Windows原理深入学习系列-强制完整性控制

欢迎关注微信公众号：[信安成长计划]

0x00 目录

0x01 介绍

0x02 完整性等级

0x03 文件读取测试

0x04 进程注入测试

0x05 原理分析 Win10_x64_20H2

0x06 参考文章

0x01 介绍

强制完整性控制（Mandatory Integrity Control，MIC），它是对 discretionary access control list 的补充，并且是在 DACL 之前检查的

这是从 Windows Vista 新增的安全机制，在 Windows XP 中几乎所有的进程都是运行在管理员权限下的。

在官方文档中描述为 Windows 为其划分了四个完整性级别：低、中、高、系统；但从实际上看到的对应表中，有五个等级，多了一个不受信任等级

在查资料的时候发现，还会有一个等级，高于 System 完整性，被叫做 Protected integrity level，但是它默认情况下是没有使用的，它只能由内核层来设置

具有低完整性级别的主体无法写入具有中等完整性级别的对象，这就相当于提供了一种在同一用户下，根据可信程度来限制不同进程之间的交互，低完整性等级的进程都无法对高完整性进程进行注入

虽然是限制了进程间的交互，但是高低完整性的进程还是可以通过其他的进程间通信的方式来进行交互：共享内存、Sockets、RPC、Windows 消息机制、命名管道，这些是不受限制的。

0x02 完整性等级

Windows 直接使用了 SID 来定义完整性等级，这样就非常容易的将此机制集成到现有的结构当中，还不用修改代码

完整性等级所使用的 SID 格式是：S-1-16-xxxx

16 就是强制完整性的标识，后面的 xxxx，就是所对应的 RID，用来表示完整性等级的，这个值就是上面所提到的那几个十六进制值，它们以 0x1000 为间隔，也是为了将来能够再定义其他的等级

所以组合到一起以后完整性等级所对应的 SID 就变成了

System

这是最高的完整性级别，由在本地服务、网络服务和系统账户下运行的进程和服务使用。此级别的目的是在管理员和系统之间提供一个安全层，即使以完全管理员身份运行的进程也无法与系统完整性级别进程交互

唯一的例外情况是，如果管理员账户被授予 SE_DEBUG_NAME 权限，那么他就可以在 token 中启用这个权限，来进行交互

High

分配给在管理员账户下运行的进程的默认完整性级别，如果启用了 UAC，则此级别将仅提供给提升过 UAC 权限的用户

Medium

授予在非管理员用户账户下运行的进程或启用 UAC 的管理员账户上的进程。

此完整性级别的进程只能修改 HKEY_CURRENT_USER、非受保护文件夹中的文件以及具有相同或更