windows 中降权限，ACL。高手进。

[大石头1987]

现在又一个程序是以system权限启动的，我要在这个程序中创建一个线程，我想让这个线程运行在较低级别的权限中，我是用以下方法做的：

	DWORD dwRes, dwDisposition;
		PSID pEveryoneSID = NULL, pAdminSID = NULL;
		PACL pACL = NULL;
		PSECURITY_DESCRIPTOR pSD = NULL;
		EXPLICIT_ACCESS ea[2];
		SID_IDENTIFIER_AUTHORITY SIDAuthWorld =SECURITY_WORLD_SID_AUTHORITY;
		SID_IDENTIFIER_AUTHORITY SIDAuthNT = SECURITY_NT_AUTHORITY;
		SECURITY_ATTRIBUTES sa;
		LONG lRes;
		// Create a well-known SID for the Everyone group.
		if(!AllocateAndInitializeSid(&SIDAuthWorld, 1,
			SECURITY_WORLD_RID,
			0, 0, 0, 0, 0, 0, 0,
			&pEveryoneSID))
		{
			OutputDebugString(_T("AllocateAndInitializeSid Error "));
			goto Cleanup;
		}

		// Initialize an EXPLICIT_ACCESS structure for an ACE.
		// The ACE will allow Everyone read access to the key.
		ZeroMemory(&ea, 2 * sizeof(EXPLICIT_ACCESS));
		ea[0].grfAccessPermissions = KEY_READ;
		ea[0].grfAccessMode = SET_ACCESS;
		ea[0].grfInheritance= NO_INHERITANCE;
		ea[0].Trustee.TrusteeForm = TRUSTEE_IS_SID;
		ea[0].Trustee.TrusteeType = TRUSTEE_IS_WELL_KNOWN_GROUP;		ea[0].Trustee.ptstrName  = (LPTSTR) pEveryoneSID;

		// Create a SID for the BUILTIN\Administrators group.
		if(! AllocateAndInitializeSid(&SIDAuthNT, 2,
			SECURITY_BUILTIN_DOMAIN_RID,
			DOMAIN_ALIAS_RID_ADMINS,
			0, 0, 0, 0, 0, 0,
			&pAdminSID)) 
		{
			OutputDebugString(_T("AllocateAndInitializeSid Error "));
			goto Cleanup; 
		}

		// Initialize an EXPLICIT_ACCESS structure for an ACE.
		// The ACE will allow the Administrators group full access to
		// the key.
		ea[1].grfAccessPermissions = KEY_ALL_ACCESS;
		ea[1].grfAccessMode = SET_ACCESS;
		ea[1].grfInheritance= NO_INHERITANCE;
		ea[1].Trustee.TrusteeForm = TRUSTEE_IS_SID;
		ea[1].Trustee.TrusteeType =  TRUSTEE_IS_GROUP;		ea[1].Trustee.ptstrName  = (LPTSTR) pAdminSID;

		// Create a new ACL that contains the new ACEs.
		dwRes = SetEntriesInAcl(2, ea, NULL, &pACL);
		if (ERROR_SUCCESS != dwRes) 
		{
			OutputDebugString(_T("SetEntriesInAcl Error "));
			goto Cleanup;
		}

		// Initialize a security descriptor.  
		pSD = (PSECURITY_DESCRIPTOR) LocalAlloc(LPTR, 
			SECURITY_DESCRIPTOR_MIN_LENGTH); 
		if (NULL == pSD) 
		{ 
			OutputDebugString(_T("LocalAlloc Error"));
			goto Cleanup; 
		} 

		if (!InitializeSecurityDescriptor(pSD,
			SECURITY_DESCRIPTOR_REVISION)) 
		{  
			OutputDebugString(_T("InitializeSecurityDescriptor Error "));
			goto Cleanup; 
		} 

		// Add the ACL to the security descriptor. 
		if (!SetSecurityDescriptorDacl(pSD, 
			TRUE,     // bDaclPresent flag   
			pACL, 
			FALSE))   // not a default DACL 
		{  
			OutputDebugString(_T("SetSecurityDescriptorDacl Error %u\n"));
			goto Cleanup; 
		} 

		// Initialize a security attributes structure.
		sa.nLength = sizeof (SECURITY_ATTRIBUTES);
		sa.lpSecurityDescriptor = pSD;
		sa.bInheritHandle = FALSE;
                     hThreadETDApi = CreateThread(&sa, NULL, LoadETDApiThreadFun, 
			this, NULL, NULL);

但是在我将这个设置过的sa传到CreateThread中时，却得不到想要的结果。。。红色字体是我设置一般用户和admin权限。为何在线程里面我得不到这两个值，即设置失败。。。。
跪求高手解答。。。。。。。。。。。。。。

[Yofoo]

CreateThread 指定权限是指 这个线程的HANDLE的权限, 而不是线程自身执行的权限

指定执行权限使用 SetThreadToken, (DuplicateToken, LogonUser)...

[Lactoferrin]

[Quote=引用 1 楼 zzz3265 的回复:]

CreateThread 指定权限是指 这个线程的HANDLE的权限, 而不是线程自身执行的权限

指定执行权限使用 SetThreadToken, (DuplicateToken, LogonUser)...
[/Quote]
正确，使用CreateRestrictedToken得到受限令牌，然后使用SetThreadToken

[oyljerry]

最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()

[hhwei1985]

[Quote=引用 3 楼 oyljerry 的回复:]
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()
[/Quote].

[大石头1987]

[Quote=引用 1 楼 zzz3265 的回复:]
CreateThread 指定权限是指 这个线程的HANDLE的权限, 而不是线程自身执行的权限

指定执行权限使用 SetThreadToken, (DuplicateToken, LogonUser)...
[/Quote]
那我是在线程里面去设置，还是在createthread之后去设置呢？？？？？

[大石头1987]

[Quote=引用 4 楼 hhwei1985 的回复:]
引用 3 楼 oyljerry 的回复:
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()
.
[/Quote]
我是要在这个线程里面调用一个dll，而这个dll却只能以一般用户权限或者admin来load。SO......

[大石头1987]

[Quote=引用 3 楼 oyljerry 的回复:]
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()
[/Quote]
我是想用进程啊，可是进程会是我整个程序的权限都降了。

[MoXiaoRab]

SetThreadToken

[oyljerry]

[Quote=引用 7 楼 wang19870102 的回复:]

引用 3 楼 oyljerry 的回复:
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()

我是想用进程啊，可是进程会是我整个程序的权限都降了。
[/Quote]
你创建一个单独的进程啊，这样父进程权限不会有影响，所有需要降权限的工作都在这个新进程中处理

[大石头1987]

[Quote=引用 9 楼 oyljerry 的回复:]
引用 7 楼 wang19870102 的回复:

引用 3 楼 oyljerry 的回复:
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()

我是想用进程啊，可是进程会是我整个程序的权限都降了。

你创建一个单独的进程啊，这样父进程权限不会有影响，所有需要降权限的工作都在这个新进程中处理
[/Quote]
能提供确实可行的降权限代码么，我试了好多，都不行，我是将system权限降低到admin权限。能否提供，网上的那些代码都不能降下来。。。。

[oyljerry]

[Quote=引用 10 楼 wang19870102 的回复:]

引用 9 楼 oyljerry 的回复:
引用 7 楼 wang19870102 的回复:

引用 3 楼 oyljerry 的回复:
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()

我是想用进程啊，可是进程会是我整个程序的权限都降了。

你创建一个单独的进程啊，这样父进程权限不会有影响，所有需要降权限的工作都在这个新进程中处理

能……
[/Quote]
Admin的话，你需要有用户名，password等
http://msdn.microsoft.com/en-us/library/ms682431(v=vs.85).aspx

[大石头1987]

[Quote=引用 9 楼 oyljerry 的回复:]
引用 7 楼 wang19870102 的回复:

引用 3 楼 oyljerry 的回复:
最好还是通过设置进程权限来完成你线程的功能，CreateProcessAsUser()

我是想用进程啊，可是进程会是我整个程序的权限都降了。

你创建一个单独的进程啊，这样父进程权限不会有影响，所有需要降权限的工作都在这个新进程中处理
[/Quote]
单独创一个进程可以，但是应该在主调进程中去降将要起来进程的权限吧，如果放到新进程中，应该是不能降得。