1

我正在尝试在 C++ 中以编程方式将文件的所有者设置为另一个用户。

我已经为我的流程启用了SeRestorePrivilege。我可以使用 Process Explorer 确认这一点。我启动进程，它被禁用，我运行我的代码来启用它，ProcExp 将它报告为启用，我一直到要设置所有者的点，它仍然是启用的（即我不是不小心禁用了它）。

此访问被拒绝消息还有什么其他原因？我没有考虑什么？

std::wstring fileSystemObject = L"C:\test.txt";
*status_code = SetNamedSecurityInfo((wchar_t*)fileSystemObject.c_str(), SE_FILE_OBJECT, OWNER_SECURITY_INFORMATION, pSID, NULL, NULL, NULL);
if (*status_code == ERROR_SUCCESS)
{
    Log(L"Successfully set owner for " + fileSystemObject);
    return true;
}
else
{
    Log(L"Failed to set owner for " + fileSystemObject + L". Error code: ", *status_code);
    return false;
}

谢谢你。

编辑：非常感谢您的持续帮助。非常感谢。

我将您的代码用于以下所有测试。基本上，我也从您的代码中收到拒绝访问消息，但是，我已经对其进行了更多跟踪。

首先，“C:\test.txt”不是我真正的代码，不幸的是缺少的反斜杠不是我的问题的原因。不过谢谢你敏锐的眼睛：）

另外，我正在运行禁用 UAC 的管理员帐户，并且我的程序在清单中设置了 requireAdministrator 。

但是，我注意到我的代码和您的代码都适用于简单文件。经过大量测试，我发现我只在以下情况下收到 AccessDenied 消息：

1：我不是所有者，并且“Take Ownership”权限设置为拒绝，例如所有人。

2：我是所有者，并且“Take Ownership”权限设置为拒绝，例如所有人。奇怪的是，在第二个实例中，尽​​管出现了故障代码，但所有权更改确实发生了。

我不明白为什么会这样。我和你已经在进程令牌中设置了 SE_RESTORE_NAME。我应该被允许任意设置所有者 SID。但好像我做不到。

似乎对 TakeOwnership DACL 的任何拒绝都会覆盖我获得所有权的能力。但是，在获得所有权之前，我无法更改权限！叹息。

我可能会尝试按照您最初的建议设置 SeTakeOwnershipPrivilege，将所有权归于自己，更改权限，在外部设置所有权。多么痛苦。而且我什至不是很有信心它会起作用。

我还发现了这个：http ://us.generation-nt.com/setnamedsecurityinfo-failing-rc-1307-help-59729462.html

他似乎处于类似的情况（如果我没有正确设置进程令牌，我会得到 1307）。但是 CreatePrivateObjectSecurityEx 需要进行更多设置。

嗯。谢谢你的时间。

4

1 回答 1

2

这里的问题是安全子系统和模型正在保护对象免受不合理的所有权更改，甚至需要拥有管理员权限才能正确克服障碍。

获取文件的所有权涉及两个特权：SE_TAKE_OWNERSHIP_NAME和SE_RESTORE_NAME. 前者允许获取某人的对象，后者允许设置不是设置者本人的所有者。

它可能看起来SE_RESTORE_NAME是一个更强大的特权并且足以完成任务，但它似乎不是。是的，它允许设置某人的所有权，正如 MSDN 所述：

如果调用者没有 SeRestorePrivilege 常量（请参阅 Privilege Constants），则此 SID 必须包含在调用者的令牌中，并且必须启用 SE_GROUP_OWNER 权限。SecurityInfo 参数必须包含 OWNER_SECURITY_INFORMATION 标志。要设置所有者，调用者必须对对象具有 WRITE_OWNER 访问权限或启用 SE_TAKE_OWNERSHIP_NAME 权限。

但是，它不会让您克服明确阻止所有权更改的 DACL 项。在这种情况下，您还需要其他特权（即，您需要同时启用两者），这使您能够在决定将其授予谁之前从某人那里获得所有权。

我正在从上面的评论中复制指向 C++/ATL 源代码的链接：SetFileOwner.cpp。当权限/DACL 具有拒绝项时，会发生异常，启用第二个权限可以解决问题。

于 2012-09-09T17:17:27.197 回答