Windows Usurpation d'identité à partir de C#

Question

Comment un programme C# s'exécutant en tant que LocalSystem peut-il emprunter l'identité de connexion d'un autre utilisateur temporairement? Grosso modo, j'ai un service Windows que je voudrais lancer en tant que LocalSystem, mais parfois usurper l'identité de l'utilisateur XYZ (lors de la connexion à une base de données en utilisant la sécurité intégrée de Windows). Le plus important de tous: existe-t-il un moyen de le faire sans connaître le mot de passe de l'autre utilisateur?

Remarque: si un mot de passe est obligatoire, il existe une stratégie recommandée pour stocker un mot de passe en toute sécurité (C# et/ou vbscript).

Answer 1

Il est possible, bien qu'il vous oblige à faire beaucoup de code. Voir NtCreateToken et CreateToken. Vous avez besoin de SeCreateTokenPrivilege, bien que ce ne soit pas un problème puisque vous utilisez NT AUTHORITY \ SYSTEM. Vous pouvez ensuite utiliser le jeton créé pour emprunter l'identité d'un thread.

Answer 2

Pour la partie de stockage de mot de passe, vous pouvez jeter un oeil à this question demandé récemment.

Ce fut ma réponse:

Vous pouvez/devez utiliser le DPAPI, le Data Protection API qui fournit un chiffrement de stockage.
Il est là juste pour ce type de problème.

chiffrement du stockage est basée soit sur:

• le compte utilisateur, de sorte que l'utilisateur connecté peut accéder aux données. Cela rend les données transférables à un autre PC avec exactement les mêmes informations d'identification de l'utilisateur.
• la machine, en rendant les données uniquement accessibles sur cette configuration de machine particulière et non transférable vers un autre PC.

Il existe un dnrTV show with Karl Franklin indiquant exactement ce qui est nécessaire pour implémenter cette fonction et d'autres fonctions de cryptage.
Le code source de l'émission est également disponible sur la page.

Il y a, bien sûr, beaucoup de other articles sur ce sujet.

Answer 3

Réponse courte: vous ne pouvez pas sans le mot de passe de l'utilisateur ou l'utilisateur appelant votre service via COM.

Pour usurper l'identité d'un autre utilisateur dans votre processus, vous devez appeler ImpersonateLoggedOnUser. ImpersonateLoggedOnUser requiert un handle de jeton. Il existe plusieurs façons d'obtenir un handle de jeton:

• en vous connectant en tant qu'utilisateur avec LogonUser. Cela nécessite toutefois de connaître le mot de passe de l'utilisateur. En dupliquant un jeton existant avec CreateRestrictedToken, DuplicateToken ou DuplicateTokenEx.
• en ouvrant le jeton d'un autre processus ou thread, qui est déjà Loggen en tant qu'utilisateur, avec OpenProcessToken ou OpenThreadToken