问题标签 [dacl]

有没有办法从 Windows 的内核模式将 ACE 添加到文件/目录的 DACL 中？我找到了关于ZwQuerySecurityObject/ZwSetSecurityObject例程的参考，但它没有在 WINDDK 标头中定义。

我会很感激这个问题的任何信息。

我正在尝试让我自己的静态类与 AD 一起使用。我写了一个静态方法：

在使用此功能之前，我使用远程凭据模拟用户，然后代码正常工作，但没有结果。删除 ACE 的类似功能可以正常工作。

上下文：Windows7 64 位、ActiveDirectory、Windows Server 2003

我试图让微软在他们的 Win32_Printer 类（Windows）的 GetSecurityDescriptor 方法页面上给出的代码工作。我有点想知道 winmgmts 的双重实例化是如何工作的，即（来自他们的代码）

我原以为第二个实例会打败第一个实例。这似乎可以通过以下事实得到证实：无论我在 strComputer 中输入什么服务器名称，我仍然会获得计算机上的打印机列表。

有没有人喜欢使用 VBScript 获得连接服务器的打印机的 DACL？

I unable to read security descriptor of a folder from service.

The folder is created by a Limited user. Administrators Group is Denied "Read and Execute" control. Limited user & System user has full access. I have an elevated token privileged for - "SE_SECURITY_NAME", "SE_BACKUP_NAME", "SE_RESTORE_NAME" and "SE_DEBUG_NAME".

GetNamedSecurityInfo fails with Error Code 5 (Access Denied).

Full marks for anybody that can even be remotely of help. Thanks in advance.

-- Varun

我正在尝试将两个条目设置为同一组的对象文件夹，具有不同的继承，（一个为 FILE_TRAVERSE 的 NO_INHERITANCE，另一个为 SUB_CONTAINERS_AND_OBJECTS_INHERIT，用于 GENERIC_READ）。我看到每次最后一次通话都会覆盖先例。我在 delphi 中编写了这个（但如果是 C++ 或 C...，则相同）。有人可以帮我解决问题吗？

这是调用函数：

我这样称呼它两次：

第二个调用替代第一个。最后，我没有得到同一组的两个条目。

目标：向现有文件共享添加本地用户帐户共享级别的读/写权限。

我在开发这个时遇到了障碍。显然，Microsoft 希望您将用户的 ACE 添加到 DACL，然后再返回到共享的安全描述符中。(1)。（不，NET SHARE /ADD 不适用于现有共享，我很惊讶。）

理论上这应该很简单，但我主要担心做错了并失去现有的共享权限（很多网络用户，特定组）。该解决方案需要扩展到几千个共享。我正在开发解决方案以输出有关现有 DACL 的数据，以防我需要退出。我应该编写代码来解释该日志，并准备好在出现任何问题时将它们全部添加回来。

目前我正在使用 VBscript——我觉得 PowerShell 可能是一种更强大的方法，但 VBscript/WMI 是一个已知数量。

研究：（1）http://blogs.msdn.com/b/helloworld/archive/2008/07/22/editing-share-permission.aspx

我需要授予每个人访问我正在创建的命名管道的权限。我知道这样做的方法是创建一个 NULL/空 DACL 并将其传递给CreateNamedPipe.

如何创建 NULL DACL？有人告诉我，这与为LPSECURITY_ATTRIBUTES.

是否可以使用 DACL 字符串选择这样的安全描述符，使得文件只能由 Windows 服务打开，而不能由普通进程打开，即使该进程由本地管理员帐户运行？

为了澄清，我只需要让非技术用户在记事本中打开它并篡改它相当困难。它不需要与愿意花费一个月时间进行逆向工程和破解它的程序员对抗。

我更喜欢使用 DACL 而不是锁定文件来实现这一点，因为这样我的 Windows 服务就不需要一直运行来保护文件。

我的程序处理一个特定的文件，如果满足某些条件，那么它必须阻止所有用户甚至管理员对该文件的访问（READ n WRITE）。

稍后，当调用另一个函数时，它必须将访问控制设置恢复正​​常。

我试过下面的代码

它可以很好地阻止写访问。但我不能阻止读取访问。另外我不知道有什么方法可以恢复以前的访问设置，因为如果我阻止 admin 的读取访问，它就不会说话。

请告诉我如何实现所需的功能。

我的 Windows 服务使用 CreateEvent 创建 2 个事件，用于与用户应用程序通信。服务和用户应用程序不在同一个用户帐户下运行。用户应用程序打开事件并将其设置为无错误信号。但是该服务永远不会收到该事件。另一个事件在相反的方向起作用。所以我认为这些事件错​​过了同步权。

服务：

互动应用：

谢谢你的帮助，

奥利维尔