以编程方式允许对注册表项的写访问

Question

我需要在产品安装期间以编程方式修改已知注册表项上的访问描述符。 我希望它的工作方式是：

1. 安装程序在管理模式下运行。
2. 创建了一个注册表项。
3. 一个函数（我需要的那个）从密钥查询 ACL。
4. 如果此函数发现组“用户”已经具有写入权限，则不应执行任何操作。
5. 如果没有，它应该添加一个新权限，允许对“用户”组进行写访问。
6. 为注册表项保存权限。

这个问题类似于使用 .NET 设置注册表项写入权限，但是，我需要一个 C++/Win32 实现。

提前致谢

Answer 1

要获取和设置密钥的 ACL，您需要使用 RegGetKeySecurity 和 RegSetKeySecurity。 然后，您需要遍历 ACE，检查适用于“用户”组 SID 的任何内容。 然后您将修改/删除现有的和/或添加一个新的。 请注意，在普通的旧 Win32 C 中使用 ACL 是一种痛苦。

Answer 2

授予访问权限的最小代码包含 3 个 API 调用。 它为所有经过身份验证的用户和管理员提供对给定hkey完全访问权限。

此代码段不包含正确的错误处理和报告。 不要将其复制/粘贴到生产代码中。

    PSECURITY_DESCRIPTOR sd = nullptr;
    ULONG sd_size = 0;
    TCHAR* rights = TEXT( "D:" )                // Discretionary ACL
                  TEXT( "(A;OICI;GA;;;AU)" )    // Allow full control to all authenticated users
                  TEXT( "(A;OICI;GA;;;BA)" );   // Allow full control to administrators

    ConvertStringSecurityDescriptorToSecurityDescriptor( rights, SDDL_REVISION_1, &sd, &sd_size );
    RegSetKeySecurity( hkey, DACL_SECURITY_INFORMATION, sd );
    LocalFree( sd );

检测“用户”是否对密钥具有写访问权限可能比预期的要困难。 我最终将测试值写入注册表并检查该写入的结果。

Answer 3

只是为了扩展 Mikhail Vorotilov 的回答，并从https://docs.microsoft.com/en-us/windows/win32/secbp/creating-a-dacl的示例代码中汲取灵感

bool RegistryGrantAll(HKEY hKey)
{
    bool bResult = false;

    PSECURITY_DESCRIPTOR sd = nullptr;

    const TCHAR* szSD =
        TEXT("D:")                  // Discretionary ACL
        TEXT("(D;OICI;KA;;;BG)")    // Deny access to built-in guests
        TEXT("(D;OICI;KA;;;AN)")    // Deny access to anonymous logon
        TEXT("(A;OICI;KRKW;;;AU)")  // Allow KEY_READ and KEY_WRITE to authenticated users ("AU")
        TEXT("(A;OICI;KA;;;BA)");   // Allow KEY_ALL_ACCESS to administrators ("BA" = Built-in Administrators)

    if (ConvertStringSecurityDescriptorToSecurityDescriptor((LPCTSTR)szSD, SDDL_REVISION_1, &sd, 0))
    {
        auto result = RegSetKeySecurity(hKey, DACL_SECURITY_INFORMATION, sd);
        if (ERROR_SUCCESS == result)
            bResult = true;
        else
            SetLastError(result);

        // Free the memory allocated for the SECURITY_DESCRIPTOR.
        LocalFree(sd);
    }

    return bResult;
}

如果函数返回 false，则调用 GetLastError() 以获取有关失败原因的更多信息。

代码在 VS2019 上编译并且似乎可以工作。
我没有添加代码来检查 hKey 是否是有效的注册表句柄。

编辑：我在测试后编辑了几次。 抱歉所有的编辑。 我最终得到的结果比开始时更接近米哈伊尔的答案。

更多信息的链接：

https://docs.microsoft.com/en-us/windows/win32/secbp/creating-a-dacl

https://docs.microsoft.com/en-us/windows/win32/api/sddl/nf-sddl-convertstringsecuritydescriptortosecuritydescriptorw

https://docs.microsoft.com/en-us/windows/win32/secauthz/ace-strings

Answer 4

Sup，希望OP仍然对答案感兴趣。 这是将 ACE 添加到 ACL 的工作代码，它可用于将 ACE 添加到注册表或文件系统 DACL。 我还没有尝试过其他任何东西。 您可能会注意到，不需要讨厌的RegGetKeySecurity或手动 ACL 组合。 甚至不需要RegOpenKeyEx 。 有关更多信息，请查看此 MS 文档。

UPD当然，它需要管理员权限才能执行。

// sk - alloced string / path to needed key
// common look: MACHINE\\Software\\... where MACHINE == HKEY_LOCAL_MACHINE
// google for more address abbrevations
PSECURITY_DESCRIPTOR pSD = 0;
EXPLICIT_ACCESS ea;
PACL pOldDACL = 0, pNewDACL = 0;
if (ERROR_SUCCESS == GetNamedSecurityInfo(sk, SE_REGISTRY_KEY, DACL_SECURITY_INFORMATION, 0, 0, &pOldDACL, 0, &pSD)) {
    memset(&ea, 0, sizeof(EXPLICIT_ACCESS));
    ea.grfAccessPermissions = KEY_ALL_ACCESS;
    ea.grfAccessMode = GRANT_ACCESS;
    ea.grfInheritance = NO_INHERITANCE;
    ea.Trustee.TrusteeForm = TRUSTEE_IS_NAME;
    ea.Trustee.ptstrName = <USERNAME HERE>; //DOMAIN\\USERNAME
    if (ERROR_SUCCESS == SetEntriesInAcl(1, &ea, pOldDACL, &pNewDACL)) {
        if (ERROR_SUCCESS == SetNamedSecurityInfo(sk, SE_REGISTRY_KEY, DACL_SECURITY_INFORMATION, 0, 0, pNewDACL, 0)) {
            if (pSD != 0) LocalFree((HLOCAL)pSD);
            if (pNewDACL != 0) LocalFree((HLOCAL)pNewDACL);
            SAFE_FREE(sk);
            // WE'RE GOOD!
            return ... ;
        } else {
            if (pSD) LocalFree((HLOCAL)pSD);
            if (pNewDACL) LocalFree((HLOCAL)pNewDACL);
            SAFE_FREE(sk);
            // SetNamedSecurityInfo failed
            return  ... ;
        }
    } else {
        if (pSD) LocalFree((HLOCAL)pSD);
        if (pNewDACL) LocalFree((HLOCAL)pNewDACL);
        SAFE_FREE(sk);
        // SetEntriesInAcl failed
        return ... ;
    }
} else {
    if (pSD) LocalFree((HLOCAL)pSD);
    SAFE_FREE(sk);
    // GetNamedSecurityInfo failed
    return ... ;
}