표준 사용자가 로그온 할 때 관리 대화 형 프로세스 시작하기

Question

나는 BlockInput() 함수와 NVIDIA의 NVAPI 함수를 포함한 일부 데스크탑 관련 리소스에 액세스 할 수 있도록 관리자로 도우미 대화 형 프로세스를 만드는 시스템 서비스를 가지고 있습니다. 이는 서비스에서 실행할 수 없습니다. 관리자의 구성원이 사용자에 있던 로그온 한 경우,이 일을 다음 SE_TCB_NAME 포함

1. 설정 권한 수준을
2. WTSGetActiveConsoleSessionId()
3. 가 WTSQueryUserToken와 세션 ID의 사용자 로그온하기로 활성 세션 ID를 가져옵니다 SecurityImpersonation
4. Launc와 TokenLinkedToken
5. 하여 DuplicateTokenEx (()로
6. GetTokenInformation()) 에 CreateProcessAsUser와 시간 과정()

그러나

, 내가 세션에 로그온 전류가 표준 사용자가 아닌 관리자의 하나가 될 때, 4 단계가 실패, 아마도 표준 사용자 토큰 관리 수준이 없기 때문에 그것과 연결되어 있습니다. 여기서 해결책은 무엇입니까? 나는 관리자 사용자 중 한 명에게 토큰을 가져 가야한다고 가정하지만, 어떻게해야합니까? 그리고 해당 사용자가 로그온 한 사용자가 아닌 경우에도 현재 데스크톱과 상호 작용하는 기능에 계속 액세스 할 수 있습니까?

Answer 1

자신의 토큰을 복제 한 다음 SetTokenInformation 기능을 사용하여 복제 된 토큰의 세션을 변경하여 대화식 세션에 넣을 수 있습니다.

대화식 세션에서 SYSTEM으로 실행하면 대화 형 사용자가 프로세스를 공격 할 가능성이있어 권한 상승이 가능하기 때문에 권장하지 않습니다. (자세한 내용은 "shatter 공격"을 검색하십시오.) 그러나이 문제는 비 관리자 사용자 세션에서 관리 사용자로 실행되는 프로세스에도 똑같이 적용됩니다.

대화 형 세션에서 비 관리 프로세스를 사용하여 대화식 세션이 필요한 기능을 수행하고 서비스를 사용하여 관리 권한이 필요한 기능을 수행하는 것이 가장 이상적입니다. 두 가지 기능을 모두 필요로하는 기능이 있으면 안됩니다. 그러나 NVAPI가이 규칙을 어기면 그것에 대해 할 수있는 일은별로 없습니다.

이 위험을 최소화하기 위해 대화식 사용자 세션에서 특수하게 생성 된 (적절하게 보안이 설정된) 워크 스테이션으로 프로세스를 시작하는 것을 고려하십시오.