토큰권한적용 AdjustTokenPrivileges

int Adjust_Privilege_Func()
{
  int v0;
  int v1;
  int v2;
  int v4;
  char v5;
  int v6; 
  int v7;
 
  v0 = 0;
  v1 = GetCurrentProcess(0x20);
  if ( OpenProcessToken(v1, v2, &v7) )
  {
    v4 = 1;
    if ( LookupPrivilegeValueW(0, L"SeDebugPrivilege", &v5) )// if Process has "SeDebugPrivilege"
    {
      v6 = 2;
      v0 = AdjustTokenPrivileges(v7, 0, &v4, 16, 0, 0);// Enable SeDebugPrivilege
    }
    CloseHandle(v7);
  }
  return v0;
}

관련 글 : NT의 privilege와 AdjustTokenPrivileges함수에 대해서

NT의 privilege는 각각의 secure object가 갖고 있는 DACL을 보완하

여, 시스템 전체에 대한 security policy를 세울수 있도록 하는 목적

을 가지고 있습니다. 그러니까.. 이런 겁니다. 특정 사용자가 시스템

의 모든 secure object에 대해 특정 operation을 할 수 있었으면 좋겠

습니다. 그런데 DACL만으로 이걸 해야 된다면? 모든 secure object의 

DACL을 조정해야 할까요? 힘들겠죠? 그래서 특정 privilege를 가진 사

용자는 secure object의 DACL을 무시하고 시스템 전체에 대해 특정 

operation을 할 수 있도록하는 일종의 상위 rule을 만든 것입니다. 

Privilege는 대충 그렇고요.. 

AdjustTokenPrivileges 함수에 대해 MSDN에서는 이렇게 설명하고 있습

니다. "지정된 access token의 privilege를 enable/disable한다." 조

금 더 읽어보면 "AdjustTokenPrivileges는 access token에 새 

privilege를 추가하지 못한다. 단지 token이 이미 가지고 있는 

privilege를 enable또는 disable하기만 한다." 라고 되어 있습니다. 

굉장히 당연한 이야기입니다. 시스템 콜을 해서 privilege를 추가할 

수 있다는 것은 웃기는 얘기겠죠? 그럼 enable/disable한다는건 무슨 

뜻일까요?

administrator 계정으로 로그인한 다음

BOOL bRet = ExitWindowsEx(EWX_SHUTDOWN, 0);

과 같은 코드를 실행시켜 보면 bRet의 값이 FALSE가 옵니다. 

GetLastError()를 해보면 권한이 없기 때문에 오류가 발생했음을 알 

수 있습니다. 왜 관리자에게 shutdown할 수 있는 권한이 없을까요?  

이 오류의 정확한 의미는 "권한이 없거나 disable되어있습니다."의 의

미입니다. 

NT의 privilege는 있냐/없냐와 별개로,있더라도 enable/disable상태

가 있습니다. NT의 privilege는 거의 대부분 default로 disable상태입

니다. 이것은 사용자(=사용자가 사용하는 프로그램, 또는 그것을 만드

는 프로그래머)로 하여금 자신이 알지 못하는 사이에 특정 privilege

를 사용하지 않도록 하기위함입니다. 항상 자신이 하고자 하는 일이 

어떠한 privilege를 사용하는 것인지 명확히 알 수 있도록 하는 것이

죠.

Privilege와 AdjustTokenPrivileges함수에 대해 두서없이 지껄여 보았

습니다. NT의 security에 대해 궁금하신 분들은 Keith Brown의 

Programming Windows Security라는 책을 보시면 좋을 듯 합니다.

위와 같은 이유로 NT에서 privilege와 관련된 일을 하려면 항상 

thread의 token이 적절한 privilege를 가지고 있는지, 있다면 그 

privilege를 enable할 수 있는지를 검사해야 합니다. Keith Brown의 

책에 있는 utility function을 소개하면서 즐프하시길 빕니다.

BOOL _SeEnablePrivilege

(

    HANDLE _htok, LPCTSTR _pszPriv, BOOL _bEnable, 

TOKEN_PRIVILEGES& _tpOld

)

{

    TOKEN_PRIVILEGES tp;

    tp.PrivilegeCount = 1;

    tp.Privileges[0].Attributes = _bEnable ? 

SE_PRIVILEGE_ENABLED : 0;

    if ( !LookupPrivilegeValue(NULL, _pszPriv, 

&tp.Privileges[0].Luid) )

    {

        return FALSE;

    }

    DWORD cbOld = sizeof(_tpOld);

    if ( !AdjustTokenPrivileges(_htok, FALSE, &tp, cbOld, 

&_tpOld, &cbOld) )

    {

        return FALSE;

    }