx中 ，0x1位表示SE_GROUP_MANDATORY，在这里似乎不相关。

默认情况下，系统上下文进程还具有一些其他特权：

SeAuditPrivilege
SeCreatePermanentPrivilege
SeLockMemoryPrivilege
SeTcbPrivilege

但是我全部禁用了它们，并且OpenProcessToken在系统上下文过程中仍然成功。

谢谢你的帮助。

Answer 1

您没有走在前面的细节，而是走了淘汰之路？ -以LOCAL_SYSTEM的身份运行该进程，看看是否能解决问题。 毕竟，如果上帝做不到，那么没有人可以：P。

Answer 2

我猜想目标进程的SECURITY_DESCRIPTOR只允许SYSTEM用户打开他的进程令牌。 可悲的是，这意味着您无能为力。

Answer 3

是的，有一种解决方案可以运行服务或将应用程序实例作为服务运行。 这样，您将使代码作为系统运行。

由于您已经是管理员，因此另一种选择（但更具侵入性）是更改目标进程的访问权限。