Windows 创建仅允许所有者访问文件的文件访问 (Win32)

Question

我正在尝试修改Windows对文件的访问权限，只有所有者(甚至其他管理员(才能访问该文件。 有点相当于 unix chmod 700 文件。

我已经尝试拒绝对常规组(每个人，管理员(的权限并将其授予当前用户，但当前用户也总是失去权限。

我试图改变顺序(eas[0]，eas[1](和其他东西，但没有成功。

有人的想法吗？

    EXPLICIT_ACCESSA ea= { 0, }, eas[5]= { { 0, }, };
    PACL pacl= 0;
    ea.grfAccessPermissions = GENERIC_ALL;
    ea.grfAccessMode = DENY_ACCESS ;
    ea.grfInheritance = NO_INHERITANCE;
    ea.Trustee.TrusteeForm = TRUSTEE_IS_NAME;
    ea.Trustee.TrusteeType = TRUSTEE_IS_WELL_KNOWN_GROUP;
    ea.Trustee.ptstrName = "EVERYONE";
    eas[0]= ea;

    ea.grfAccessPermissions = GENERIC_ALL;
    ea.grfAccessMode = GRANT_ACCESS ;
    ea.grfInheritance = NO_INHERITANCE;
    ea.Trustee.TrusteeForm = TRUSTEE_IS_NAME;
    ea.Trustee.TrusteeType = TRUSTEE_IS_USER;
    ea.Trustee.ptstrName = "CURRENT_USER";
    eas[1]= ea;
    rc= SetEntriesInAcl(2, &eas[0], NULL, &pacl);
    rc= SetNamedSecurityInfoA((LPSTR)filename, SE_FILE_OBJECT,
                                    DACL_SECURITY_INFORMATION,
                                    NULL, NULL, pacl, NULL);

Answer 1

在大多数情况下，拒绝条目优先于允许条目。 由于默认情况下拒绝访问，因此不需要拒绝条目，但需要禁用继承的权限。 您可以使用 PROTECTED_DACL_SECURITY_INFORMATION 标志执行此操作。

#include <Windows.h>
#include <Aclapi.h>
#include <stdio.h>
int main(int argc, char ** argv)
{
    EXPLICIT_ACCESS eas[1];
    PACL pacl = 0;
    DWORD rc;
    eas[0].grfAccessPermissions = GENERIC_ALL;
    eas[0].grfAccessMode = GRANT_ACCESS;
    eas[0].grfInheritance = NO_INHERITANCE;
    eas[0].Trustee.TrusteeForm = TRUSTEE_IS_NAME;
    eas[0].Trustee.TrusteeType = TRUSTEE_IS_WELL_KNOWN_GROUP;
    eas[0].Trustee.ptstrName = L"CURRENT_USER";
    rc = SetEntriesInAcl(1, &eas[0], NULL, &pacl);
    if (rc != ERROR_SUCCESS)
    {
        printf("SetEntriesInAcl: %un", rc);
        return 1;
    }
    rc = SetNamedSecurityInfo(L"C:\working\test.txt", SE_FILE_OBJECT, 
             DACL_SECURITY_INFORMATION | PROTECTED_DACL_SECURITY_INFORMATION, 
             NULL, NULL, pacl, NULL);
    if (rc != ERROR_SUCCESS)
    {
        printf("SetNamedSecurityInfo: %un", rc);
        return 1;
    }
    printf("OK!n");
    return 0;
}

请注意，管理员始终可以重置权限以获取对文件的访问权限。 如果您确实需要保护数据免受其他管理员的侵害，则必须对其进行加密。 (并希望没有人安装键盘记录器来窃取您的加密密码。

Answer 2

虽然技术上可行，但它在保护对象方面并没有太多好处。给定具有相应条目的 DACL，本地管理员可能无法立即访问文件，但他们始终可以取得系统中任何对象的所有权。这授予他们对对象的完全控制，并且可以操作其 DACL 和 SACL。

Answer 3

正式需要下一个代码

DWORD demo(PCWSTR filename)
{
    EXPLICIT_ACCESS ea= { 
        GENERIC_ALL, 
        GRANT_ACCESS, 
        NO_INHERITANCE, 
        { 0, NO_MULTIPLE_TRUSTEE, TRUSTEE_IS_NAME, TRUSTEE_IS_USER, L"CURRENT_USER"}
    };
    PACL pacl;
    DWORD err = SetEntriesInAcl(1, &ea, NULL, &pacl);
    if (!err)
    {
        err = ERROR_GEN_FAILURE;
        if (pacl->AceCount == 1)
        {
            union {
                PVOID pvAce;
                PACE_HEADER Header;
                PACCESS_ALLOWED_ACE pAce;
            };
            if (GetAce(pacl, 0, &pvAce) && Header->AceType == ACCESS_ALLOWED_ACE_TYPE)
            {
                HANDLE hFile = CreateFile(filename, WRITE_DAC|WRITE_OWNER, FILE_SHARE_VALID_FLAGS, 0, OPEN_EXISTING, 0, 0);
                if (hFile != INVALID_HANDLE_VALUE)
                {
                    SECURITY_DESCRIPTOR sd;
                    InitializeSecurityDescriptor(&sd, SECURITY_DESCRIPTOR_REVISION);
                    SetSecurityDescriptorDacl(&sd, TRUE, pacl, FALSE);
                    SetSecurityDescriptorOwner(&sd, &pAce->SidStart, FALSE);
                    SetSecurityDescriptorControl(&sd, SE_DACL_PROTECTED, SE_DACL_PROTECTED);
                    err = SetKernelObjectSecurity(hFile, DACL_SECURITY_INFORMATION|OWNER_SECURITY_INFORMATION, &sd)
                        ? NOERROR : GetLastError();
                    CloseHandle(hFile);
                }
                else
                {
                    err = GetLastError();
                }
            }
        }
        LocalFree(pacl);
    }
    return err;
}

注释行

SetSecurityDescriptorControl(&sd, SE_DACL_PROTECTED, SE_DACL_PROTECTED);

使用此代码，文件的DACL将只有一个条目 - GENERIC_ALL当前用户。 以及 DACL 中明确不允许的所有内容 - 被拒绝。 但是，当然，如果用户具有SE_TAKE_OWNERSHIP_PRIVILEGE权限 - 您可以使用WRITE_OWNER访问权限打开文件并将 self 设置为所有者。 在此之后，您可以使用WRITE_DAC打开文件并更改 DACL

---

如前所述@Harry如果使用SetNamedSecurityInfo，约翰斯顿代码可以更短

DWORD demo(PCWSTR filename)
{
    EXPLICIT_ACCESS ea= { 
        GENERIC_ALL, 
        GRANT_ACCESS, 
        NO_INHERITANCE, 
        { 0, NO_MULTIPLE_TRUSTEE, TRUSTEE_IS_NAME, TRUSTEE_IS_USER, L"CURRENT_USER"}
    };
    PACL pacl;
    DWORD err = SetEntriesInAcl(1, &ea, NULL, &pacl);
    if (!err)
    {
        err = ERROR_GEN_FAILURE;
        if (pacl->AceCount == 1)
        {
            union {
                PVOID pvAce;
                PACE_HEADER Header;
                PACCESS_ALLOWED_ACE pAce;
            };
            if (GetAce(pacl, 0, &pvAce) && Header->AceType == ACCESS_ALLOWED_ACE_TYPE)
            {
                err = SetNamedSecurityInfo((PWSTR)filename, SE_FILE_OBJECT, 
                    DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION |PROTECTED_DACL_SECURITY_INFORMATION, 
                    &pAce->SidStart, NULL, pacl, NULL);
            }
        }
        LocalFree(pacl);
    }
    return err;
}