是否可以向 Windows 为管理员用户创建的标准用户令牌添加权限？

Question

这个问题是对 Why is SeCreateSymbolicLinkPrivilege ignored on Windows 8?

给定：

1. 用户在管理员组中
2. 我不能选择关闭 UAC。
3. 提升运行不是一种选择。

问题：是否可以将SeCreateSymbolicLinkPrivilege 添加到 Windows 为管理员用户创建的标准用户令牌中？

---

附录

非提升的管理员用户：

C:\dayforce\SharpTop>whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name                Description                          State
============================= ==================================== ========
SeShutdownPrivilege           Shut down the system                 Disabled
SeChangeNotifyPrivilege       Bypass traverse checking             Enabled
SeUndockPrivilege             Remove computer from docking station Disabled
SeIncreaseWorkingSetPrivilege Increase a process working set       Disabled
SeTimeZonePrivilege           Change the time zone                 Disabled

C:\dayforce\SharpTop>

普通用户：

C:\Windows\system32>whoami /priv

PRIVILEGES INFORMATION
----------------------

Privilege Name                Description                          State
============================= ==================================== ========
SeShutdownPrivilege           Shut down the system                 Disabled
SeChangeNotifyPrivilege       Bypass traverse checking             Enabled
SeUndockPrivilege             Remove computer from docking station Disabled
SeIncreaseWorkingSetPrivilege Increase a process working set       Disabled
SeTimeZonePrivilege           Change the time zone                 Disabled
SeCreateSymbolicLinkPrivilege Create symbolic links                Disabled

C:\Windows\system32>

请注意普通用户拥有SeCreateSymbolicLinkPrivilege 权限，因为我已在安全策略中启用它。但是管理员用户被搞砸了，因为这样做不会影响其标准用户令牌！

Answer 1

（这是对实际问题的非回答，但它是对我认为是实际目标的答案的尝试）

我感受到了你的痛苦——我一直在寻找一种方法来允许管理员用户运行非提升来创建符号链接，但没有成功......

• 我已经调查过更改进程令牌（也许是“explorer”） 添加 SeCreateSymbolicLinkPrivilege 权限，但它似乎 没有办法改变现有令牌的权限集。 即使您的补丁进程以 SYSTEM 身份运行和/或具有 SeTcbPrivilege 特权。

• 我已调查使用 CreateRestrictedToken 创建您的“自己的” 非提升进程，但使用 SeCreateSymbolicLinkPrivilege 权限左启用。但我读过的所有轶事 CreateRestrictedToken 建议生成的令牌不能 与“真实的”非提升令牌足够相似。那里 完整性级别或升高的标志是无法克服的问题 与令牌相关联。

• 无论您将什么用户分配给 create-symlink 用户权限 安全策略管理器，如果您的进程运行未提升（从 管理员用户），SeCreateSymbolicLinkPrivilege 权限获取 删除。即使添加的唯一用户是“所有人”，也会发生这种情况。

微软在这个问题上真的把我们搞砸了，似乎没有好的解决方法。虽然有一个可能的黑客解决方案......

现在对于骇人听闻的解决方案 - 在用户登录期间，启动一个后台程序（提升的），它将代表其他进程创建符号链接。这将需要使用某种 IPC（可能是命名管道）来接收来自客户端进程的创建符号链接请求。这很丑，而且可能很慢，但除了运行提升（或禁用 UAC）或从管理员组中删除用户之外，我看不到任何其他方式。