具有不受信任完整性级别的 Windows 进程

Question

我在 Windows 中找不到关于 Untrusted 完整性级别的太多信息，并且对此有一些疑问：

1. 是否存在不受信任的完整性级别进程可以创建命名对象的地方？ （互斥体、事件等）
2. 不受信任的完整性级别进程是否应该能够打开现有的命名对象，该对象在创建时被赋予了安全描述符，ACE 和 SYSTEM_MANDATORY_LABEL_NO_WRITE_UP 到 MandatoryLevelUntrusted？当我尝试它时，它会因0xc0000022（拒绝访问）而失败，而使用MandatoryLevelLow 时效果很好。
3. 通常不受信任的完整性进程如何与其代理进程通信？ （比如 google chrome 选项卡如何与 google chrome 代理通信？）

Answer 1

是否有一个不受信任的完整性级别进程可以创建的地方 命名对象？ （互斥体、事件等）

默认情况下 - 没有。具有不受信任的令牌（线程或进程）的代码只能在具有Untrusted Mandatory Level 的目录中创建对象 - 没有一个标准文件夹具有这种标签。有些人有 Low Mandatory Level 但不受信任 - 没有。

但您可以自己轻松创建此文件夹。使用Untrusted Mandatory Level 和NULL DACL - 不受信任的代码可以在此文件夹中创建对象。

NTSTATUS CreateUntrustedFolder(PHANDLE phObject, PCUNICODE_STRING ObjectName)
{
    ULONG cb = MAX_SID_SIZE;
    PSID UntrustedSid = (PSID)alloca(MAX_SID_SIZE);
    if (CreateWellKnownSid(WinUntrustedLabelSid, 0, UntrustedSid, &cb))
    {
        PACL Sacl = (PACL)alloca(cb += sizeof(ACL) + sizeof(ACE_HEADER) + sizeof(ACCESS_MASK));
        InitializeAcl(Sacl, cb, ACL_REVISION);
        if (AddMandatoryAce(Sacl, ACL_REVISION, 0, 0, UntrustedSid))
        {
            SECURITY_DESCRIPTOR sd;
            InitializeSecurityDescriptor(&sd, SECURITY_DESCRIPTOR_REVISION);
            SetSecurityDescriptorDacl(&sd, TRUE, NULL, FALSE);
            SetSecurityDescriptorSacl(&sd, TRUE, Sacl, FALSE);

            OBJECT_ATTRIBUTES oa = { sizeof(oa), 0, (PUNICODE_STRING)ObjectName, OBJ_CASE_INSENSITIVE|OBJ_OPENIF, &sd };

            return ZwCreateDirectoryObject(phObject, DIRECTORY_ALL_ACCESS, &oa);
        }
    }

    return STATUS_UNSUCCESSFUL;
}

关于不受信任的代码创建 - 如果以标记为不受信任的完整性级别的令牌开头启动进程 - 进程无法启动。这当 ntdll.dll 尝试加载 kernel32.dll - 它也尝试用SECTION_MAP_WRITE 打开部分\KnownDlls\kernel32.dll，但是这个对象有Low Mandatory Level 和SYSTEM_MANDATORY_LABEL_NO_WRITE_UP - 结果不受信任的代码无法以写访问权限打开此部分。

因此，您首先需要使用Low Mandatory Level 创建进程，然后设置不受信任的级别

ULONG SetProcessUntrusted(HANDLE hProcess)
{
    TOKEN_MANDATORY_LABEL tml = { { (PSID)alloca(MAX_SID_SIZE), SE_GROUP_INTEGRITY } };

    ULONG cb = MAX_SID_SIZE;

    HANDLE hToken;

    if (!CreateWellKnownSid(WinUntrustedLabelSid, 0, tml.Label.Sid, &cb) ||
        !OpenProcessToken(hProcess, TOKEN_ADJUST_DEFAULT, &hToken))
    {
        return GetLastError();
    }

    ULONG dwError = NOERROR;
    if (!SetTokenInformation(hToken, TokenIntegrityLevel, &tml, sizeof(tml)))
    {
        dwError = GetLastError();
    }

    CloseHandle(hToken);

    return dwError;
}

不受信任的完整性级别进程是否应该能够打开现有的 命名对象

这取决于对象标签（级别和掩码）、代码完整性级别和所需的访问权限。如果代码完整性级别 >= 对象标签级别 - 我们可以打开对象（如果 dacl 让我们这样做）。否则需要寻找对象标签掩码和所需的访问权限。例如对象有Low Mandatory Level 和SYSTEM_MANDATORY_LABEL_NO_WRITE_UP 和代码Untrusted Mandatory Level - 此代码可以打开具有读取和执行访问权限的对象，但无法打开它进行写入访问