Veelvoorkomende WIA-beveiligingsproblemen

Er zijn verschillende veelvoorkomende problemen die kunnen voorkomen dat een bestaand WIA-stuurprogramma (dat goed is uitgevoerd onder LocalSystem) wordt uitgevoerd onder het LocalService-account .

De meest voorkomende problemen treden op met:

• Toegang tot bestandssysteem

  Het LocalService-account heeft ernstig beperkte bestandstoegang. Stuurprogramma's kunnen bijvoorbeeld niet meer schrijven naar de %windir%-directory.

• Registertoegang

  Veel registersleutels die zijn geopend voor LocalSystem-accounts, hebben alleen-lezen toegang voor LocalService. Stuurprogramma's kunnen bijvoorbeeld niet meer naar registersleutels onder de HKLM-substructuur schrijven.

• Benoemde kernelobjecten

  Zorg ervoor dat benoemde objecten (bijvoorbeeld gebeurtenissen en mutexes) die worden geopend door zowel het WIA-stuurprogramma als externe onderdelen, zoals gebundelde toepassingen, de juiste ACL's hebben. Als een toepassing een benoemd gebeurtenisobject maakt, maar niet specifiek toegang verleent tot een LocalService-account , kan het stuurprogramma het niet gebruiken. Als een minidriver een benoemd gebeurtenisobject maakt, moet het dezelfde toegang verlenen, anders kan de toepassing het gebeurtenisobject niet gebruiken.

• Niet-verwerkte COM-objecten

  Pogingen om een niet-verwerkte COM-interface te maken of te gebruiken, mislukken, tenzij dat onderdeel expliciet de juiste machtigingen verleent aan een LocalService-account . Aanroepen naar CoCreateInstance of CoCreateInstanceEx (beide worden beschreven in de Microsoft Windows SDK-documentatie) met de CLSCTX_LOCAL_SERVER vlagset kunnen mislukken als het onderdeel geen machtiging verleent aan een LocalService-account . Op dezelfde manier kan het stuurprogramma dat probeert een aanwijzer te gebruiken naar een COM-interface die niet wordt verwerkt voor het stuurprogramma mislukken. Dit kan gebeuren als een onderdeel het stuurprogramma aanroept en deze een aanwijzer geeft naar een interface waarmee het stuurprogramma terug kan bellen naar de interface.

• Processen maken en openen

  WIA-stuurprogramma's mogen niet handmatig andere processen starten (bijvoorbeeld door CreateProcess of CreateProcessAsUser aan te roepen). Hoewel dit gedrag zou zijn geslaagd voor stuurprogramma's onder LocalSystem-accounts , is het niet meer mogelijk voor stuurprogramma's om dit te doen onder het nieuwe LocalService-account . Zie de Windows SDK-documentatie voor meer informatie over CreateProcess en CreateProcessAsUser.