如何授予网络共享访问低强制级别进程的权限？

Question

有什么方法可以将网络共享访问权限授予低强制级别进程（UAC）？

进一步说明：要迁移某些第三方库安全性问题，我们正在考虑将“完整性模式”设置为“将进程隔离为低”，但是我们确实需要使进程从指定的单个文件系统共享（UNC路径，可能在单独的计算机上）自由读写。 。

有人知道有办法吗？

谢谢

Answer 1

是的，默认情况下可用。 进程的完整性只会影响本地安全性，而不会影响远程安全性。 可以通过创建低完整性的记事本来证明这一点-

1. 将C：\\ windows \\ system32 \\ notepad.exe复制到一个位置，即C：\\ test \\ lownote.exe
2. 运行icacls C：\\ test \\ lownote.exe / setintegritylevel低
3. 运行低调
4. 使用Process Explorer（http://live.sysinternals.com/procexp.exe）确认它正在以低完整性运行。 请注意，您可以在HDD上打开文件，但不能将其保存，除非在用户配置文件的低完整性部分中使用UNC共享浏览到网络，路径-您可以打开/保存文件。

就是说，在使用低完整性过程写入网络共享时，您可能会遇到访问被拒绝的消息。 可以通过在运行您的应用程序http://live.sysinternals.com/ProcMon.exe的计算机上使用procmon并进行过滤以包括结果为“ ACCESS DENIED”和“进程名”为-进程名来找到此原因。

驱动器映射将不可用...尝试读取HKCU时会看到抛出“拒绝访问”的信息[驱动器号的位置]

根据MSDN文档：

但是，您可以在低完整性进程和高完整性进程之间使用其他类型的通信。 您可以使用的通信类型包括：

• 剪贴板（复制和粘贴）
• 远程过程调用（RPC）
• 套接字
• 通过调用ChangeWindowMessageFilter，已明确允许较高完整性进程从较低完整性进程接收的窗口消息
• 共享内存，其中较高完整性的过程会显着降低共享内存部分上的强制性标签（重要说明，这特别危险，并且较高完整性的过程必须小心验证写入到共享部分的所有数据。）
• COM接口，其中启动激活权限由较高完整性过程以编程方式设置，以允许来自低完整性客户端的绑定
• 命名管道，创建者在该管道上显式设置强制标签，以允许访问完整性较低的进程

参考http://msdn.microsoft.com/en-us/library/bb625960.aspx