判断权限上下文

关于判断一个进程的提升权限方式以及目前的权限
这里使用一个自定义的函数GetProcessElevation来获取

BOOL GetProcessEleation(TOKEN_ELEVATION_TYPE* pElevationType, BOOL* pIsadmin){
    HANDLE hToken = NULL;
    DWORD dwSize;
    if(!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)
        return(FALSE);
    if(GetTokenInformation(hToken,TokenElevationType,pElevationType,sizeof(TokenElevationType),&dwSize)){
        BYTE adminSID[SECURITY_MAX_SID_SIZE];
        CreateWellKnownSid(WinBuiltinAdministratorsSid,NULL,&adminSID,&dwSize);
        if(*pElevationType == TokenElevationTypeLimited){
            HANDLE hUnfilteredToken = NULL;
            GetTokenInformation(hToken,TokenLinkedToken,(VOID*)&hUnfilteredToken,sizeof(HANDLE),&dwSize);
            if(CheckTokenMembership(hUnfilteredToken,&adminSID,pIsadmin))
                bResult = TRUE;
            CloseHandle(hUnfilteredToken);
        }else{
            *pIsadmin = IsUserAnAdmin();
            bResult = TRUE;
        }
    }
    CloseHandle(hToken);
    return(bResult);
}

有点杂 上解释
首先这里传进去的两个参数：

• 第一个：TOKEN_ELEVATION_TYPE* pElevationType
  这货有三个备选值 分别表示这样的意思：
  TokenElevationTypeDefault 以默认用户运行
  TokenElevationTypeDeFull 成功提权 令牌未筛选
  TokenElevationTypeLimited 受限权限 对应一个筛选后的令牌
  然后我们后面的GetTokenInformation就可以获取到这个信息了
• 第二个：BOOL* pIsAdmin
  看名字都知道 这是用来记录是不是admin账户的
  然后整个函数里面就只有*pIsAdmin = IsUserAnAdmin 调用了这货

具体机制的解释：
首先用OpenProcessToken 果断上函数原型

BOOL WINAPI OpenProcessToken(
    _In_   HANDLE ProcessHandle,
    _In_   DWORD DesiredAccess,
    _Out_  PHANDLE TokenHandle
);

可以看到第一个是我们要访问的进程的handle 第二个是我们要的请求 第三个返回一个令牌的handle供我们使用
这里第二个参数传入的是TOKEN_QUERY 表示请求一个访问令牌
第三个就会把这个访问令牌的handle返回回来

在这一步成功之后 接下来就要去获取一些信息了 这里使用的是GetTokenInformation函数

BOOL WINAPI GetTokenInformation(
    _In_       HANDLE TokenHandle,
    _In_       TOKEN_INFORMATION_CLASS TokenInformationClass,
    _Out_opt_  LPVOID TokenInformation,
    _In_       DWORD TokenInformationLength,
    _Out_      PDWORD ReturnLength
);

还是先上函数原型

第一个参数传的自然就是刚刚获取的访问令牌的handle
第二个是一个枚举类型 有多种选项任挑选 然后获取到的东西会对应给第三个参数
所以第三个参数就是获取到的信息了
这里我们第二个参数传入的是TokenElevationType 这货会接收一个TOKEN_ELEVATION_TYPE
然后存到第三个参数里面也就是我们一开始传入的那个pElevationType
第四和第五两个参数 一个要传入第三个参数的类型的大小 一个返回值的大小

接下来是调用CreateWellKnownSid函数来为管理用用户组创建一个安全描述符
先初始化一个adminSID数组 内存开到SECURITY_MAX_SID_SIZE即最大，然后重复利用dwSize来存这个数组的大小

还是上一下函数原型：

BOOL WINAPI CreateWellKnownSid(
    _In_       WELL_KNOWN_SID_TYPE WellKnownSidType,
    _In_opt_   PSID DomainSid,
    _Out_opt_  PSID pSid,
    _Inout_    DWORD *cbSid
);```

> 第一个参数依然是一个枚举 表示要创建的SID的类型
    第二个传入NULL表明使用本地电脑
    第三个是个输出 用刚刚建的adminSID来接收
    第四个就是刚刚那个dwSize
    这里获取到的adminSID是给下面的CheckTokenMembership函数用的

然后就要对应不同情况进行不同的处理了
    当令牌被筛选过的时候 我们就需要再把没筛选过的令牌全部给检查一遍
    看看有没有管理员
    未筛选的话 就直接IsUserAnAdmin
最后获取到的信息：
    其实就是两个传进去的参数
    参看前面就清楚了