关于判断一个进程的提升权限方式以及目前的权限
这里使用一个自定义的函数GetProcessElevation来获取
BOOL GetProcessEleation(TOKEN_ELEVATION_TYPE* pElevationType, BOOL* pIsadmin){
HANDLE hToken = NULL;
DWORD dwSize;
if(!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)
return(FALSE);
if(GetTokenInformation(hToken,TokenElevationType,pElevationType,sizeof(TokenElevationType),&dwSize)){
BYTE adminSID[SECURITY_MAX_SID_SIZE];
CreateWellKnownSid(WinBuiltinAdministratorsSid,NULL,&adminSID,&dwSize);
if(*pElevationType == TokenElevationTypeLimited){
HANDLE hUnfilteredToken = NULL;
GetTokenInformation(hToken,TokenLinkedToken,(VOID*)&hUnfilteredToken,sizeof(HANDLE),&dwSize);
if(CheckTokenMembership(hUnfilteredToken,&adminSID,pIsadmin))
bResult = TRUE;
CloseHandle(hUnfilteredToken);
}else{
*pIsadmin = IsUserAnAdmin();
bResult = TRUE;
}
}
CloseHandle(hToken);
return(bResult);
}
有点杂 上解释
首先这里传进去的两个参数：
- 第一个：TOKEN_ELEVATION_TYPE* pElevationType
这货有三个备选值 分别表示这样的意思：
TokenElevationTypeDefault 以默认用户运行
TokenElevationTypeDeFull 成功提权 令牌未筛选
TokenElevationTypeLimited 受限权限 对应一个筛选后的令牌
然后我们后面的GetTokenInformation就可以获取到这个信息了 - 第二个：BOOL* pIsAdmin
看名字都知道 这是用来记录是不是admin账户的
然后整个函数里面就只有*pIsAdmin = IsUserAnAdmin 调用了这货
具体机制的解释：
首先用OpenProcessToken 果断上函数原型
BOOL WINAPI OpenProcessToken(
_In_ HANDLE ProcessHandle,
_In_ DWORD DesiredAccess,
_Out_ PHANDLE TokenHandle
);
可以看到第一个是我们要访问的进程的handle 第二个是我们要的请求 第三个返回一个令牌的handle供我们使用
这里第二个参数传入的是TOKEN_QUERY 表示请求一个访问令牌
第三个就会把这个访问令牌的handle返回回来
在这一步成功之后 接下来就要去获取一些信息了 这里使用的是GetTokenInformation函数
BOOL WINAPI GetTokenInformation(
_In_ HANDLE TokenHandle,
_In_ TOKEN_INFORMATION_CLASS TokenInformationClass,
_Out_opt_ LPVOID TokenInformation,
_In_ DWORD TokenInformationLength,
_Out_ PDWORD ReturnLength
);
还是先上函数原型
第一个参数传的自然就是刚刚获取的访问令牌的handle
第二个是一个枚举类型 有多种选项任挑选 然后获取到的东西会对应给第三个参数
所以第三个参数就是获取到的信息了
这里我们第二个参数传入的是TokenElevationType 这货会接收一个TOKEN_ELEVATION_TYPE
然后存到第三个参数里面也就是我们一开始传入的那个pElevationType
第四和第五两个参数 一个要传入第三个参数的类型的大小 一个返回值的大小
接下来是调用CreateWellKnownSid函数来为管理用用户组创建一个安全描述符
先初始化一个adminSID数组 内存开到SECURITY_MAX_SID_SIZE即最大，然后重复利用dwSize来存这个数组的大小
还是上一下函数原型：
BOOL WINAPI CreateWellKnownSid(
_In_ WELL_KNOWN_SID_TYPE WellKnownSidType,
_In_opt_ PSID DomainSid,
_Out_opt_ PSID pSid,
_Inout_ DWORD *cbSid
);```
> 第一个参数依然是一个枚举 表示要创建的SID的类型
第二个传入NULL表明使用本地电脑
第三个是个输出 用刚刚建的adminSID来接收
第四个就是刚刚那个dwSize
这里获取到的adminSID是给下面的CheckTokenMembership函数用的
然后就要对应不同情况进行不同的处理了
当令牌被筛选过的时候 我们就需要再把没筛选过的令牌全部给检查一遍
看看有没有管理员
未筛选的话 就直接IsUserAnAdmin
最后获取到的信息：
其实就是两个传进去的参数
参看前面就清楚了