security - 用户文件夹中的 CreateFile 访问被拒绝

Question

从使用 USER1 帐户运行的一个应用程序中，我想访问位于 C:\Users\ADMIN 下的文件

USER1 是受限的，ADMIN 是管理员帐户。

该进程具有从 LogonUser api 获得的管理令牌，并尝试使用 ImpersonateLoggedOnUser 和 SetThreadToken（使用 DuplicateToken/SecurityImpersonation），但在这两种情况下，当我调用 CreateFile 时，我都会收到 ERROR_BAD_IMPERSONATION_LEVEL 错误。

我几乎可以肯定我必须处理安全问题，但不知道如何处理。

Answer 1

问题是目标进程需要具有特权，默认情况下SeImpersonateUser仅在进程中可用。SYSTEM

当线程被模拟时，由于进程没有所需的权限，api会成功，但实际级别将是Delegate而不是Impersonate，因此CreateFile失败。