Использование SSPI (NTLM) Api с Windows AccessCheck () в Vista с UAC

Сводный клиент (Windows XP SP3) Сервер (Windows Vista Business SP1) / Работает как локальная системная служба

Клиент последовательности API - Клиент AcquireCredentialsHandle - Сервер Initializesecuritycontext - Сервер Acquirecredentialshandle - Клиент / сервер AcceptSecurityContext - Сервер CompleteAuthnToken - Сервер ImpersonateSecurityContext - AccessCheckAndAuditAlarm (MAXIMUM_allowed) Сервер запрошен - затем я сравниваю запрашиваемый доступ.

Я вызываю проверку доступа к частному объекту безопасности, созданному с помощью createprivateobjectsecurityex. С включенным Uac я снова получаю успех от проверки доступа, но ни одна из привилегий не выполняется. С выключенным uac я снова получаю успех со всеми правами в параметре GantedAccess.

Подробности Приложение состоит из двух компонентов: клиента и сервера. Он использует TCP для связи по незащищенной сети. Для аутентификации входящих подключений я использую sspi api, перечисленные выше, и выдаю себя за вызывающего пользователя. Как только вызывающий пользователь олицетворяется, я использую Accesscheckandauditalarm, если это не удается, я возвращаюсь к простой проверке доступа. С включенным UAC я снова получаю успех от accesscheckandauditalarm, но ни один из прав доступа не указан в параметре gradedaccess, но если UAC отключен, он работает, как ожидалось. Я проверил уровень целостности серверного процесса, и он установлен на высокий, я посмотрел уровень целостности токена олицетворения, используемого для олицетворения вызывающего пользователя, и он установлен на средний. Я успешно пытался установить высокий уровень целостности вызывающего пользователя, но проверка доступа по-прежнему возвращает неверные результаты. Думая, что у меня может быть связанный токен, я попробовал связанный токен с вызовом GetTOkenInformation (TokenLInkedToken) с результатом 0x520. Будем признательны за любые мысли о том, что я могу попробовать в следующий раз.

Код после аутентификации.

SECURITY_STATUS ss = SEC_E_OK; 
 HANDLE _hToken = NULL; 
 ss = QuerySecurityContextToken((PCtxtHandle)pContext,&_hToken); 
 if(SEC_E_OK != ss) 
 { 
  return ss; 
 } 
 CAccessToken impToken; 
 impToken.Attach(_hToken); 
 if(CWin32::IsVista()) 
 { 
  /*TOKEN_LINKED_TOKEN linkedToken; 
  DWORD nLen = 0; 
  BOOL bRet = GetTokenInformation(_hToken, 
(TOKEN_INFORMATION_CLASS)TokenLinkedToken,&linkedToken,sizeof(linkedToken), &nLen); 
  if(bRet) 
  { 
   CloseHandle(impToken.Detach()); 
   impToken.Attach(linkedToken.LinkedToken); 
  } 
  else 
  { 
   TRACE(_T("GetTokenInfo Failed 0x%x\n"),GetLastError()); 
  }*/ 
  PSID    pHighIntegritySid = NULL; 
  BOOL bConvertSid = FALSE; 
  bConvertSid = ConvertStringSidToSid(SDDL_ML_HIGH, 
&pHighIntegritySid); 
  if (bConvertSid) 
  { 
   TOKEN_MANDATORY_LABEL TML = {0}; 
   TML.Label.Attributes = SE_GROUP_INTEGRITY | 
SE_GROUP_INTEGRITY_ENABLED; 
   TML.Label.Sid        = pHighIntegritySid; 
   BOOL bSetTokenRet = SetTokenInformation(_hToken, 
(TOKEN_INFORMATION_CLASS)TokenIntegrityLevel,&TML,sizeof(TML) + 
GetLengthSid(pHighIntegritySid)); 
   LocalFree(pHighIntegritySid); 
   if(!bSetTokenRet) 
   { 
    nReturn = GetLastError(); 
    DBGOUT(DebugOut::LOG_COMP_AUTH_LAYER,DebugOut::LOG_DETAIL_ERROR, 
     _T("Failed to set Token information %x\n"),nReturn); 
    return nReturn; 
   } 
  } 
 } 
 bool bRet = impToken.Impersonate(); 
 if(false == bRet) 
 { 
  return GetLastError(); 
 } 
 _GetTokenSecurityLevel(impToken.GetHandle()); 
 ::MapGenericMask(&nRights, GetGENERIC_MAPPING()); 
 DWORD nAccessGranted = 0; 
 BOOL bAccessStatus = FALSE; 
 BOOL bGenerateOnClose = FALSE; 
 BOOL bAccessCheckRet = FALSE; 
 bAccessCheckRet = ::AccessCheckAndAuditAlarm(_T("Purgos 
Security"),impToken.GetHandle(),_T("Purgos"),m_csObjectName.GetBuffer(0), 
const_cast<SECURITY_DESCRIPTOR*>(m_ObjectSD.GetPSECURITY_DESCRIPTOR())/ 
*privObjectSD.GetPSECURITY_DESCRIPTOR())*/,MAXIMUM_ALLOWED,GetGENERIC_MAPPI NG(),FALSE,&nAccessGranted,&bAccessStatus,&bGenerateOnClose);