Question

我正在尝试检查特定文件的特定文件的权限受托人和我正在使用win32 API GetEffectiveRightsFromAcl（）。什么时候该文件可由域组访问，该功能当本地帐户（admin或其他）时，返回5（拒绝访问）用于执行该功能。

这三个陈述总结了我所看到的行为 GetEffectiveRightsFromAcl（）：

当域组拥有该文件的权限并且该程序在a下运行时本地帐户：访问被拒绝。
当域组拥有该文件的权限并且程序运行时在域帐户或本地系统下：成功
当域组没有该文件的权限时程序在任何帐户下运行：成功

有谁知道这背后的原因？它看起来像我这样与Active Directory安全性相关。什么设置可能会影响这个什么是调试这个的好方法？

另外，我听说GetEffectiveRightsFromAcl（）可能通常有问题并且使用AccessCheck（）代替。但是我需要能够获取任意SID并检查它对文件的访问权限，因为AccessCheck（）需要模拟令牌，我不知道如何从任意SID中获取令牌......任何想法？感谢

鲍勃

Answer 1

我使用过C＃，对我来说效果很好。

using System;
using System.Runtime.InteropServices;
using System.Security.Principal;
using System.Security.AccessControl;

namespace DACL
{
    class Class1
    {
        private enum MULTIPLE_TRUSTEE_OPERATION
        {
            NO_MULTIPLE_TRUSTEE,
            TRUSTEE_IS_IMPERSONATE
        }

        private enum TRUSTEE_FORM
        {
            TRUSTEE_IS_SID,
            TRUSTEE_IS_NAME,
            TRUSTEE_BAD_FORM,
            TRUSTEE_IS_OBJECTS_AND_SID,
            TRUSTEE_IS_OBJECTS_AND_NAME
        }

        private enum TRUSTEE_TYPE
        {
            TRUSTEE_IS_UNKNOWN,
            TRUSTEE_IS_USER,
            TRUSTEE_IS_GROUP,
            TRUSTEE_IS_DOMAIN,
            TRUSTEE_IS_ALIAS,
            TRUSTEE_IS_WELL_KNOWN_GROUP,
            TRUSTEE_IS_DELETED,
            TRUSTEE_IS_INVALID,
            TRUSTEE_IS_COMPUTER
        }

        private struct TRUSTEE
        {
            public IntPtr pMultipleTrustee;
            public MULTIPLE_TRUSTEE_OPERATION MultipleTrusteeOperation;
            public TRUSTEE_FORM TrusteeForm;
            public TRUSTEE_TYPE TrusteeType;
            public IntPtr ptstrName;
        }

        [DllImport("advapi32.dll", SetLastError = true)]
        private static extern void BuildTrusteeWithSid(
            ref TRUSTEE pTrustee,
            byte[] sid
        );

        [DllImport("advapi32.dll")]
        private static extern uint GetEffectiveRightsFromAcl(byte[] pacl, ref TRUSTEE pTrustee, ref uint pAccessRights);

        public bool HasAccess(SecurityIdentifier sid)
        {
            DiscretionaryAcl dacl = <DACL from somewhere>;

            byte[] daclBuffer = new byte[dacl.BinaryLength];
            dacl.GetBinaryForm(daclBuffer, 0);

            byte[] sidBuffer = new byte[sid.BinaryLength];
            sid.GetBinaryForm(sidBuffer, 0);

            TRUSTEE t = new TRUSTEE();
            BuildTrusteeWithSid(ref t, sidBuffer);

            uint access = 0;
            uint hr = GetEffectiveRightsFromAcl(daclBuffer, ref t, ref access);

            int i = Marshal.Release(t.ptstrName);

            return ((access & <Desired Access>) == <Desired Access>) ? true : false;
        }
    }
}

Answer 2

如果域组有权使用文件，此功能必须访问要枚举的活动目录受托人的集团成员资格（至少如果它是域用户）。如果您的程序正在运行本地帐户，然后这个帐户没有权利访问活动目录，因此错误返回代码。
域帐户和本地系统有访问活动目录。本地系统是计算机帐户在活动目录中（计算机就像AD中的用户一样。
如果没有域组可以访问文件，功能不必检查活动目录。所以本地用户也是成功的。

使用GetEffectiveRightsFromAcl（）获取访问权限..？

2 个答案: