Безопасность процесса и права доступа

Модель безопасности Microsoft Windows позволяет управлять доступом к объектам обработки. Дополнительные сведения о безопасности см. в разделе Модель управления доступом.

Когда пользователь входит в систему, система собирает набор данных, которые уникально идентифицируют пользователя в процессе проверки подлинности, и сохраняет их в маркере доступа. Этот маркер доступа описывает контекст безопасности всех процессов, связанных с пользователем. Контекст безопасности процесса — это набор учетных данных, предоставленных процессу или учетной записи пользователя, создавшего процесс.

Маркер можно использовать для указания текущего контекста безопасности для процесса с помощью функции CreateProcessWithTokenW . Дескриптор безопасности для процесса можно указать при вызове функции CreateProcess, CreateProcessAsUser или CreateProcessWithLogonW. Если указать значение NULL, процесс получает дескриптор безопасности по умолчанию. Списки управления доступом в дескрипторе безопасности по умолчанию для процесса поступают из основного маркера или токена олицетворения создателя.

Чтобы получить дескриптор безопасности процесса, вызовите функцию GetSecurityInfo . Чтобы изменить дескриптор безопасности процесса, вызовите функцию SetSecurityInfo .

Допустимые права доступа для объектов процессов включают стандартные права доступа и некоторые права доступа для конкретного процесса. В следующей таблице перечислены стандартные права доступа, используемые всеми объектами.

Значение	Значение
DELETE (0x00010000L)	Требуется для удаления объекта.
READ_CONTROL (0x00020000L)	Требуется для чтения сведений в дескрипторе безопасности для объекта, не включая сведения в saCL. Чтобы прочитать или записать saCL, необходимо запросить право доступа ACCESS_SYSTEM_SECURITY . Дополнительные сведения см. в разделе Права доступа к SACL.
SYNCHRONIZE (0x00100000L)	Право на использование данного объекта для синхронизации. Это позволяет потоку ждать, пока объект не перейдет в состояние сигнала.
WRITE_DAC (0x00040000L)	Требуется для изменения DACL в дескрипторе безопасности для объекта .
WRITE_OWNER (0x00080000L)	Требуется для изменения владельца в дескрипторе безопасности для объекта .

 

В следующей таблице перечислены права доступа для конкретного процесса.

Значение	Значение
PROCESS_ALL_ACCESS (STANDARD_RIGHTS_REQUIRED (0x000F0000L) | SYNCHRONIZE (0x00100000L) | 0xFFFF)	Все возможные права доступа для объекта процесса. Windows Server 2003 и Windows XP: Размер флага PROCESS_ALL_ACCESS увеличен в Windows Server 2008 и Windows Vista. Если приложение, скомпилированное для Windows Server 2008 и Windows Vista, выполняется в Windows Server 2003 или Windows XP, флаг PROCESS_ALL_ACCESS слишком велик, а функция, указывающая этот флаг, завершается сбоем с ERROR_ACCESS_DENIED. Чтобы избежать этой проблемы, укажите минимальный набор прав доступа, необходимых для операции. Если необходимо использовать PROCESS_ALL_ACCESS , задайте для _WIN32_WINNT минимальную операционную систему, предназначенную для вашего приложения (например, #define _WIN32_WINNT _WIN32_WINNT_WINXP). Дополнительные сведения см. в разделе Использование заголовков Windows.
PROCESS_CREATE_PROCESS (0x0080)	Требуется для использования этого процесса в качестве родительского процесса с PROC_THREAD_ATTRIBUTE_PARENT_PROCESS.
PROCESS_CREATE_THREAD (0x0002)	Требуется для создания потока в процессе.
PROCESS_DUP_HANDLE (0x0040)	Требуется для дублирования дескриптора с помощью DuplicateHandle.
PROCESS_QUERY_INFORMATION (0x0400)	Требуется для получения определенных сведений о процессе, таких как его токен, код выхода и класс приоритета (см. Раздел OpenProcessToken).
PROCESS_QUERY_LIMITED_INFORMATION (0x1000)	Требуется для получения определенных сведений о процессе (см. раздел GetExitCodeProcess, GetPriorityClass, IsProcessInJob, QueryFullProcessImageName). Дескриптор с правом доступа PROCESS_QUERY_INFORMATION автоматически предоставляется PROCESS_QUERY_LIMITED_INFORMATION. Windows Server 2003 и Windows XP: Это право доступа не поддерживается.
PROCESS_SET_INFORMATION (0x0200)	Требуется для задания определенных сведений о процессе, таких как его класс приоритета (см. раздел SetPriorityClass).
PROCESS_SET_QUOTA (0x0100)	Требуется для установки ограничений памяти с помощью SetProcessWorkingSetSize.
PROCESS_SUSPEND_RESUME (0x0800)	Требуется для приостановки или возобновления процесса.
PROCESS_TERMINATE (0x0001)	Требуется для завершения процесса с помощью TerminateProcess.
PROCESS_VM_OPERATION (0x0008)	Требуется для выполнения операции с адресным пространством процесса (см. статьи VirtualProtectEx и WriteProcessMemory).
PROCESS_VM_READ (0x0010)	Требуется для чтения памяти в процессе с помощью ReadProcessMemory.
PROCESS_VM_WRITE (0x0020)	Требуется для записи в память в процессе с помощью WriteProcessMemory.
SYNCHRONIZE (0x00100000L)	Требуется для ожидания завершения процесса с помощью функций ожидания.

 

Чтобы открыть дескриптор для другого процесса и получить права полного доступа, необходимо включить привилегию SeDebugPrivilege . Дополнительные сведения см. в разделе Изменение привилегий в токене.

Дескриптор, возвращаемый функцией CreateProcess, имеет PROCESS_ALL_ACCESS доступ к объекту процесса. При вызове функции OpenProcess система проверяет запрошенные права доступа по daCL в дескрипторе безопасности процесса. При вызове функции GetCurrentProcess система возвращает псевдоhandle с максимальным доступом, который daCL разрешает вызывающей объекту.

Вы можете запросить у ACCESS_SYSTEM_SECURITY права доступа к объекту процесса, если вы хотите прочитать или записать saCL объекта. Дополнительные сведения см. в разделах Списки управления доступом (ACL) и Права доступа saCL.

Предупреждение

Процесс, имеющий некоторые права доступа, приведенные здесь, может использовать их для получения других прав доступа. Например, если у процесса A есть дескриптор для обработки B с PROCESS_DUP_HANDLE доступом, он может дублировать псевдо дескриптор для процесса B. При этом создается дескриптор с максимальным доступом к процессу B. Дополнительные сведения о псевдо дескрипторах см. в разделе GetCurrentProcess.

 

Защищенные процессы

В Windows Vista представлены защищенные процессы для улучшения поддержки управления цифровыми правами. Система ограничивает доступ к защищенным процессам и потокам защищенных процессов.

Следующие стандартные права доступа от процесса к защищенному процессу не допускаются:

• DELETE
• READ_CONTROL
• WRITE_DAC
• WRITE_OWNER

Следующие конкретные права доступа не допускаются из процесса в защищенный процесс:

• PROCESS_ALL_ACCESS
• PROCESS_CREATE_PROCESS
• PROCESS_CREATE_THREAD
• PROCESS_DUP_HANDLE
• PROCESS_QUERY_INFORMATION
• PROCESS_SET_INFORMATION
• PROCESS_SET_QUOTA
• PROCESS_VM_OPERATION
• PROCESS_VM_READ
• PROCESS_VM_WRITE

Было введено PROCESS_QUERY_LIMITED_INFORMATION право для предоставления доступа к подмножества информации, доступной через PROCESS_QUERY_INFORMATION.