Re: LogonUser

Tech Tip: Click here to run a free scan for Windows Errors and optimize PC performance

From: Andre Stille [MVP] (stille_at_socon.com)
Date: 11/01/04 

Date: Mon, 1 Nov 2004 11:32:01 +0100

Hallo!

"Juergen Thuemmler" <thue@removethisgmx.de> schrieb im Newsbeitrag
news:OUFq2o$vEHA.2804@TK2MSFTNGP14.phx.gbl...
> Noch eine (vorläufig) letzte Frage:
> Was darf ein Prozeß nach erfolgreichem LogonUser() und Impersonating als
> Admin, was er vorher nicht durfte, und was darf er trotzdem nicht?

Dazu mal ein paar Anmerkungen:

1) Üblicherweise wird Impersonating benutzt, um Rechte einzuschränken,
   nicht um mehr Rechte zu erhalten.

2) LogonUser ist böse, das sollte man nicht benutzen. Unter Win2K braucht
   das das SE_TCB_NAME-Privileg (act as part of the OS), das sollte ein
   nicht-admin Account nie und nimmer haben.

3) Egal ob man nun LogonUser oder CreateProcessWithLogonW benutzt, beides
   ist sicherheitstechnisch arg bedenklich. Der Benutzername und das
   Passwort wird als Klartext übergeben, da kann man im Prinzip gleich
   jedem das Admin-Passwort in die Hand drücken.

MfG
Andre Stille

Relevant Pages

  • Re: <identity impersonate="true"> question
    ... What is required to make LogonUser work? ... I have an ASP.NET app that needs to create categories in the Event Log. ... my development box, setting impersonate true, and setting the username/pwd ... Impersonating an already authenticated user ...
    (microsoft.public.dotnet.framework.aspnet.security)
  • Re: How to raise rights...
    ... CredUI API only exists on XP while LogonUser is ... inaccessible to non-admins on Win2k and NT ... if I'm impersonating an admin, ... > admin, and not the original user which called setup. ...
    (microsoft.public.win32.programmer.kernel)
  • Re: Verschluesseln von Benutzername und Passwort
    ... Ja das waer gut wenn ich an das verschluesselte Passwort kommen koennte und damit dann einen Prozess starten. ... "kann ich nicht immer die Benutzerdaten abfragen lassen" ... Ich meinte nicht das LogonUser an sich, sondern das eine wiederholte Passwortabfrage nicht in Frage kommt. ... Wobei password ein SecureString ist. ...
    (microsoft.public.de.german.entwickler.dotnet.csharp)
  • Re: Verschluesseln von Benutzername und Passwort
    ... DPAPI entweder in einem benutzerspezifischen "User Store" ... Ich meinte nicht das LogonUser an sich, sondern das eine wiederholte Passwortabfrage nicht in Frage kommt. ... Nur nutze ich nicht LogonUser sondern schreibe username und Passwort ...
    (microsoft.public.de.german.entwickler.dotnet.csharp)
  • Re: Event Log Write access under ASP.NET
    ... > LogonUser and .NET impersionation). ... > impersonating can write successfully when interactively logged on, ... > been able to figure out what permission or privilege is necessary for ...
    (microsoft.public.windows.server.security)