无法禁用自身进程的SeDebugPrivilege权限，寻求技术帮助

我明白你现在的需求——要像Process Hacker那样修改自身进程的令牌，禁用SeDebugPrivilege，而且已经以管理员身份运行VS，进程本身也持有这个权限，但操作一直没成功。我之前也处理过不少令牌权限调整的问题，这里给你梳理几个核心要点和正确的实现步骤，应该能帮你解决问题。

核心流程与常见误区 #

修改进程令牌权限的流程是固定的，但很多人会在细节上踩坑：

• 正确获取进程令牌：打开自身进程令牌时，必须同时指定TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY权限——前者用来修改权限，后者用来读取当前权限状态，缺一不可。
• 准确获取权限LUID：每个系统权限都对应唯一的本地唯一标识符（LUID），必须通过LookupPrivilegeValueW获取SE_DEBUG_NAME对应的LUID，不能硬编码，避免跨系统兼容性问题。
• 构造正确的权限调整结构体：禁用权限时，要将TOKEN_PRIVILEGES中的Attributes设为SE_PRIVILEGE_DISABLED；如果要彻底移除权限（而非仅禁用），则设为SE_PRIVILEGE_REMOVED，注意结构体的初始化不能出错。
• 验证调整结果：AdjustTokenPrivileges返回TRUE不代表权限调整成功，必须通过GetLastError()检查是否返回ERROR_SUCCESS，才能确认操作生效。

完整实现代码示例 #

以下是可直接运行的C++代码，适配VS环境：

#include <windows.h>
#include <iostream>

// 检查SeDebugPrivilege是否已启用
bool IsSeDebugPrivilegeEnabled() {
    HANDLE hToken;
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) {
        std::cout << "OpenProcessToken failed, error: " << GetLastError() << std::endl;
        return false;
    }

    LUID luid;
    if (!LookupPrivilegeValueW(nullptr, SE_DEBUG_NAME, &luid)) {
        std::cout << "LookupPrivilegeValue failed, error: " << GetLastError() << std::endl;
        CloseHandle(hToken);
        return false;
    }

    PRIVILEGE_SET privilegeSet;
    ZeroMemory(&privilegeSet, sizeof(privilegeSet));
    privilegeSet.PrivilegeCount = 1;
    privilegeSet.Control = PRIVILEGE_SET_ALL_NECESSARY;
    privilegeSet.Privilege[0].Luid = luid;
    privilegeSet.Privilege[0].Attributes = SE_PRIVILEGE_ENABLED;

    BOOL isEnabled;
    if (!PrivilegeCheck(hToken, &privilegeSet, &isEnabled)) {
        std::cout << "PrivilegeCheck failed, error: " << GetLastError() << std::endl;
        CloseHandle(hToken);
        return false;
    }

    CloseHandle(hToken);
    return isEnabled == TRUE;
}

// 禁用SeDebugPrivilege权限
bool DisableSeDebugPrivilege() {
    // 先确认权限是否已启用
    if (!IsSeDebugPrivilegeEnabled()) {
        std::cout << "SeDebugPrivilege is not enabled, no need to disable." << std::endl;
        return true;
    }

    HANDLE hToken;
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) {
        std::cout << "OpenProcessToken failed, error: " << GetLastError() << std::endl;
        return false;
    }

    LUID luid;
    if (!LookupPrivilegeValueW(nullptr, SE_DEBUG_NAME, &luid)) {
        std::cout << "LookupPrivilegeValue failed, error: " << GetLastError() << std::endl;
        CloseHandle(hToken);
        return false;
    }

    TOKEN_PRIVILEGES tokenPrivs;
    ZeroMemory(&tokenPrivs, sizeof(tokenPrivs));
    tokenPrivs.PrivilegeCount = 1;
    tokenPrivs.Privileges[0].Luid = luid;
    // 设置为禁用权限
    tokenPrivs.Privileges[0].Attributes = SE_PRIVILEGE_DISABLED;

    if (!AdjustTokenPrivileges(hToken, FALSE, &tokenPrivs, sizeof(TOKEN_PRIVILEGES), nullptr, nullptr)) {
        std::cout << "AdjustTokenPrivileges failed, error: " << GetLastError() << std::endl;
        CloseHandle(hToken);
        return false;
    }

    // 验证调整是否生效
    DWORD errorCode = GetLastError();
    if (errorCode != ERROR_SUCCESS) {
        std::cout << "Privilege adjustment failed, error: " << errorCode << std::endl;
        CloseHandle(hToken);
        return false;
    }

    CloseHandle(hToken);
    std::cout << "SeDebugPrivilege disabled successfully!" << std::endl;
    return true;
}

int main() {
    // 必须以管理员身份运行此程序
    DisableSeDebugPrivilege();
    return 0;
}

错误排查指南 #

如果运行后仍未成功，可以从以下几点排查：

1. 权限验证：先调用IsSeDebugPrivilegeEnabled确认进程确实持有SeDebugPrivilege权限，避免做无用功。
2. 管理员权限：确认编译后的程序是以管理员身份运行的（VS调试时需勾选"以管理员身份启动调试"），否则会出现ACCESS_DENIED错误。
3. 安全软件拦截：部分杀毒或EDR软件会阻止进程修改自身令牌权限，可临时关闭测试。
4. 完整性级别：用Process Explorer查看进程属性的"安全"标签，确认进程处于高完整性级别。

内容的提问来源于stack exchange，提问作者E235