Запозичення прав

В ОС Windows є цікаві можливості виконання коду з маркером, відмінним від маркера даного процесу. Це, наприклад, істотно для серверів, які повинні виступати від імені і з привілеями клієнтів. Одна з таких можливостей - запуск нового процесу з вказаним маркером за допомогою функції CreateProcessAsUser. Ця функція є аналогом функції CreateProcess, за винятком параметра hToken, який указує на маркер, що визначає контекст користувача нового процесу.

Інший спосіб виконати код із запозиченим маркером - здійснити запозичення прав (impersonation). Запозичення прав означає, що один з потоків процесу функціонує з маркером, відмінним від маркера поточного процесу. Зокрема, клієнтський потік може передати свій маркер доступу серверному потоку, щоб сервер міг отримати доступ до захищених файлів та інших об’єктів від імені клієнта. Згодом потік може повернутися в нормальний стан, тобто використовувати маркер процесу.

Windows не дозволяє серверам виступати в ролі клієнтів без їх відома. Щоб уникнути цього, клієнтський процес може обмежити рівень запозичення прав. Тому для участі в перевтіленні маркер повинен мати відповідний рівень перевтілення. Цей рівень визначається параметром маркера TokenImpersonationLevel і може бути отриманий функцією GetTokenInformation. Для процесу перевтілення важливо, щоб цей параметр мав значення не нижче за SecurityImpersonation, що означає можливість імперсонації на локальній машині. Значення SecurityDelegation дозволяє серверному процесу виступати від імені клієнта як на локальному, так і на віддаленому комп’ютері. Останнє значення має відношення до делегування, яке є природним розвитком запозичення прав, але працює тільки за наявності домена і функціонуванні активного каталогу. За замовчуванням встановлюється рівень SecurityImpersonation.

Маркер перевтілення зазвичай створюють шляхом дублювання існуючого маркера і додання йому потрібних прав доступу і рівня імперсонації. Це можна зробити за допомогою функції DuplicateTokenEx. Власне, перевтілення здійснюється за допомогою функції ImpersonateLoggedOnUser. Щоб повернутися в початковий стан, потік повинен викликати функцію RevertToSelf.

Важливо також не забувати, що коли перевтілений потік здійснює доступ до об’єкта, то решта потоків процесу, навіть не перевтілених, також має до нього доступ. Подібні ситуації вимагають ретельного аналізу, оскільки тут можуть виникати важко відстежувані помилки.