使用线程模拟检查客户端安全描述符及文件访问权限

我看你在尝试用线程模拟来校验客户端对文件的访问权限，还踩了微软示例的坑，自己写的代码又一直返回false，这确实挺头疼的。咱们一步步来拆解问题，先从你给出的代码片段和常见的坑说起。

一、你代码片段里的潜在问题 #

你贴的这段代码：

PACL file_dacl = NULL; 
AutoLocalFreeSDescriptor psd; 
DWORD dstatus = GetNamedSecurityInfoA(fname2.buf, SE_FILE_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, &file_dacl, NULL, &a...

有几个容易导致返回false的点：

• 参数不完整：最后那个&a...明显没写完，大概率是PSECURITY_DESCRIPTOR*类型的参数（比如你定义的psd），如果这个参数传递错误，会直接导致安全描述符获取失败，后续权限检查自然返回false。
• 模拟时机错误：你是不是在调用GetNamedSecurityInfoA之后才做的线程模拟？如果是这样，拿到的文件安全信息还是当前进程的权限，不是客户端的，检查结果肯定不对。
• DACL有效性未校验：获取到file_dacl后，有没有先判断它是否为NULL？如果文件没有显式设置DACL，会继承父目录的权限，直接用NULL的DACL去做权限检查必然出问题。

二、微软示例的常见坑 #

那个示例确实有不少容易踩的雷：

• 模拟上下文未清理：示例可能没强调检查完权限后要调用RevertToSelf()恢复原上下文，如果你忘了这一步，后续所有操作都会用模拟的客户端权限，不仅会导致其他逻辑异常，还可能让你误以为权限检查的结果有问题。
• 权限掩码设置错误：示例里的权限掩码可能太宽泛或者不符合你的实际需求，比如你要检查的是FILE_WRITE_DATA，但示例用了GENERIC_ALL，掩码不对的话，检查结果肯定不准。
• 错误码被忽略：示例可能没详细处理GetNamedSecurityInfo、AccessCheck这些函数的返回值，很多时候返回false不是因为权限不够，而是前面的函数调用已经失败了（比如文件不存在、当前进程没权限读取文件的安全信息）。

三、具体修复步骤建议 #

1. 确保线程模拟的正确性：

   • 调用ImpersonateLoggedOnUser(hToken)后，一定要检查返回值，确认模拟成功再继续后续操作。
   • 权限检查完成后，必须调用RevertToSelf()恢复原线程上下文，避免影响其他逻辑。

2. 完善GetNamedSecurityInfoA的调用：

   • 补全最后一个安全描述符参数，确保能正确获取文件的安全描述符。
   • 检查dstatus的返回值，只有当它等于ERROR_SUCCESS时才继续，否则根据错误码排查问题（比如用GetLastError()看具体错误）。

3. 正确执行权限检查逻辑：

   • 获取到DACL后，如果是NULL，要处理权限继承的情况（比如获取父目录的DACL）。
   • 使用AccessCheck函数做权限检查时，一定要正确填充GENERIC_MAPPING和PRIVILEGE_SET结构，这两个结构设置错误是导致检查失败的高频原因。
   • 给你补全一段参考代码：

     // 假设已经成功调用ImpersonateLoggedOnUser完成线程模拟
     PACL file_dacl = NULL;
     PSECURITY_DESCRIPTOR psd = NULL;
     DWORD dstatus = GetNamedSecurityInfoA(fname2.buf, SE_FILE_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, &file_dacl, NULL, &psd);
     if (dstatus != ERROR_SUCCESS) {
         // 处理错误，比如打印错误码
         RevertToSelf();
         return false;
     }
     
     // 准备权限检查的参数
     GENERIC_MAPPING gen_map = {GENERIC_READ, GENERIC_WRITE, GENERIC_EXECUTE, GENERIC_ALL};
     PRIVILEGE_SET priv_set = {0};
     DWORD priv_set_size = sizeof(PRIVILEGE_SET);
     BOOL priv_needed = FALSE;
     BOOL access_granted = FALSE;
     
     // 根据你的需求设置要检查的权限，这里以GENERIC_READ为例
     DWORD desired_access = GENERIC_READ;
     MapGenericMask(&desired_access, &gen_map);
     
     // 执行权限检查
     if (!AccessCheck(psd, GetCurrentThreadToken(), desired_access, &gen_map, &priv_set, &priv_set_size, &access_granted, &priv_needed)) {
         // 处理AccessCheck的错误，比如打印GetLastError()
     }
     
     // 清理资源
     LocalFree(psd);
     RevertToSelf();
     
     return access_granted;
     

4. 排查文件本身的权限问题：

   • 确认客户端用户对文件所在的目录有读取安全信息的权限，因为GetNamedSecurityInfo需要这个权限才能获取DACL。
   • 如果是网络共享文件，要同时检查共享权限和NTFS权限，两者都满足才能通过权限检查。

内容的提问来源于stack exchange，提问作者Engineer