READ_CONTROL的创建文件W尽管是文件的所有者，但"Access is denied"失败

Question

在Windows上，即使自由ACL(DACL(为空，即没有人有权访问该文件，文件所有者也可以读取和写入DACL(READ_CONTROL和WRITE_DAC访问(。

所以我尝试执行以下操作：

1. 在文件上设置空 DACL
2. 获取文件的句柄以进行READ_CONTROL
3. 使用GetSecurityInfo和句柄获取安全描述符
4. 检查 DACL 是否确实为空

但是，使用CreateFileW获取句柄失败，并出现错误Access is denied。令人惊讶的是，GetFileSecurity，相当于文件的GetSecurityInfo，工作正常。 根据文档，GetFileSecurity需要READ_CONTROL访问权限。

为什么在以下示例中CreateFileW失败？

import sys
import win32security
import win32con
import win32file
import ntsecuritycon
import os
path = sys.argv[1]
with open(path, "w"):
pass  # I am the owner of the file
print("Set empty ACL")
sd = win32security.GetFileSecurity(path, win32security.DACL_SECURITY_INFORMATION)
dacl = win32security.ACL()
sd.SetSecurityDescriptorDacl(1, dacl, 0)
win32security.SetFileSecurity(path, win32security.DACL_SECURITY_INFORMATION, sd)
try:
print("Ensure that ACL is empty with GetFileSecurity")
sd = win32security.GetFileSecurity(path, win32security.DACL_SECURITY_INFORMATION)
dacl = sd.GetSecurityDescriptorDacl()
assert 0 == dacl.GetAceCount()
print("Try to ensure that ACL is empty using handle")
handle = win32file.CreateFileW(
path,
ntsecuritycon.READ_CONTROL,
0,
None,  # security attributes
win32con.OPEN_EXISTING,
0,
None,
)
sd = win32security.GetSecurityInfo(handle, win32security.SE_FILE_OBJECT, win32security.DACL_SECURITY_INFORMATION)
dacl = sd.GetSecurityDescriptorDacl()
assert 0 == dacl.GetAceCount()
except Exception as e:
print("FAILURE:", e)
finally:
print("Restore inherited ACEs before removing file")
dacl = win32security.ACL()
win32security.SetNamedSecurityInfo(
path, 
win32security.SE_FILE_OBJECT, 
win32security.DACL_SECURITY_INFORMATION,
None,
None,
dacl,
None
)
os.unlink(path)

输出：

> python acl-test.py file
Set empty ACL
Ensure that ACL is empty with GetFileSecurity
Try to ensure that ACL is empty using handle
FAILURE: (5, 'CreateFileW', 'Access is denied.')
Restore inherited ACEs before removing file

Answer 1

CreateFileW内部调用NtCreateFile，DesiredAccess参数作为dwDesiredAccess | FILE_READ_ATTRIBUTES | SYNCHRONIZE传递。因此，如果您将dwDesiredAccess作为READ_CONTROL传递，那么它实际上会尝试以READ_CONTROL | FILE_READ_ATTRIBUTES | SYNCHRONIZE访问权限打开文件。 如果调用方对父文件夹具有FILE_LIST_DIRECTORY访问权限，则文件系统将隐式授予FILE_READ_ATTRIBUTES访问权限。但是，如果文件具有空 DACL，则不会授予SYNCHRONIZE访问权限。

这里的一种解决方案是使用NtOpenFile或NtCreateFile来控制确切的请求访问。