强制完整性控制

强制完整性控制使用完整性级别和强制策略来评估权限，这是一种控制安全对象访问的机制

这是从 Windows Vista 新增的安全机制，是对在DACL之前检查

完整性级别

完整性级别用于对安全对象的保护，较低完整性级别的主体无法写入较高完整性级别的对象

完整性标签指定安全对象和安全主体的完整性级别(缺少完整性标签的对象被视为中等完整性)，完整性标签由完整性SID表示，安全对象的完整性SID存储在SACL的SYSTEM_MANDATORY_LABEL_ACE这个ACE中，安全主体的完整性SID存储在访问令牌中(可能有多个完整性SID)，该SID使用格式为S-1-16-RID，其中RID的值及完整性级别为以下内容：

RID	值	标识
SECURITY_MANDATORY_UNTRUSTED_RID	0x00000000	不可信
SECURITY_MANDATORY_LOW_RID	0x00001000 (十进制为4096)	完整性低
SECURITY_MANDATORY_MEDIUM_RID	0x00002000 (十进制为8192)	中等完整性
SECURITY_MANDATORY_MEDIUM_PLUS_RID	SECURITY_MANDATORY_MEDIUM_RID + 0x100 (十进制为8448)	中等高完整性
SECURITY_MANDATORY_HIGH_RID	0X00003000 (十进制为12288)	完整性高
SECURITY_MANDATORY_SYSTEM_RID	0x00004000 (十进制为16384)	系统完整性
SECURITY_MANDATORY_PROTECTED_PROCESS_RID	0x00005000 (十进制为20480)	受保护的进程

• 受保护

  默认未被使用，仅能通过内核模式调用设置

• 系统完整性

  这是由本地服务、网络服务和系统账户下运行的进程和服务，该级别是在管理员和系统之间提供一个安全层，即使以管理员身份运行的进程也无法与该级别进程交互

• 高完整性

  这是分配给管理员账户的默认完整性级别，如果开启了UAC，该级别是分配给通过UAC的管理员

• 中完整性

  这是分配给标准用户(包括未过UAC的管理员用户)的完整性级别，该完整性级别的进程只能修改 HKEY_CURRENT_USER、非受保护文件夹中的文件以及具有相同或更低完整性的进程

• 低完整性

  该完整级别默认不分配给进程，一般通过继承或父进程设置

  该级别的进程只能在HKEY_CURRENT_USER\Software\AppDataLow 下操作，或者将文件写入 %USERPROFILE%\AppData\LocalLow 目录下

• 不受信任

  用于Anonymous组(未经过身份验证的远程用户)启动的进程

注：

• 进程无法更改自己的完整性等级

• 进程运行就无法更改完整性等级，但是通过UAC的程序可以提升完整性等级

• 进程只能创建等同或比自己更低的完整性等级的进程

• 进程不能修改或写入更高完整性等级的进程或文件，但是有SE_DEBUG_NAME 权限的高完整性等级的进程可以修改更高完整性等级的进程

强制策略

安全对象SACL中定义了SYSTEM_MANDATORY_LABEL_ACE这个ACE，该ACE包含一个访问掩码，在这个策略中用于指定授予低于对象完整性级别的主体的访问，掩码定义值为：

• SYSTEM_MANDATORY_LABEL_NO_WRITE_UP （0x1）

• SYSTEM_MANDATORY_LABEL_NO_READ_UP（0x2）

• SYSTEM_MANDATORY_LABEL_NO_EXECUTE_UP （0x4）

默认为SYSTEM_MANDATORY_LABEL_NO_WRITE_UP

一些特权与完整性级别

有些特权是可以直接赋给用户然后就可以执行，但是有些特权只能在高完整性级别下使用，这些特权极为强大，例如：

• SeDebugPrivilege 调试程序

• SeTakeOwnshipPrivilege 取得所有权

• SeRestorePrivilege 还原文件和目录

• SeLoadDriverPrivilege 加载和卸载设备驱动程序

• SeCreateTokenPrivilege 创建令牌对象

• SeTcbPrivilege 以操作系统方式执行

测试

中完整性对高完整性文件操作

icacls test.txt /setintegritylevel high
# 在过UAC的cmd中给test.txt设置高完整性，无法为文件设置比当前完整性更高级别的完整性级别

whoami /all | find "Level"
# 重新开一个不过UAC的cmd，通过该命令查看当前完整性级别为中级

icacls test.txt
# 可以查看test.txt的完整性级别

测试如图

• 较低完整性级别的进程为程序或文件无法设置较高的完整性级别

• 因为强制性策略的默认设置，较低完整性级别可读或运行完整性级别高的文件或程序，但是不可修改

管理员令牌查看

使用windbg内核调试，查看令牌

这是未过UAC的管理员启动的cmd的令牌

1: kd> !token ffffc0007e51a060
_TOKEN 0xffffc0007e51a060
TS Session ID: 0x1
User: S-1-5-21-728056679-1576745261-2250629876-1000
User Groups: 
 00 S-1-5-21-728056679-1576745261-2250629876-513
    Attributes - Mandatory Default Enabled 
 01 S-1-1-0
    Attributes - Mandatory Default Enabled 
 02 S-1-5-114
    Attributes - DenyOnly 
 03 S-1-5-32-544
    Attributes - DenyOnly 
 04 S-1-5-32-545
    Attributes - Mandatory Default Enabled 
 05 S-1-5-4
    Attributes - Mandatory Default Enabled 
 06 S-1-2-1
    Attributes - Mandatory Default Enabled 
 07 S-1-5-11
    Attributes - Mandatory Default Enabled 
 08 S-1-5-15
    Attributes - Mandatory Default Enabled 
 09 S-1-5-113
    Attributes - Mandatory Default Enabled 
 10 S-1-5-5-0-240516
    Attributes - Mandatory Default Enabled LogonId 
 11 S-1-2-0
    Attributes - Mandatory Default Enabled 
 12 S-1-5-64-10
    Attributes - Mandatory Default Enabled 
 13 S-1-16-8192
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-728056679-1576745261-2250629876-513
Privs: 
 19 0x000000013 SeShutdownPrivilege               Attributes - 
 23 0x000000017 SeChangeNotifyPrivilege           Attributes - Enabled Default 
 25 0x000000019 SeUndockPrivilege                 Attributes - 
 33 0x000000021 SeIncreaseWorkingSetPrivilege     Attributes - 
 34 0x000000022 SeTimeZonePrivilege               Attributes - 
Authentication ID:         (0,3ac26)
Impersonation Level:       Anonymous
TokenType:                 Primary
Source: User32             TokenFlags: 0x2a00 ( Token in use )
Token ID: 507d9            ParentToken ID: 3ac29
Modified ID:               (0, 3ac32)
RestrictedSidCount: 0      RestrictedSids: 0x0000000000000000
OriginatingLogonSession: 3e7
PackageSid: (null)
CapabilityCount: 0      Capabilities: 0x0000000000000000
LowboxNumberEntry: 0x0000000000000000
Security Attributes:
Unable to get the offset of nt!_AUTHZBASEP_SECURITY_ATTRIBUTE.ListLink
Process Token TrustLevelSid: (null)

这是过了UAC的管理员用户启动的cmd的令牌

0: kd> !token ffffc0007e9746c0
_TOKEN 0xffffc0007e9746c0
TS Session ID: 0x1
User: S-1-5-21-728056679-1576745261-2250629876-1000
User Groups: 
 00 S-1-5-21-728056679-1576745261-2250629876-513
    Attributes - Mandatory Default Enabled 
 01 S-1-1-0
    Attributes - Mandatory Default Enabled 
 02 S-1-5-114
    Attributes - Mandatory Default Enabled 
 03 S-1-5-32-544
    Attributes - Mandatory Default Enabled Owner 
 04 S-1-5-32-545
    Attributes - Mandatory Default Enabled 
 05 S-1-5-4
    Attributes - Mandatory Default Enabled 
 06 S-1-2-1
    Attributes - Mandatory Default Enabled 
 07 S-1-5-11
    Attributes - Mandatory Default Enabled 
 08 S-1-5-15
    Attributes - Mandatory Default Enabled 
 09 S-1-5-113
    Attributes - Mandatory Default Enabled 
 10 S-1-5-5-0-240516
    Attributes - Mandatory Default Enabled LogonId 
 11 S-1-2-0
    Attributes - Mandatory Default Enabled 
 12 S-1-5-64-10
    Attributes - Mandatory Default Enabled 
 13 S-1-16-12288
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-728056679-1576745261-2250629876-513
Privs: 
 05 0x000000005 SeIncreaseQuotaPrivilege          Attributes - 
 08 0x000000008 SeSecurityPrivilege               Attributes - 
 09 0x000000009 SeTakeOwnershipPrivilege          Attributes - 
 10 0x00000000a SeLoadDriverPrivilege             Attributes - 
 11 0x00000000b SeSystemProfilePrivilege          Attributes - 
 12 0x00000000c SeSystemtimePrivilege             Attributes - 
 13 0x00000000d SeProfileSingleProcessPrivilege   Attributes - 
 14 0x00000000e SeIncreaseBasePriorityPrivilege   Attributes - 
 15 0x00000000f SeCreatePagefilePrivilege         Attributes - 
 17 0x000000011 SeBackupPrivilege                 Attributes - 
 18 0x000000012 SeRestorePrivilege                Attributes - 
 19 0x000000013 SeShutdownPrivilege               Attributes - 
 20 0x000000014 SeDebugPrivilege                  Attributes - 
 22 0x000000016 SeSystemEnvironmentPrivilege      Attributes - 
 23 0x000000017 SeChangeNotifyPrivilege           Attributes - Enabled Default 
 24 0x000000018 SeRemoteShutdownPrivilege         Attributes - 
 25 0x000000019 SeUndockPrivilege                 Attributes - 
 28 0x00000001c SeManageVolumePrivilege           Attributes - 
 29 0x00000001d SeImpersonatePrivilege            Attributes - Enabled Default 
 30 0x00000001e SeCreateGlobalPrivilege           Attributes - Enabled Default 
 33 0x000000021 SeIncreaseWorkingSetPrivilege     Attributes - 
 34 0x000000022 SeTimeZonePrivilege               Attributes - 
 35 0x000000023 SeCreateSymbolicLinkPrivilege     Attributes - 
Authentication ID:         (0,3abf5)
Impersonation Level:       Anonymous
TokenType:                 Primary
Source: User32             TokenFlags: 0x2000 ( Token in use )
Token ID: c3731            ParentToken ID: 0
Modified ID:               (0, c3726)
RestrictedSidCount: 0      RestrictedSids: 0x0000000000000000
OriginatingLogonSession: 3e7
PackageSid: (null)
CapabilityCount: 0      Capabilities: 0x0000000000000000
LowboxNumberEntry: 0x0000000000000000
Security Attributes:
Unable to get the offset of nt!_AUTHZBASEP_SECURITY_ATTRIBUTE.ListLink
Process Token TrustLevelSid: (null)

对于这两个令牌来说，最大的区别有：

• S-1-5-114（管理员组的本地账户和成员）和S-1-5-32-544（管理员）在未过UAC的令牌中式被ban了

• 最后一个SID即完整性级别，未过UAC是8192对应中完整性级别，过了UAC是12288对应高完整性级别

• 特权

赋予特权的普通用户令牌查看

这是赋予了SeDebugPrivilege特权的普通用户test1未过UAC启动的cmd令牌

0: kd> !token ffffc000a283e9e0
_TOKEN 0xffffc000a283e9e0
TS Session ID: 0x1
User: S-1-5-21-728056679-1576745261-2250629876-1004
User Groups: 
 00 S-1-5-21-728056679-1576745261-2250629876-513
    Attributes - Mandatory Default Enabled 
 01 S-1-1-0
    Attributes - Mandatory Default Enabled 
 02 S-1-5-32-545
    Attributes - Mandatory Default Enabled 
 03 S-1-5-4
    Attributes - Mandatory Default Enabled 
 04 S-1-2-1
    Attributes - Mandatory Default Enabled 
 05 S-1-5-11
    Attributes - Mandatory Default Enabled 
 06 S-1-5-15
    Attributes - Mandatory Default Enabled 
 07 S-1-5-113
    Attributes - Mandatory Default Enabled 
 08 S-1-5-5-0-241046
    Attributes - Mandatory Default Enabled LogonId 
 09 S-1-2-0
    Attributes - Mandatory Default Enabled 
 10 S-1-5-64-10
    Attributes - Mandatory Default Enabled 
 11 S-1-16-8192
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-728056679-1576745261-2250629876-513
Privs: 
 19 0x000000013 SeShutdownPrivilege               Attributes - 
 23 0x000000017 SeChangeNotifyPrivilege           Attributes - Enabled Default 
 25 0x000000019 SeUndockPrivilege                 Attributes - 
 33 0x000000021 SeIncreaseWorkingSetPrivilege     Attributes - 
 34 0x000000022 SeTimeZonePrivilege               Attributes - 
Authentication ID:         (0,3ae2c)
Impersonation Level:       Anonymous
TokenType:                 Primary
Source: User32             TokenFlags: 0x2a00 ( Token in use )
Token ID: d9eb9            ParentToken ID: 3ae2f
Modified ID:               (0, 3ae38)
RestrictedSidCount: 0      RestrictedSids: 0x0000000000000000
OriginatingLogonSession: 3e7
PackageSid: (null)
CapabilityCount: 0      Capabilities: 0x0000000000000000
LowboxNumberEntry: 0x0000000000000000
Security Attributes:
Unable to get the offset of nt!_AUTHZBASEP_SECURITY_ATTRIBUTE.ListLink
Process Token TrustLevelSid: (null)

这是赋予了SeDebugPrivilege特权过了UAC启动的cmd的令牌

0: kd> !token ffffc0009b3a49e0
_TOKEN 0xffffc0009b3a49e0
TS Session ID: 0x1
User: S-1-5-21-728056679-1576745261-2250629876-1004
User Groups: 
 00 S-1-5-21-728056679-1576745261-2250629876-513
    Attributes - Mandatory Default Enabled 
 01 S-1-1-0
    Attributes - Mandatory Default Enabled 
 02 S-1-5-32-545
    Attributes - Mandatory Default Enabled 
 03 S-1-5-4
    Attributes - Mandatory Default Enabled 
 04 S-1-2-1
    Attributes - Mandatory Default Enabled 
 05 S-1-5-11
    Attributes - Mandatory Default Enabled 
 06 S-1-5-15
    Attributes - Mandatory Default Enabled 
 07 S-1-5-113
    Attributes - Mandatory Default Enabled 
 08 S-1-5-5-0-241046
    Attributes - Mandatory Default Enabled LogonId 
 09 S-1-2-0
    Attributes - Mandatory Default Enabled 
 10 S-1-5-64-10
    Attributes - Mandatory Default Enabled 
 11 S-1-16-12288
    Attributes - GroupIntegrity GroupIntegrityEnabled 
Primary Group: S-1-5-21-728056679-1576745261-2250629876-513
Privs: 
 19 0x000000013 SeShutdownPrivilege               Attributes - 
 20 0x000000014 SeDebugPrivilege                  Attributes - 
 23 0x000000017 SeChangeNotifyPrivilege           Attributes - Enabled Default 
 25 0x000000019 SeUndockPrivilege                 Attributes - 
 33 0x000000021 SeIncreaseWorkingSetPrivilege     Attributes - 
 34 0x000000022 SeTimeZonePrivilege               Attributes - 
Authentication ID:         (0,10aa09)
Impersonation Level:       Anonymous
TokenType:                 Primary
Source: CredPro            TokenFlags: 0x2000 ( Token in use )
Token ID: 10af9a           ParentToken ID: 0
Modified ID:               (0, 10af8f)
RestrictedSidCount: 0      RestrictedSids: 0x0000000000000000
OriginatingLogonSession: 3e7
PackageSid: (null)
CapabilityCount: 0      Capabilities: 0x0000000000000000
LowboxNumberEntry: 0x0000000000000000
Security Attributes:
Unable to get the offset of nt!_AUTHZBASEP_SECURITY_ATTRIBUTE.ListLink
Process Token TrustLevelSid: (null)

这两个令牌最主要差距：

• 最后一个SID即完整性级别差距

• 特权（过了UAC多了SeDebugPrivilege特权）

查看安全描述符

这是中完整性级别进程的安全描述符，可以在SACL中看见SID对应着中完整性级别

0: kd> !sd 0xffffc000`9a1fe73c & -10
->Revision: 0x1
->Sbz1    : 0x0
->Control : 0x8814
            SE_DACL_PRESENT
            SE_SACL_PRESENT
            SE_SACL_AUTO_INHERITED
            SE_SELF_RELATIVE
->Owner   : S-1-5-21-728056679-1576745261-2250629876-1004
->Group   : S-1-5-21-728056679-1576745261-2250629876-513
->Dacl    : 
->Dacl    : ->AclRevision: 0x2
->Dacl    : ->Sbz1       : 0x0
->Dacl    : ->AclSize    : 0x5c
->Dacl    : ->AceCount   : 0x3
->Dacl    : ->Sbz2       : 0x0
->Dacl    : ->Ace[0]: ->AceType: ACCESS_ALLOWED_ACE_TYPE
->Dacl    : ->Ace[0]: ->AceFlags: 0x0
->Dacl    : ->Ace[0]: ->AceSize: 0x24
->Dacl    : ->Ace[0]: ->Mask : 0x001fffff
->Dacl    : ->Ace[0]: ->SID: S-1-5-21-728056679-1576745261-2250629876-1004

->Dacl    : ->Ace[1]: ->AceType: ACCESS_ALLOWED_ACE_TYPE
->Dacl    : ->Ace[1]: ->AceFlags: 0x0
->Dacl    : ->Ace[1]: ->AceSize: 0x14
->Dacl    : ->Ace[1]: ->Mask : 0x001fffff
->Dacl    : ->Ace[1]: ->SID: S-1-5-18

->Dacl    : ->Ace[2]: ->AceType: ACCESS_ALLOWED_ACE_TYPE
->Dacl    : ->Ace[2]: ->AceFlags: 0x0
->Dacl    : ->Ace[2]: ->AceSize: 0x1c
->Dacl    : ->Ace[2]: ->Mask : 0x00121411
->Dacl    : ->Ace[2]: ->SID: S-1-5-5-0-241046

->Sacl    : 
->Sacl    : ->AclRevision: 0x2
->Sacl    : ->Sbz1       : 0x0
->Sacl    : ->AclSize    : 0x1c
->Sacl    : ->AceCount   : 0x1
->Sacl    : ->Sbz2       : 0x0
->Sacl    : ->Ace[0]: ->AceType: SYSTEM_MANDATORY_LABEL_ACE_TYPE
->Sacl    : ->Ace[0]: ->AceFlags: 0x0
->Sacl    : ->Ace[0]: ->AceSize: 0x14
->Sacl    : ->Ace[0]: ->Mask : 0x00000003
->Sacl    : ->Ace[0]: ->SID: S-1-16-8192