Comment puis-je obtenir un jeton d'utilisateur valide pour CreateProcessAsUser?

Question

J'ai une application qui s'exécute en tant qu'utilisateur normal et un service s'exécutant en tant que système local. Je souhaite que l'application puisse indiquer au service de redémarrer l'application, une fois que le service a effectué d'autres tâches. (Ainsi, l'application ne s'exécutera pas tant que le service effectuera son «truc».) Pour que le service puisse démarrer l'application en tant qu'utilisateur qui l'a démarré, il a besoin d'un jeton utilisateur. L'application envoie le jeton au service avant qu'il ne se ferme, mais le jeton/handle n'est pas valide lorsque le service tente de l'utiliser. (La première chose à faire est avec DuplicateTokenEx pour obtenir un jeton principal.)

Un jeton utilisateur est-il toujours valide uniquement dans le processus appelé OpenProcessToken?

Y a-t-il un autre moyen de le faire? Je ne veux pas que l'utilisateur doive "se connecter" à l'application avec logonuser. Ce serait juste stupide. Je suppose que je pourrais remettre un handle de processus pour "explorer.exe" de l'application au service, que le service pourrait utiliser pour obtenir un jeton d'utilisateur, mais cela nécessiterait l'accès à PROCESS DUP HANDLE droit. Je ne suis pas ravi de cette solution, mais peut-être que c'est la façon de le faire?

Answer 1

Jetez un oeil ici:

• Creating New Process Under Alternate Credentials
• GUI-Based RunAsEx

Answer 2

Vous avez plusieurs questions ici, donc je vais essayer de les traiter séparément et vous pouvez me corriger si je l'ai mal compris:

1. Vous semblez avoir un service et une application utilisateur qui ne peut pas exécuter certaines fonctionnalités en même temps. Pour ce faire, le service arrête l'application, exécute la fonctionnalité spéciale, puis redémarre l'application. Si cela est correct, à mon avis, vous avez un défaut de conception. Plutôt que de s'arrêter, puis de redémarrer l'application, vous devez coordonner l'accès à la ressource partagée via une exclusion mutuelle en utilisant un mutex nommé et/ou en utilisant une méthode IPC telle que des canaux nommés pour communiquer les intentions.

2. Un jeton utilisateur est-il toujours uniquement valide dans le processus appelé OpenProcessToken? Oui, le handle de jeton que vous avez reçu est un index dans la table des handles du processus, il n'est pas directement transférable. Vous auriez besoin d'utiliser DuplicateHandle qui peut être ce que vous voulez, mais pourrait être désordonné.

3. Vous souhaitez trouver le meilleur moyen d'obtenir le jeton de l'utilisateur pour lancer l'application dans la session (interactive?) De l'utilisateur. Si c'est le cas, le meilleur moyen est de récupérer le jeton de session de l'utilisateur et de l'utiliser. Vous pouvez consulter this article et l'exemple de code, il est en C#, mais devrait être relativement facile à transférer dans la langue de votre choix.

EDIT: Mise à jour pour inclure Windows 2000. Étant donné que vous exécutez le service sous le compte SYSTEM, il peut ouvrir une poignée au processus lui-même (si nécessaire le processus peut envoyer son numéro d'identification de processus). Il peut ensuite ouvrir le jeton attaché à ce processus, le dupliquer et utiliser le jeton résultant pour lancer (ou relancer) l'application cible.