如何通过编程检测进程权限变更？聚焦SeDebugPrivilege检测需求

一、内核态原生监控方案（无需Hook） #

• 令牌对象回调监控：通过Windows内核API ObRegisterCallbacks注册令牌（Token）对象的回调函数，监听令牌的修改事件。当进程调用AdjustTokenPrivileges或内核态的NtAdjustPrivilegesToken修改权限时，回调会被触发。在回调中解析令牌的权限列表，过滤出SeDebugPrivilege的状态变更（可通过LookupPrivilegeValue获取该权限的LUID用于匹配）。这种方式属于系统原生支持的监控机制，稳定性远高于Hook，不会受API版本变更影响。
• 进程创建+令牌扫描：结合PsSetCreateProcessNotifyRoutineEx监控新进程创建事件，在进程创建时枚举其令牌权限；也可以定期扫描系统中所有进程的令牌，但定期扫描无法做到实时监控，适合补充回调覆盖不到的场景。

二、用户态Hook方案（可选） #

如果无法开发内核驱动，用户态Hook是可行的替代方案，但存在局限性：

• Hook目标API：需要Hook AdjustTokenPrivileges以及底层的NtAdjustPrivilegesToken（因为部分程序会直接调用原生NT API）。全局Hook需要注入到所有用户态进程，需考虑Windows防护机制（如HVCI、SMR）的拦截风险。
• 权限校验逻辑：在Hook函数中解析传入的TOKEN_PRIVILEGES结构体，检查是否包含SeDebugPrivilege的启用操作（即LUID_AND_ATTRIBUTES中的Attributes是否设置SE_PRIVILEGE_ENABLED标记），若匹配则记录事件。

三、混合监控方案（推荐） #

采用内核态回调监控令牌变更，用户态程序负责接收内核态传递的事件数据并展示。这种方案兼顾了实时性、全面性和兼容性，既避免了用户态Hook的局限性，又能精准过滤SeDebugPrivilege的变更，不会产生冗余日志。

总结 #

• 优先选择内核态令牌回调方案，无需Hook API，稳定性和覆盖范围最优；
• 用户态Hook仅适合无法开发内核驱动的场景，需同时Hook用户态和原生NT层的权限调整API，否则会遗漏部分操作；
• 编程式检测可精准聚焦SeDebugPrivilege，完全规避4703事件日志体积过大的问题。

内容的提问来源于stack exchange，提问作者user3365407