Как использовать AllocateAndInitializeSid для группы AD?

Question

Я хотел бы создать группу SID для группы администраторов домена и передать ее CheckTokenMembership, чтобы определить, принадлежит ли данный пользователь AD группе. Тем не менее, я не совсем уверен в том, какие полномочия идентификатора и сублицензии следует использовать с AllocateAndInitializeSid. Все «рабочие» примеры, которые я видел до сих пор, касаются только местных групп.

Пример:

SID_IDENTIFIER_AUTHORITY ntAuthority = SECURITY_NT_AUTHORITY; 
PSID adminGroup; 

AllocateAndInitializeSid(&ntAuthority, 
         2, 
         SECURITY_BUILTIN_DOMAIN_RID, 
         DOMAIN_ALIAS_RID_ADMINS, 
         0, 0, 0, 0, 0, 0, 
         &adminGroup); 

Что суб-органы должны быть использованы для создания SID для группы AD Администраторов власти и? Я пробовал DOMAIN_GROUP_RID_ADMINS и DOMAIN_USER_RID_ADMIN с SECURITY_NT_AUTHORITY, но CheckTokenMembership всегда сообщал, что данный пользователь не был членом группы, которая была неправильной.

Любые примеры и указатели на он-лайн документы были бы оценены.

Answer 1

Вы можете использовать LsaQueryInformationPolicy() с PolicyDnsDomainInformation для извлечения SID для основного домена компьютера.

Кроме того, если вы знаете, что учетная запись, которую вы запрашиваете, принадлежит к тому же домену, что и группа администраторов доменов, которую вы заинтересовали, вы можете использовать GetWindowsAccountDomainSid() для извлечения SID домена из SID учетной записи.

После того, как вы получили SID домена, вы можете использовать CreateWellKnownSid(), чтобы создать группу SID для группы «Администраторы домена». Используйте опцию WinAccountDomainAdminsSid. Тогда это просто вопрос вызова CheckTokenMembership(), как вы уже сказали.

Answer 2

Вы можете перечислить группы токенов и проверить, являются интересными для вас SID настоящее время.

volatile UCHAR guz; 

ULONG IsDomainAdmin(HANDLE hToken, PBOOL IsMember) 
{ 
    ULONG cb = 0, rcb = 0x100, err; 
    PVOID stack = alloca(guz); 

    union { 
     PVOID buf; 
     PTOKEN_GROUPS ptg; 
    }; 

    do 
    { 
     if (cb < rcb) 
     { 
      cb = RtlPointerToOffset(buf = alloca(rcb - cb), stack); 
     } 

     if (GetTokenInformation(hToken, TokenGroups, buf, cb, &rcb)) 
     { 
      *IsMember = FALSE; 

      if (ULONG GroupCount = ptg->GroupCount) 
      { 
       PSID_AND_ATTRIBUTES Groups = ptg->Groups; 
       do 
       { 
        // S-1-5-21-domain-512 
        PSID Sid = Groups++->Sid; 
        PSID_IDENTIFIER_AUTHORITY psia = GetSidIdentifierAuthority(Sid); 

        static SID_IDENTIFIER_AUTHORITY ntAuthority = SECURITY_NT_AUTHORITY; 

        if (!memcmp(psia, &ntAuthority, sizeof(SID_IDENTIFIER_AUTHORITY))) 
        { 
         ULONG n = *GetSidSubAuthorityCount(Sid); 

         if (
          1 < n && 
          *GetSidSubAuthority(Sid, 0) == SECURITY_NT_NON_UNIQUE && 
          *GetSidSubAuthority(Sid, n - 1) == DOMAIN_GROUP_RID_ADMINS 
          ) 
         { 
          *IsMember = TRUE; 

          return NOERROR; 
         } 
        } 

       } while (--GroupCount); 
      } 
      return NOERROR; 
     } 

    } while ((err = GetLastError()) == ERROR_INSUFFICIENT_BUFFER); 

    return err; 
}