c# - 使用 CreateProcessAsUser 和 CreateEnvironmentBlock 创建进程后未设置 Clientname

Question

我编写了一个在本地系统帐户下运行的 C# 服务。当用户登录终端服务器时，我用它来生成一个进程。该服务实现 OnSessionChange 方法并接收具有相应 SessionID 的 SessionChangeDescription 消息。

我使用此 SessionID 通过 WTSQueryUserToken 从用户处获取访问 token 。我将此 token 转换为主 token ，并将其传递给 CreateEnvironmentBlock 来检索指向用户环境变量的指针。经过进一步的准备后，我调用 CreateProcessAsUser 函数最终以最近登录的用户身份在他的 winsta0\default 桌面上生成我的进程。

当我使用 ProcessExplorer 调查流程时，我发现流程上下文中没有 CLIENTNAME 环境变量。然而应用程序需要这个变量。

我想知道我做错了什么。或者也许我错过了一些东西。应该加载用户配置文件，因为我在用户登录时使用react。

是否有可能存在一些时间问题？或者 CLIENTNAME 变量是否以任何其他方式应用于进程？

以下是我调用 CreateEnvironmentBlock 函数的方法:

    private static IntPtr GetEnvironmentFromToken(IntPtr token)
    {
        // Get a pointer to the environment variables from the specified user access token
        IntPtr newEnvironment = IntPtr.Zero;
        if (!WinApi.CreateEnvironmentBlock(ref newEnvironment, token, false))
        {
            newEnvironment = IntPtr.Zero;
        }

        return newEnvironment;
    }

如果您需要更多信息或代码示例，请随时询问。

Answer 1

环境变量不仅取决于用户SID，还取决于SessionId，因为某些变量是每个 session 的。

我们可以在注册表HKEY_USERS\<SID>\Volatile Environment下查看用户环境变量。和SessionId这里的子键是存在的。在子键下 - 每个 session 变量

所以CreateEnvironmentBlock接下来必须做的 - 从 token 获取用户 SID，打开 HKEY_USERS\<SID>\Volatile Environment key，并查询它的值。

然后必须查询SessionId 来自代币通过 GetTokenInformation(hToken, TokenSessionId, )并查询Volatile Environment\SessionId子 key 。

但系统错误地使用了SessionId从当前进程PEB而不是获取 token 。下一个代码位于系统 dll 中:

WCHAR buf[MAX_PATH];
StringCchPrintfW(buf, RTL_NUMBER_OF(buf), 
    L"%s\\%d", L"Volatile Environment", RtlGetCurrentPeb()->SessionId);

mov rax,gs:[60h]//rax -> PEB
2c0h 这是 PEB 中 SessionId 的偏移量

当您从服务执行应用程序时 - SessionId在PEB为 0，结果 CLIENTNAME和SESSIONNAME未添加到环境 block 中。

这是常见的系统错误。为了进行测试，您可以运行两个 cmd.exe - 一个未提升(从 explorer.exe 执行)，一个以管理员身份运行(从 svchost.exe -k netsvcs 执行)，然后在 set 中运行命令 - 它显示环境字符串。您可以注意到，在未升高的 cmd.exe 中存在字符串SESSIONNAME=Console (或者 SESSIONNAME=RDP-Tcp#N 如果您从 rdp 运行它)并且，如果您在 rdp 中，CLIENTNAME=DESKTOP-xxx 。但在提升的(以管理员身份运行)cmd.exe中 - 没有这个字符串。这是因为CreateEnvironmentBlock从 svchost.exe -k netsvcs 调用，其中有 SessionId == 0

修复此问题可以通过两种方式:

简单，但不正确:

        _PEB* peb = RtlGetCurrentPeb();
        DWORD _SessionId = peb->SessionId, SessionId, rcb;

        if (GetTokenInformation(hToken, TokenSessionId, &SessionId, sizeof(SessionId), &rcb))
        {
            peb->SessionId = SessionId;
        }

        PVOID Environment;
        BOOL fOk = CreateEnvironmentBlock(&Environment, hToken, FALSE);

        peb->SessionId = _SessionId;

这里的想法 - 临时替换 SessionId在 PEB 中到 SessionId来自 token 。这会起作用的。这里不好 - 如果并发中的另一个线程将使用SessionId怎么办？在 PEB 中？

另一种方式，相对较大的代码，但正确 - 你自己走过 SessionId子 key 和扩展环境 block 。

void AddSessionEnv(HANDLE hToken, PVOID Environment, PVOID* pNewEnvironment)
{
    SIZE_T cb = 1, len;
    PWSTR sz = (PWSTR)Environment;
    while (*sz)
    {
        len = wcslen(sz) + 1;
        sz += len;
        cb += len;
    }

    DWORD SessionId, rcb;
    if (GetTokenInformation(hToken, TokenSessionId, &SessionId, sizeof(SessionId), &rcb))
    {
        PROFILEINFO pi = { sizeof(pi), PI_NOUI, L"*" };
        if (LoadUserProfileW(hToken, &pi))
        {
            WCHAR SubKey[48];
            swprintf(SubKey, L"Volatile Environment\\%d", SessionId);
            HKEY hKey;

            if (ERROR_SUCCESS == RegOpenKeyExW((HKEY)pi.hProfile, SubKey, 0, KEY_READ, &hKey))
            {
                cb *= sizeof(WCHAR);

                ULONG cbNeed = 0x200, cbAllocated;
                PVOID NewEnvironment;
                do 
                {
                    if (NewEnvironment = LocalAlloc(0, cb + (cbAllocated = cbNeed)))
                    {
                        cbNeed = AddSessionEnv(hKey, (PWSTR)NewEnvironment, cbAllocated);

                        if (cbNeed && cbAllocated >= cbNeed)
                        {
                            memcpy((PBYTE)NewEnvironment + cbNeed, Environment, cb);
                            *pNewEnvironment = NewEnvironment;
                            break;
                        }

                        LocalFree(NewEnvironment);
                    }

                } while (cbNeed);

                RegCloseKey(hKey);
            }
            UnloadUserProfile(hToken, pi.hProfile);
        }
    }
}

static volatile UCHAR guz;

ULONG AddSessionEnv(HANDLE hKey, PWSTR sz, ULONG Length)
{
    LONG status;

    PVOID stack = alloca(guz);

    ULONG TotalLength = 0, DataLength, Index = 0, cb = 0, rcb = sizeof(KEY_VALUE_FULL_INFORMATION) + 256;

    union {
        PVOID buf;
        PKEY_VALUE_FULL_INFORMATION pkvfi;
    };

    do 
    {
        do 
        {
            if (cb < rcb) cb = RtlPointerToOffset(buf = alloca(rcb - cb), stack);

            if (0 <= (status = ZwEnumerateValueKey(hKey, Index, KeyValueFullInformation, buf, cb, &rcb)) && 
                pkvfi->Type == REG_SZ &&
                (DataLength = pkvfi->DataLength) &&
                !(DataLength & (sizeof(WCHAR) - 1)))
            {
                static const UNICODE_STRING CharSet = { 2 * sizeof(WCHAR), 2 * sizeof(WCHAR), L"="};

                USHORT NonInclusivePrefixLength;
                UNICODE_STRING Name = { (USHORT)pkvfi->NameLength, Name.Length, pkvfi->Name };

                // not add strings which containing 0 or `=` symbol or emply
                if (Name.Length && RtlFindCharInUnicodeString(0, &Name, &CharSet, &NonInclusivePrefixLength) == STATUS_NOT_FOUND)
                {
                    UNICODE_STRING Value = { 
                        (USHORT)DataLength, 
                        Value.Length, 
                        (PWSTR)RtlOffsetToPointer(pkvfi, pkvfi->DataOffset) 
                    };

                    PWSTR szEnd = (PWSTR)RtlOffsetToPointer(Value.Buffer, DataLength - sizeof(WCHAR));

                    if (!*szEnd) Value.Length -= sizeof(WCHAR);

                    // not add empty strings or containing 0 or `=` symbol
                    if (Value.Length && RtlFindCharInUnicodeString(0, &Value, &CharSet, &NonInclusivePrefixLength) == STATUS_NOT_FOUND)
                    {
                        ULONG cbNeed = Name.Length + 2 * sizeof(WCHAR) + Value.Length;

                        if (Length >= cbNeed)
                        {
                            sz += 1 + swprintf(sz, L"%wZ=%wZ", &Name, &Value), Length -= cbNeed;
                        }
                        else
                        {
                            Length = 0;
                        }

                        TotalLength += cbNeed;
                    }
                }
            }

        } while (status == STATUS_BUFFER_OVERFLOW || status == STATUS_BUFFER_TOO_SMALL );

        Index++;

    } while (status != STATUS_NO_MORE_ENTRIES);

    return TotalLength;
}

并使用此代码:

        PVOID Environment, NewEnvironment = 0;

        if (CreateEnvironmentBlock(&Environment, hToken, FALSE))
        {
            AddSessionEnv(hToken, Environment, &NewEnvironment);

            CreateProcessAsUserW(hToken, *, CREATE_UNICODE_ENVIRONMENT, 
                NewEnvironment ? NewEnvironment : Environment, *);

            if (NewEnvironment)
            {
                LocalFree(NewEnvironment);
            }
            DestroyEnvironmentBlock(Environment);
        }

RtlFindCharInUnicodeString的定义我使用它是为了舒适

enum {
    RTL_FIND_CHAR_IN_UNICODE_STRING_START_AT_END = 1,
    RTL_FIND_CHAR_IN_UNICODE_STRING_COMPLEMENT_CHAR_SET = 2,
    RTL_FIND_CHAR_IN_UNICODE_STRING_CASE_INSENSITIVE = 4
};

NTSYSAPI
NTSTATUS
NTAPI
RtlFindCharInUnicodeString(
                                 ULONG Flags,
                                 PCUNICODE_STRING StringToSearch,
                                 PCUNICODE_STRING CharSet,
                                 USHORT *NonInclusivePrefixLength
                                 );