如何在Vista中不弹出UAC以本地系统账户启动程序

来源：互联网发布：美工做一张图多少钱编辑：程序博客网时间：2024/06/05 07:06

本文讲解如何以本地系统账户从会话0至会话1启动一个程序。

简介
在Vista中，你可能也遇到过这样的问题，当想要以管理员账户启动一个exe执行某些特定任务时，往往UAC权限提升对话框就出来了。为解决这个问题，可把一个服务以本地系统账户权限放入到当前用户会话中，来启动所需的程序，这就不需要我们响应UAC对话框了，并以尽可能最高的权限来运行程序。在某些情况中，这是必不可少的，因为某些程序需要在无用户干预的情况下，以管理员权限相互控制与通讯，并在操作系统启动时，在当前用户会话中执行一些管理性的任务。

背景
有一个普通用户模式的程序，其通过自定义消息与某个服务进行通讯，当接收到自定义消息时，服务将会以系统账户启动所请求的程序。这里使用了winlogon的令牌来获取本地系统账户，因为winlogon.exe正运行在本地系统账户下。（不像XP，在Vista中，服务运行在会话0中，而第一个登录在会话1中，以此类推）

使用的代码
先来看一下CustomMessageSender.cpp这个文件，这是一个用户模式程序，其负责与服务通讯，且没有任务特权。

#define SERVICE_NAME _T("CustomSvc")
//为服务自定义消息，以便在会话1中启动相关进程
#define SERVICE_CONTROL_CUSTOM_MESSAGE 0x0085

int _tmain(int argc, _TCHAR* argv[])
{
    SC_HANDLE hMyService,hSCM;
    BOOL bSuccess;
    SERVICE_STATUS status;
    hSCM = OpenSCManager(0,0,SC_MANAGER_CONNECT);
    if(!hSCM)
    {
        printf("Open SCM failed with error %u",GetLastError());
    }
    hMyService = OpenService(hSCM,SERVICE_NAME,SERVICE_USER_DEFINED_CONTROL);
    if(!hMyService)
    {
        printf("Open SCM failed with error %u",GetLastError());
    }
    bSuccess = ControlService(hMyService,SERVICE_CONTROL_CUSTOM_MESSAGE,&status);
    if(!bSuccess)
    {
        printf("Control Service failed with error %u",GetLastError());
    }
    CloseServiceHandle(hMyService);
    CloseServiceHandle(hSCM);
    return 0;
}

代码非常简单，使用了SERVICE_USER_DEFINED_CONTROL与SC_MANAGER_CONNECT访问权限，因为任何用户模式的程序都能连接到我们的服务，并向它发送自定义消息，在这并不需要管理员权限。这个程序向服务发送SERVICE_CONTROL_CUSTOM_MESSAGE，服务收到消息并启动相应的程序。以下是一段简单的服务代码：

//为服务自定义消息，以便在会话1中启动相关进程
#define SERVICE_CONTROL_CUSTOM_MESSAGE 0x0085

//以本地系统账户，在会话1下启动程序的方法

BOOL LaunchAppIntoDifferentSession();
.
省略...

void WINAPI ServiceCtrlHandler(DWORD Opcode)
{
switch(Opcode)
{
//////////////////////////////////////////////////////////////////////////
//从用户程序接受到一个自定义消息

case SERVICE_CONTROL_CUSTOM_MESSAGE:
LaunchAppIntoDifferentSession();
break;

在这段代码中，声明了自定义消息与方法原型，先来说一下这个LaunchAppIntoDifferentSession方法。为达到以本地系统账户启动一个进程的目的，需要以下步骤：

1、用WTSGetActiveConsoleSessionId，得到目前活动的控制台SessionID。
2、因为需要以系统账户启动程序，所以要使用从Winlogon得到的令牌（因为Winlogon运行在系统账户下）。取得Winlogon进程ID并复制令牌。
3、在CreateProcessAsUser中，用复制的Winlogon令牌以会话1启动相应程序。

BOOL LaunchAppIntoDifferentSession()
{
   PROCESS_INFORMATION pi;
   STARTUPINFO si;
   BOOL bResult = FALSE;
   DWORD dwSessionId,winlogonPid;
   HANDLE hUserToken,hUserTokenDup,hPToken,hProcess;
   DWORD dwCreationFlags;

dwSessionId = WTSGetActiveConsoleSessionId();

//////////////////////////////////////////
//查找winlogon进程
////////////////////////////////////////

PROCESSENTRY32 procEntry;

    HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    if (hSnap == INVALID_HANDLE_VALUE)
    {
        return 1 ;
    }

procEntry.dwSize = sizeof(PROCESSENTRY32);

    if (!Process32First(hSnap, &procEntry))
    {
        return 1 ;
    }

    do
    {
        if (_stricmp(procEntry.szExeFile, "winlogon.exe") == 0)
        {
        //找到winlogon进程
        //确定它运行在控制台会话中
            DWORD winlogonSessId = 0;
            if (ProcessIdToSessionId(procEntry.th32ProcessID, &winlogonSessId)
                    && winlogonSessId == dwSessionId)
            {
                winlogonPid = procEntry.th32ProcessID;
                break;
            }
        }

} while (Process32Next(hSnap, &procEntry));

////////////////////////////////////////////////////////////////////////

   WTSQueryUserToken(dwSessionId,&hUserToken);
   dwCreationFlags = NORMAL_PRIORITY_CLASS|CREATE_NEW_CONSOLE;
   ZeroMemory(&si, sizeof(STARTUPINFO));
   si.cb= sizeof(STARTUPINFO);
   si.lpDesktop = "winsta0//default";
   ZeroMemory(&pi, sizeof(pi));
   TOKEN_PRIVILEGES tp;
   LUID luid;
   hProcess = OpenProcess(MAXIMUM_ALLOWED,FALSE,winlogonPid);

   if(!::OpenProcessToken(hProcess,TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY
                 |TOKEN_DUPLICATE|TOKEN_ASSIGN_PRIMARY|TOKEN_ADJUST_SESSIONID
                          |TOKEN_READ|TOKEN_WRITE,&hPToken))
   {
               int abcd = GetLastError();
               printf("Process token open Error: %u/n",GetLastError());
   }

   if (!LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&luid))
   {
       printf("Lookup Privilege value Error: %u/n",GetLastError());
   }
   tp.PrivilegeCount =1;
   tp.Privileges[0].Luid =luid;
   tp.Privileges[0].Attributes =SE_PRIVILEGE_ENABLED;

   DuplicateTokenEx(hPToken,MAXIMUM_ALLOWED,NULL,
            SecurityIdentification,TokenPrimary,&hUserTokenDup);
   int dup = GetLastError();

   //调整令牌权限
   SetTokenInformation(hUserTokenDup,
        TokenSessionId,(void*)dwSessionId,sizeof(DWORD));

   if (!AdjustTokenPrivileges(hUserTokenDup,FALSE,&tp,sizeof(TOKEN_PRIVILEGES),
                        (PTOKEN_PRIVILEGES)NULL,NULL))
   {
       int abc =GetLastError();
       printf("Adjust Privilege value Error: %u/n",GetLastError());
   }

   if (GetLastError()== ERROR_NOT_ALL_ASSIGNED)
   {
     printf("Token does not have the provilege/n");
   }

LPVOID pEnv =NULL;

   if(CreateEnvironmentBlock(&pEnv,hUserTokenDup,TRUE))
   {
       dwCreationFlags|=CREATE_UNICODE_ENVIRONMENT;
   }
   else
      pEnv=NULL;

//在用户登录的会话中启动进程

bResult = CreateProcessAsUser(
      hUserTokenDup,                  //用户的访问令牌
      _T("C://SessionLauncher//a.exe"),   //要执行的文件
      NULL,                          //命令行
      NULL,                          //进程指针SECURITY_ATTRIBUTES
      NULL,                          //线程指针SECURITY_ATTRIBUTES
      FALSE,                         //句柄不可继承
      dwCreationFlags,                //创建标志
      pEnv,                          //指向新环境块的指针
      NULL,                         //当前目录名
      &si,                           //指向STARTUPINFO结构的指针
      &pi                           //新进程的相关信息
   );

int iResultOfCreateProcessAsUser = GetLastError();//此处结果应为0

//关闭所有句柄

CloseHandle(hProcess);
CloseHandle(hUserToken);
CloseHandle(hUserTokenDup);
CloseHandle(hPToken);

return 0;
}

这样一来，普通用户模式的程序就能向服务发送一自定义消息，以在本地系统账户下启动自身，而无须弹出UAC对话框。

可能你要问了：怎样用GetUserName() API来返回当前已登录用户、怎样在系统账户下访问HKCU。事实上，当我们启动一个需要提升权限的进程时，不可能从用户角度绕过UAC对话框，因为微软就是这样设计的。尽管写一些内核模式代码可能会达到此目的，但最好还是模仿系统账户来访问HKCU。在此使用了Explorer进程，因为它运行在用户账户中。
模仿用户令牌会导致当前工作者线程运行于用户上下文中。请注意，如果你使用CreateProcess()，它仍会在系统账户下生成进程，因为我们总的进程仍是运行在本地系统账户之下。
以下便是大致的代码，这段代码需要写进由服务启动的程序中：

DWORD dwSessionId,dwExplorerLogonPid,dwSize,dwRegDataSize;
HANDLE hProcess,hPToken;
char szUserName[MAX_PATH];
char szRegData[MAX_PATH];
char szRegPath[500] = "Software//Microsoft//Windows//CurrentVersion//Run";
HKEY hKey; //用于注册表键值的句柄
long lRegResult; //注册表操作结果

//取当前活动的桌面会话id
dwSessionId = WTSGetActiveConsoleSessionId();

//////////////////////////////////////////
//查找explorer进程
////////////////////////////////////////

PROCESSENTRY32 procEntry;

    HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    if (hSnap == INVALID_HANDLE_VALUE)
    {
        return 1 ;
    }

procEntry.dwSize = sizeof(PROCESSENTRY32);

    if (!Process32First(hSnap, &procEntry))
    {
        return 1 ;
    }

    do
    {
        if (_stricmp(procEntry.szExeFile, "explorer.exe") == 0)
        {
          DWORD dwExplorerSessId = 0;
          if (ProcessIdToSessionId(procEntry.th32ProcessID, &dwExplorerSessId)
                    && dwExplorerSessId == dwSessionId)
            {
                dwExplorerLogonPid = procEntry.th32ProcessID;
                break;
            }
        }

} while (Process32Next(hSnap, &procEntry));

////////////////////////////////////////////////////////////////////////
hProcess = OpenProcess(MAXIMUM_ALLOWED,FALSE,dwExplorerLogonPid);

   if(!::OpenProcessToken(hProcess,TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY
              |TOKEN_DUPLICATE|TOKEN_ASSIGN_PRIMARY|TOKEN_ADJUST_SESSIONID
              |TOKEN_READ|TOKEN_WRITE,&hPToken))
   {
               int abcd = GetLastError();
               printf("Process token open Error: %u/n",GetLastError());
   }

我们需要模仿服务令牌，以便作为用户运行来访问注册表，这会导致我们的工作者线程运行在用户令牌上下文中。

//模仿explorer令牌，其运行于用户账户下
ImpersonateLoggedOnUser(hPToken);

int iImpersonateResult = GetLastError();

if(iImpersonateResult == ERROR_SUCCESS)
{
GetUserName(szUserName,&dwSize);

//因为线程作为用户运行，现在就可以访问HKCU了
dwRegDataSize = sizeof(szRegData);
lRegResult = RegOpenKeyEx(HKEY_CURRENT_USER,
            szRegPath,0,KEY_QUERY_VALUE,&hKey);
if (lRegResult == ERROR_SUCCESS)
     RegQueryValueEx(hKey,_T("SideBar"),NULL,NULL,
            (LPBYTE)&szRegData,&dwRegDataSize);
}
//一旦操作完成，回复到系统账户
RevertToSelf();