seFilterToken 函数 (ntifs.h)

项目
09/27/2023

SeFilterToken 例程创建一个新的访问令牌，该令牌是现有访问令牌的受限版本。

语法

NTSTATUS SeFilterToken(
  [in]           PACCESS_TOKEN     ExistingToken,
  [in]           ULONG             Flags,
  [in, optional] PTOKEN_GROUPS     SidsToDisable,
  [in, optional] PTOKEN_PRIVILEGES PrivilegesToDelete,
  [in, optional] PTOKEN_GROUPS     RestrictedSids,
                 PACCESS_TOKEN     *FilteredToken
);

参数

[in] ExistingToken

指向主令牌或模拟令牌的指针。令牌也可以是受限令牌。此令牌必须已打开，以便TOKEN_DUPLICATE访问。可以通过调用 ObReferenceObjectByHandle，将 TOKEN_DUPLICATE 指定为 DesiredAccess 类型，从现有令牌句柄获取此指针。

[in] Flags

指定其他特权选项。此参数可以是零，也可以是以下值的组合。

值	含义
DISABLE_MAX_PRIVILEGE	禁用新令牌中的所有特权，SE_CHANGE_NOTIFY_PRIVILEGE除外。如果指定此值，则忽略 PrivilegesToDelete 参数。
SANDBOX_INERT	将TOKEN_SANDBOX_INERT标志存储在令牌中。

[in, optional] SidsToDisable

指向TOKEN_GROUPS结构的指针，该结构包含SID_AND_ATTRIBUTES结构数组，这些结构指定受限令牌中的仅拒绝 SID。系统使用仅拒绝 SID 来拒绝对安全对象的访问。缺少仅拒绝 SID 不允许访问。

禁用 SID 会打开 SE_GROUP_USE_FOR_DENY_ONLY并关闭 SE_GROUP_ENABLED和SE_GROUP_ENABLED_BY_DEFAULT。将忽略所有其他属性。

仅拒绝属性适用于现有令牌 SID 的任意组合，包括具有 SE_GROUP_MANDATORY 属性的用户 SID 和组 SID。若要获取与现有令牌关联的 SID，请使用 TokenUser 和 TokenGroups 标志调用 SeQueryInformationToken 。 SeFilterToken 会忽略数组中在现有令牌中未找到的任何 SID。

SeFilterToken 忽略SID_AND_ATTRIBUTES结构的 Attributes 成员。

此参数是可选的，可以为 NULL。

[in, optional] PrivilegesToDelete

指向TOKEN_PRIVILEGES结构的指针，该结构包含LUID_AND_ATTRIBUTES结构的数组，这些结构指定要在受限令牌中删除的权限。

若要获取现有令牌拥有的权限，请使用 TokenPrivileges 标志调用 SeQueryInformationToken 。 SeFilterToken 忽略数组中现有令牌不持有的任何特权。

SeFilterToken 忽略LUID_AND_ATTRIBUTES结构的 Attributes 成员。

此参数是可选的，可以为 NULL。

[in, optional] RestrictedSids

指向TOKEN_GROUPS结构的指针，该结构包含一组SID_AND_ATTRIBUTES结构，这些结构指定了新令牌的限制 SID 的列表。如果现有令牌是受限令牌，则限制新令牌的 SID 列表是此数组的交集，也是限制现有令牌的 SID 的列表。

SID_AND_ATTRIBUTES结构的 Attributes 成员必须为零。始终为访问检查启用限制 SID。

此参数是可选的，可以为 NULL。

FilteredToken

指向调用方分配的变量的指针，该变量接收新的受限令牌的地址。新令牌的类型（主要令牌或模拟令牌）与现有令牌相同。

返回值

如果一个或多个参数值无效， SeFilterToken 将返回STATUS_INVALID_PARAMETER。 (如果目标标记不是模拟令牌，则返回此值。) 否则， SeFilterToken 返回STATUS_SUCCESS。

注解

SeFilterToken 可以通过以下方式限制令牌：

将“仅拒绝”属性应用于令牌中的 SID，使其不能用于访问受保护的对象。有关“仅拒绝”属性的详细信息，请参阅Microsoft Windows SDK文档中的访问令牌中的 SID 属性。
从令牌中删除特权。
指定限制 SID 的列表，系统在检查令牌对安全对象的访问权限时使用该列表。系统执行两个访问检查：一个使用令牌的已启用 SID，另一个使用限制 SID 的列表。仅当两个访问检查都允许请求的访问权限时，才授予访问权限。

受限令牌可与 SeCreateClientSecurity 和 SeImpersonateClientEx 一起使用，以创建具有受限访问权限和特权的进程。

有关安全性和访问控制的详细信息，请参阅面向驱动程序开发人员的 Windows 安全模型和 Windows SDK 中有关这些主题的文档。

不再需要 NewToken 中返回的令牌时，请通过调用 ObDereferenceObject 将其释放。

要求

要求	值
最低受支持的客户端	Windows XP
目标平台	通用
标头	ntifs.h (包括 Ntifs.h)
Library	NtosKrnl.lib
DLL	NtosKrnl.exe
IRQL	< DISPATCH_LEVEL