CIS Windows L1加固下C#访问网络共享的凭据调试问题咨询

你观察到的异常完全符合CIS Windows L1加固禁用SMB来宾访问后的典型表现：

• 加固前系统默认开启SMB不安全来宾登录，本地账户跨机器访问SMB共享时，会自动降级以来宾身份完成认证，只要目标共享开启了来宾访问权限，哪怕运行应用的本地账户不在共享授权列表里，也能正常访问文件，这就是加固前业务正常的核心原因。
• CIS L1加固默认会关闭SMB客户端的来宾回退认证能力，同时开启匿名访问限制、SMB签名强制等策略，本地账户访问远程SMB共享时不再自动尝试来宾认证，必须提供目标服务端认可的有效凭据才能建立连接。
• 你在资源管理器输入AD域凭据后测试应用能识别到路径存在，是因为Windows SMB连接是按登录会话全局共享的：同一个交互登录会话下的所有进程，都会复用已经建立完成的SMB会话通道，不是应用自动获取了你的AD凭据，是系统层面已经和目标文件服务器完成了认证握手。后续抛出UnauthorizedAccessException，是因为你手动建立的SMB会话绑定的是当前交互登录的AD用户安全上下文，运行应用的本地管理员账户没有通过该会话获取文件读取权限，因此能查询到文件存在，但实际读文件时被服务端权限拦截。

C#本身没有公开API可以直接获取当前访问远程共享所用的凭据——SMB认证流程由操作系统内置的SMB重定向器在内核层完成，不属于应用进程自身维护的状态，应用如果没有显式传入凭据，自身完全不知道认证过程用了哪个身份。你可以通过系统自带工具排查实际认证行为：

• 事件日志排查：开启应用程序和服务日志\Microsoft\Windows\SMBClient\Security下的审核日志，复现访问操作后，可以直接看到每一条SMB连接的认证主体、认证类型（来宾/NTLM/Kerberos）、会话ID、连接结果。
• 现有连接查询：在和运行应用完全一致的用户上下文下执行net use命令，可以查看当前会话下所有已建立的SMB连接、对应的远程路径、认证所用的用户身份。如果应用是以服务身份运行在非交互账户下，需要先提权到对应账户上下文再执行命令，否则只能看到当前交互用户的连接。
• 操作过程抓包排查：用Process Monitor配置过滤规则：进程名匹配你的应用进程、路径匹配目标网络共享，就能看到每一步文件操作返回的原生NTSTATUS错误码，比.NET抛出的托管异常信息精准很多，可以直接区分是网络不通、认证失败还是权限不足。

两个方法最终都会调用Windows原生内核文件API，由SMB客户端组件处理远程路径逻辑，自身不实现任何认证流程：

• 调用File.Exists()时，系统首先检查当前登录会话下是否存在到目标服务器的有效SMB连接：
  • 如果没有现成连接，会触发默认认证流程：优先用当前进程主令牌对应的用户凭据尝试认证，如果认证失败，交互模式下会弹出凭据输入框，来宾回退开启时会自动尝试来宾认证；如果所有认证尝试都失败，会直接返回路径不存在的结果，不会抛出权限异常——这就是你未提前建立连接时，方法返回false、报网络路径不存在错误的原因。
  • 如果存在现成SMB连接，会直接复用连接向服务端发送文件存在性查询请求，只要能和服务端正常通信就能拿到结果。
• 调用File.Open()时，同样复用现有SMB连接发送文件打开请求，此时服务端会校验当前会话绑定的安全令牌是否有目标文件的对应访问权限，权限不足就会返回拒绝访问错误，最终在.NET层抛出UnauthorizedAccessException。

不需要全量回滚加固策略，优先检查以下配置项即可快速定位问题：

• 检查本地组策略中计算机配置-Windows设置-安全设置-本地策略-安全选项下的Microsoft网络客户端: 启用不安全的来宾登录配置，CIS L1加固默认将其设为禁用，这是导致之前默认来宾访问失效的核心开关。
• 同路径下检查网络访问: 不允许SAM账户和共享的匿名枚举、网络访问: 限制匿名访问命名管道和共享两个策略的配置，确认是否阻断了匿名查询能力。
• 以管理员身份执行PowerShell命令Get-SmbClientConfiguration，查看EnableInsecureGuestLogons参数值，确认SMB客户端层面的来宾访问开关状态。

如果不希望开启存在安全风险的来宾访问，最稳定的方案是在应用访问共享前，调用Win32 API WNetAddConnection2显式传入对共享有访问权限的凭据，手动建立SMB连接，访问完成后调用WNetCancelConnection2断开即可，该方式不依赖系统默认认证逻辑，不受加固策略默认配置影响。

内容的提问来源于stack exchange，提问作者zajic