为何SYSTEM用户下调用CreatePipe()会返回ERROR_BAD_IMPERSONATION_LEVEL错误？

问题原因 #

ERROR_BAD_IMPERSONATION_LEVEL(1346)的核心原因是当前线程的模拟权限级别不足。文件系统驱动中线程会模拟访问文件系统的用户，而CreatePipe、CreateProcess这类跨进程资源操作要求线程至少拥有SecurityImpersonation级别的模拟权限，若当前模拟级别为SecurityIdentification或SecurityAnonymous，就会触发该错误。针对SYSTEM用户的场景，驱动线程的模拟上下文可能被限制在低级别，导致操作失败。

解决方案 #

1. 临时取消模拟再恢复 #

在执行CreatePipe和进程创建逻辑前，先调用RevertToSelf()取消当前用户模拟，完成操作后再重新模拟原用户。这种方式能确保创建管道和子进程时使用驱动线程自身的高权限身份（通常是SYSTEM），避免模拟级别不足的问题。

示例代码片段：

// 保存当前模拟状态（用于后续恢复）
HANDLE hSavedToken = NULL;
OpenThreadToken(GetCurrentThread(), TOKEN_ALL_ACCESS, FALSE, &hSavedToken);

// 取消模拟
RevertToSelf();

// 执行CreatePipe和CreateProcess逻辑
BOOL bPipeCreated = CreatePipe(&hReadPipe, &hWritePipe, &sa, 0);
// ... 后续进程创建代码 ...

// 恢复原模拟状态
if (hSavedToken) {
    SetThreadToken(NULL, hSavedToken);
    CloseHandle(hSavedToken);
}

2. 调整线程模拟级别 #

如果必须保持模拟状态，可尝试将线程的模拟级别提升至SecurityImpersonation或SecurityDelegation。通过ImpersonateSelf()获取自身令牌，再设置合适的模拟级别后重新模拟。

示例代码片段：

HANDLE hSelfToken;
if (ImpersonateSelf(SecurityImpersonation)) {
    OpenThreadToken(GetCurrentThread(), TOKEN_ALL_ACCESS, FALSE, &hSelfToken);
    // 用提升后的令牌重新设置线程模拟
    SetThreadToken(NULL, hSelfToken);
    CloseHandle(hSelfToken);
}

// 此时执行CreatePipe和进程创建逻辑

3. 配置管道的安全属性 #

确保CreatePipe使用的SECURITY_ATTRIBUTES包含正确的安全描述符，允许SYSTEM用户访问管道。可显式添加SYSTEM用户的访问权限，避免因权限继承问题导致的访问失败。

示例代码片段：

SECURITY_ATTRIBUTES sa = {0};
sa.nLength = sizeof(SECURITY_ATTRIBUTES);
sa.bInheritHandle = TRUE;

// 创建允许SYSTEM访问的安全描述符
PSECURITY_DESCRIPTOR pSD = (PSECURITY_DESCRIPTOR)LocalAlloc(LPTR, SECURITY_DESCRIPTOR_MIN_LENGTH);
InitializeSecurityDescriptor(pSD, SECURITY_DESCRIPTOR_REVISION);
SetSecurityDescriptorDacl(pSD, TRUE, NULL, FALSE); // 允许所有访问（或按需配置更严格的DACL）
sa.lpSecurityDescriptor = pSD;

// 创建管道
CreatePipe(&hReadPipe, &hWritePipe, &sa, 0);

// 清理资源
LocalFree(pSD);

关键注意事项 #

• 文件系统驱动中操作需严格遵循内核态/用户态边界，确保所有句柄和资源的生命周期管理正确。
• 若子进程需要继承原用户的上下文，需在创建进程后重新切换回模拟状态，避免权限不一致。

内容的提问来源于stack exchange，提问作者Roland Mainz