降权启动进程

 

一 背景

在有些情况下，windows通过计划任务（通过服务也是如此）调起的进程是system权限的。而在system权限下进程可能会遇到某些问题：

（1）通过注册表或expand 环境变量等方法得到的系统目录并不是我们想要的，例如通过SHGetSpecialFolderPath获取CSIDL_LOCAL_APPDATA的路径为C:\windows\system32\config\systemprofile\appdata\local；通过GetEnvironmentVariable获取TMP的路径为C:\Windows\TEMP等；这一类的目录包括且不限于：desktop, paograms, appdata, etc..

（2）具有system权限的进程创建的子进程也是具有system权限的，这样子进程也会遇到上面第1点的问题

（3）GetEnvironmentVariable函数获取到的环境变量都是SYSTEM用户的

（4）对HKEY_CURRENT_USER的部分注册表的写操作将会被重定向到HKEY_USERS.DEFAULT

二 解决方案

1. 解决目录问题

（1）如何判断是在system下

正常的方法当然是通过通过权限相关的API来判断，当然也可以有一些小技巧来判断。例如上面说到的通过SHGetSpecialFolderPath获取CSIDL_LOCAL_APPDATA的路径，非system权限下为C:\Users\username\AppData\Local，而在system下为C:\windows\system32\config\systemprofile\appdata\local。因此，代码如下：

 

bool IsSystemPrivilegeImp()

{

    static bool isSystemPrivilege = false;

    if (isSystemPrivilege)

    {

        return isSystemPrivilege;

    }

 

    char szPath[MAX_PATH] = {0};

    if (::SHGetSpecialFolderPathA(NULL, szPath, CSIDL_APPDATA, TRUE))

    {

        std::string flag("config\\systemprofile");

        std::string path(szPath);

        if (path.find(flag) != std::string::npos)

        {

            isSystemPrivilege = true;

        }

    }

 

    return isSystemPrivilege;

}

（2）模拟当前登陆用户

想要获取的正确的目录，需要模拟当前登陆用户，获取登录用户的token，再调用SHGetSpecialFolderPath传入此token来获取。另外通过此token，还可以通过CreateProcessAsUser来创建登录用户权限的进程。

 

// 若执行成功，传出获取的token

bool ImpersonateLoggedOnUserWrapper(HANDLE& hToken)

{

    DWORD dwConsoleSessionId = WTSGetActiveConsoleSessionId();

    if (WTSQueryUserToken(dwConsoleSessionId, &hToken))

    {

        if (ImpersonateLoggedOnUser(hToken))

        {

            return true;

        }

    }

    return false;

}

（3）获取正确的目录

通过上面获取的token传入SHGetSpecialFolderPath来获取CSIDL_LOCAL_APPDATA等正确的路径。网上资料说这个函数有时会失败，GetLastError返回5。而Windows提供的另外一个API叫做SHGetFolderPath，是可以正常获取路径的，因此我们使用后面这个API。

 

BOOL WINAPI SHGetSpecialFolderPathWrapper(

    HWND hwnd,

    LPWSTR lpszPath,

    int csidl,

    BOOL fCreate

    )

{

    BOOL ret = FALSE;

    do

    {

        if (false == IsSystemPrivilegeImp())

        {

            if (SHGetSpecialFolderPath(hwnd, lpszPath, csidl, fCreate))

            {

                ret = TRUE;

                break;

            }

        }

 

        HANDLE hToken = NULL;

        if (false == ImpersonateLoggedOnUserWrapper(hToken))

        {

            break;

        }

 

        if (S_OK == SHGetFolderPath(NULL, csidl, hToken, SHGFP_TYPE_DEFAULT, lpszPath))

        {

            ret = TRUE;

 

            //使用完毕之后通过调用RevertToSelf取消模拟

            RevertToSelf();

 

            break;

        }

 

    } while (0);

 

    return ret;

}

2. 降权启动进程

判断当前是否是system权限，如果是system权限，则以普通管理员用户的权限重新把自己调起。

 

#define TokenLinkedToken 19

 

 

DWORD GetActiveSessionID()

{

 

    DWORD dwSessionId = 0;

    PWTS_SESSION_INFO pSessionInfo = NULL;

    DWORD dwCount = 0;

 

    WTSEnumerateSessions(WTS_CURRENT_SERVER_HANDLE, 0, 1, &pSessionInfo, &dwCount);

 

    for(DWORD i = 0; i < dwCount; i++)

    {

        WTS_SESSION_INFO si = pSessionInfo[i];

        if(WTSActive == si.State)

        {

            dwSessionId = si.SessionId;

            break;

        }

    }

 

    WTSFreeMemory(pSessionInfo);

    return dwSessionId;

 

}

BOOL TriggerAppExecute(std::wstring wstrCmdLine/*, INT32& n32ExitResult*/)

{

    DWORD dwProcesses = 0;

    BOOL bResult = FALSE;

 

    DWORD dwSid = GetActiveSessionID();

 

    DWORD dwRet = 0;

    PROCESS_INFORMATION pi;

    STARTUPINFO si;

    HANDLE hProcess = NULL, hPToken = NULL, hUserTokenDup = NULL;

    if (!WTSQueryUserToken(dwSid, &hPToken))

    {

        PROCESSENTRY32 procEntry;

        DWORD dwPid = 0;

        HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

        if (hSnap == INVALID_HANDLE_VALUE)

        {

            return FALSE;

        }

 

        procEntry.dwSize = sizeof(PROCESSENTRY32);

        if (Process32First(hSnap, &procEntry))

        {

            do

            {

                if (_tcsicmp(procEntry.szExeFile, _T("explorer.exe")) == 0)

                {

                    DWORD exeSessionId = 0;

                    if (ProcessIdToSessionId(procEntry.th32ProcessID, &exeSessionId) && exeSessionId == dwSid)

                    {

                        dwPid = procEntry.th32ProcessID;

                        break;

                    }

                }

 

            } while (Process32Next(hSnap, &procEntry));

        }

        CloseHandle(hSnap);

 

        // explorer进程不存在

        if (dwPid == 0)

        {

            return FALSE;

        }

 

        hProcess = ::OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, dwPid);

        if (hProcess == NULL)

        {

            return FALSE;

        }

 

        if(!::OpenProcessToken(hProcess, TOKEN_ALL_ACCESS_P,&hPToken))

        {

            CloseHandle(hProcess);

            return FALSE;

        }

    }

 

    if (hPToken == NULL)

        return FALSE;

 

    TOKEN_LINKED_TOKEN admin;

    bResult = GetTokenInformation(hPToken, (TOKEN_INFORMATION_CLASS)TokenLinkedToken, &admin, sizeof(TOKEN_LINKED_TOKEN), &dwRet);

 

    if (!bResult) // vista 以前版本不支持TokenLinkedToken

    {

        TOKEN_PRIVILEGES tp;

        LUID luid;

        if (LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&luid))

        {

            tp.PrivilegeCount =1;

            tp.Privileges[0].Luid =luid;

            tp.Privileges[0].Attributes =SE_PRIVILEGE_ENABLED;

        }

        //复制token

 DuplicateTokenEx(hPToken,MAXIMUM_ALLOWED,NULL,SecurityIdentification,TokenPrimary,&hUserTokenDup);

    }

    else

    {

        hUserTokenDup = admin.LinkedToken;

    }

 

    LPVOID pEnv =NULL;

    DWORD dwCreationFlags = CREATE_PRESERVE_CODE_AUTHZ_LEVEL;

 

    // hUserTokenDup为当前登陆用户的令牌

    if(CreateEnvironmentBlock(&pEnv,hUserTokenDup,TRUE))

    {

        //如果传递了环境变量参数，CreateProcessAsUser的

        //dwCreationFlags参数需要加上CREATE_UNICODE_ENVIRONMENT，

        //这是MSDN明确说明的

        dwCreationFlags|=CREATE_UNICODE_ENVIRONMENT;

    }

    else

    {

        //环境变量创建失败仍然可以创建进程，

        //但会影响到后面的进程获取环境变量内容

        pEnv = NULL;

    }

 

    ZeroMemory( &si, sizeof(si) );

    si.cb = sizeof(si);

    si.dwFlags = STARTF_USESHOWWINDOW;

    si.wShowWindow = SW_HIDE;

    ZeroMemory( &pi, sizeof(pi) );

 

    bResult = CreateProcessAsUser(

        hUserTokenDup,                     // client's access token

        NULL,    // file to execute

        (LPTSTR) wstrCmdLine.c_str(),                 // command line

        NULL,            // pointer to process SECURITY_ATTRIBUTES

        NULL,               // pointer to thread SECURITY_ATTRIBUTES

        FALSE,              // handles are not inheritable

        dwCreationFlags,     // creation flags

        pEnv,               // pointer to new environment block

        NULL,               // name of current directory

        &si,               // pointer to STARTUPINFO structure

        &pi                // receives information about new process

        ); 

 

 

    if(pi.hProcess)

    {

        CloseHandle(pi.hThread);

        CloseHandle(pi.hProcess);

    }

 

    if (hUserTokenDup != NULL)

        CloseHandle(hUserTokenDup);

    if (hProcess != NULL)

        CloseHandle(hProcess);

    if (hPToken != NULL)

        CloseHandle(hPToken);

    if (pEnv != NULL)

        DestroyEnvironmentBlock(pEnv);

 

    return TRUE;

}