Windows下访问控制管理

参考URL:

https://blog.csdn.net/u011801161/article/details/45567289

http://blog.nsfocus.net/analysis-windows-access-authority-inspection-mechanism/

https://blog.csdn.net/eggfly178/article/details/41773601

一 Windows访问控制概述：

Windows访问控制中最主要的部分：访问令牌（Access Token）和安全描述符（Security Descriptor），window通过查看访问者AT与被访问对象SD中的内容来确定访问者是否能访问对象。

Windows访问控制概念介绍： 
① SID：Secure Identifier(安全标识符)，每个用户和账户组都有一个唯一的SID（通常情况下唯一）。它是标识用户、用户组和计算机账户唯一的号码，由计算机名、当前时间、当前用户态线程的CPU耗费时间三个参数来确定。 
② Access Token:与特定的windows账户关联，账户环境下启动的所有进程都会获得该令牌的副本，进程中的线程默认获得这个令牌。由关联账户的SID、当前登录账户所属组的SID列表、受限制的SID列表、当前登录账户与所属组的Privilege列表组成。 
③ Security Descriptor:安全描述符，与被访问对象关联。由对象所有者的SID、属组SID、DACL、SACL组成。DACL（随机访问控制列表）是SD最重要的一部分，描述允许或拒绝特定用户或组的某些访问权限，它包含零个或多个访问控制实体（ACE，Access Control Entry）。 
④ ACE：访问控制实体，用于指定特定用户/组的访问权限，由SID、SIZE、Type、Access Mask、Inheritance/Audit Flags组成。

Windows访问控制流程图： 
当一个线程尝试去访问一个对象时，系统会检查线程持有的令牌以及被访问对象的安全描述符中的DACL。 
如果安全描述符中不存在DACL，则系统会允许线程进行访问。如果存在DACL，系统会顺序遍历DACL中的每个ACE，检查ACE中的SID在线程的令牌中是否存在。以访问者中的User SID或Group SID作为关键字查询被访问对象中的DACL。顺序：先查询类型为DENY的ACE，若命中且权限符合则访问拒绝；未命中再在ALLOWED类型的ACE中查询，若命中且类型符合则可以访问；以上两步后还没命中那么访问拒绝。 

此外, SACL是系统访问控制列表，是用来做审计用的，一般不用关心。

二 一个修改特定对象DACL

　　以下代码实现了以默认权限创建一个event内核对象(默认权限下Administrators组没有修改权限), 然后给该对象的Administrators组添加修改权限的功能. 注意: 以下代码必须在system权限下运行(就是服务进程里边), 只展示了核心代码部分, DACL的修改貌似只能以整个安全描述符为单位进行修改, 不知道是不是我孤陋寡闻的原因

 #include <windows.h>
 #include <aclapi.h>
 #include <sddl.h>
 bool MyCreateEvent()
 {
     HANDLE g_HEStop =NULL;
     bool result = false;
     DWORD ret = ;
     PACL pDACL11 = NULL;
     PSECURITY_DESCRIPTOR pSE = NULL;
     PSID pAdminSID = NULL;
     wchar_t *domainName = NULL;
     do
     {
         //get sid
         LogToFile(L"find administrators sid");
         DWORD domainSize = ;
         DWORD sidSize = ;
         SID_NAME_USE sidType = SidTypeGroup;
         ret = LookupAccountNameW(NULL, L"Administrators", NULL, &sidSize, NULL, &domainSize, &sidType);
         if (!(ret ==  && GetLastError() ==ERROR_INSUFFICIENT_BUFFER))
         {

             LogErr(L"LookupAccountName err1", GetLastError());
             break;
         }
         std::wstring str = std::to_wstring(sidSize);
         str += L" ";
         str += std::to_wstring(domainSize);
         LogToFile(str.c_str());

         pAdminSID = new char[sidSize];
         domainName = new wchar_t[domainSize];
         if (!pAdminSID || !domainName)
         {
             LogToFile(L"alloc buffer err");
             break;
         }

         ret = LookupAccountNameW(NULL, L"Administrators", pAdminSID, &sidSize, domainName, &domainSize, &sidType);
         if (ret == )
         {
             LogErr(L"LookupAccountName err2", GetLastError());
             break;
         }
         else
         {
             LogErr(L"sidType", sidType);
             LPWSTR str = NULL;
             if (ConvertSidToStringSidW(pAdminSID, &str))
             {
                 LogToFile(str);
                 LocalFree(str);
                 str = NULL;
             }
         }

         // create event
         LogToFile(L"create event");
         g_HEStop = CreateEventW(NULL, TRUE, FALSE, STOP_EVENT_NAME);
         if (!g_HEStop)
         {
             LogToFile(L"create event err");
             break;
         }

         // modify dacl
         LogToFile(L"modify dacl");
         ret = GetSecurityInfo(g_HEStop, SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, &pDACL11, NULL, &pSE);
         if (ret != ERROR_SUCCESS)
         {
             LogErr(L"get Dacl err",ret);
             break;
         }

         ACL_SIZE_INFORMATION aclSInfo;
         ret = GetAclInformation(pDACL11, &aclSInfo, sizeof(ACL_SIZE_INFORMATION), AclSizeInformation);
         if (ret == )
         {
             LogErr(L"get acl info err", GetLastError());
             break;
         }

         LogToFile(L"enum ace");

         PACE_HEADER aceHeader = NULL;
         bool find = false;
         PSID pSidInAce = NULL;
         LPWSTR  StringSid = NULL;
         for (DWORD index = ; index < aclSInfo.AceCount; ++index)
         {
             ret = GetAce(pDACL11, index, (LPVOID*)&aceHeader);
             if (ret)
             {
                 // 目前来说各中ace的结构是一样的, 可以这么写, 将来可能会变
                 pSidInAce = (PSID)((DWORD)aceHeader + sizeof(ACE_HEADER) + sizeof(ACCESS_MASK));
                 if (ConvertSidToStringSidW(pSidInAce, &StringSid))
                 {
                     LogToFile(StringSid);
                     LocalFree(StringSid);
                     StringSid = NULL;
                 }
                 else
                     LogErr(L"ConvertSidToStringSidW err: ", GetLastError());

                 if (aceHeader->AceType == ACCESS_ALLOWED_ACE_TYPE)
                 {
                     PACCESS_ALLOWED_ACE aceAl = (PACCESS_ALLOWED_ACE)aceHeader;
                     if (EqualSid(pSidInAce, pAdminSID))
                     {
                         aceAl->Mask |= GENERIC_WRITE;
                         find = true;
                         break;
                     }
                 }
             }
         }
         if (find)
         {
             ret = SetSecurityInfo(g_HEStop, SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, pDACL11, NULL);
             if (ret == ERROR_SUCCESS)
                 result = true;
             else
                 LogErr(L"SetSecurityInfo err: ", ret);
         }
         else
             LogToFile(L"not find allow ace");
     } while (false);
     if (pAdminSID)
         delete[] pAdminSID;
     if (domainName)
         delete[] domainName;
     if (pSE)
         LocalFree(pSE);

     if (!result && IsStopEventValid())
         CloseHandle(g_HEStop);
     return result;
 }