LsaEnumerateLogonSessions gibt nicht eingeloggte User in Liste aus

[Dezipaitor]

Teste mal logonsessions.exe von Sysinternals.

[virus82]

Ok hab ich gemacht. Ist das gleiche Resultat.

Ich denke das LsaEnumerateLogonSessions für mich nicht die Richtige funktion ist. Ich möchte gern alle Sessions der zur Zeit angemeldeten Benutzer mit Namen und Uhrzeit des Logons ermittel. Und LsaEnumerateLogonSessions liefert mir leider auch Sessions, deren Benutzer schon längst abgemeldet sind.

[ASM]

Zitat von virus82:

Ich möchte gern alle Sessions der zur Zeit angemeldeten Benutzer mit Namen und Uhrzeit des Logons ermittel. Und LsaEnumerateLogonSessions liefert mir leider auch Sessions, deren Benutzer schon längst abgemeldet sind.

Mit Hilfe der NetAPI Funktion NetWkstaUserEnum() geht es.
Hier noch ohne Uhrzeit des Logins; aber die lässt sich - etwas aufwändiger zwar - anders ermitteln:

Code:

type
  TWKSTA_USER_INFO_0 = record
    username: PWideChar;
  end;
  PTWKSTA_USER_INFO_0 = ^TWKSTA_USER_INFO_0;

function NetWkstaUserEnum(servername: PWideChar; level: DWORD; var bufptr: Pointer;
  prefmaxlen: DWORD; var entriesread: PDWord; var totalentries: PDWord;
  var resumehandle: PDWord): Longint;
  stdcall; external 'netapi32.dll' Name 'NetWkstaUserEnum';

function EnumNetUsers(Users: TStrings): TWKSTA_USER_INFO_0;
const
  STR_ERROR_ACCESS_DENIED = 'User does not have access to the requested information.';
  STR_ERROR_MORE_DATA = 'Specify a buffer large enough to receive all entries.';
  STR_ERROR_INVALID_LEVEL = 'Parameter "level" has been set invalid.';
var
  UI: PTWKSTA_USER_INFO_0;
  HostInfo: Pointer;
  ElTotal: PDWord;
  ElCount: PDWord;
  Resume: PDWord;
  Error: Longint;
  i: Integer;
begin
  Resume := 0;
  NetWkstaUserEnum(nil, 0, HostInfo, 0, ElCount, ElTotal, Resume);
  Error := NetWkstaUserEnum(nil, 0, HostInfo, 256 * Integer(ElTotal),
    ElCount, ElTotal, Resume);
  case Error of
    ERROR_ACCESS_DENIED: Result.UserName := STR_ERROR_ACCESS_DENIED;
    ERROR_MORE_DATA: Result.UserName := STR_ERROR_MORE_DATA;
    ERROR_INVALID_LEVEL: Result.UserName := STR_ERROR_INVALID_LEVEL;
  else
    if HostInfo <> nil then
    begin
      Result := TWKSTA_USER_INFO_0(HostInfo^);
      UI := PTWKSTA_USER_INFO_0(HostInfo);
      for i := 1 to DWord(ElCount) do
      begin
        Users.Add(UI^.username);
        inc(UI);
      end;
    end
    else
    begin
      Result.UserName := '<???>';
    end;
  end;
end;

Beispiel:

Code:

procedure TForm1.Button1Click(Sender: TObject);
var
  HostInfo: TWKSTA_USER_INFO_0;
  ActiveUsers: TStringlist;
  i: integer;
  wrkstr: string;
begin
  ActiveUsers := TStringlist.Create;
  try
    HostInfo := EnumNetUsers(ActiveUsers);
    wrkstr := 'Users currently logged in:'#13#10;
    for i := 1 to ActiveUsers.count - 1 do
      wrkstr := wrkstr + ActiveUsers[i] + #13#10;
    Showmessage(wrkstr);
  finally
    ActiveUsers.Free;
  end;
end;

[virus82]

Ich hab gerade versucht alles mit WTSEnumerateSessions nachzubauen. Da bekomme ich auch nur die richtigen Sessions zurück. Da dachte ich nun ok ich hole mir dann mit WTSQuerySessionInformation und dem Parameter WTSSessionInfoEx auch die Logon Zeit mit, aber in der MSDN steht das

Zitat:

Windows Server 2008, Windows Vista, Windows Server 2003, Windows XP, and Windows 2000: This value is not supported.

. Irgendwie nicht mein Tag.

Naja ich werd auf eine Kombination mit LsaEnumerateLogonSessions und WTSEnumerateSessions zurückgreifen. Mit LsaEnumerateLogonSessions alle Sessions und Zeiten holen und mit WTSEnumerateSessions die angemeldeten User filtern. Irgendwie nicht zufriedenstellend.

Ich denke das auch NetWkstaUserEnum nicht ganz das richtige ist.

Zitat:

The NetWkstaUserEnum function lists information about all users currently logged on to the workstation. This list includes interactive, service and batch logons.

Irgendwie müsste ich die dann noch unterscheiden.

Wenn jemand ne bessere Idee hat nur immer her damit. Ärgerlich das bei LsaEnumerateLogonSessions keine LOGOFF Zeit ermittelt werden kann.

[virus82]

Hab grad gesehen das sich die Sessions von LsaEnumerateLogonSessions nur durch die LogonId unterscheden und die SessionID gleich bleibt. So kann ich ja nicht einmal anhand der Sessions von WTSEnumerateSessions die Sessions filtern.

Kennt sich jemand mit der LogonID aus? Ist das eine fortlaufende Nummer? Kann man immer von der höchsten Nummer auf die letzte Session eines User schließen? Wäre sehr dankbar für informationen.

...

[ASM]

Zitat von virus82:

Ich denke das auch NetWkstaUserEnum nicht ganz das richtige ist.

Zitat:

The NetWkstaUserEnum function lists information about all users currently logged on to the workstation. This list includes interactive, service and batch logons.

Irgendwie müsste ich die dann noch unterscheiden.

In der NetAPI Funktion NetWkstaUserEnum() kannst Du über den Parameter "level" 2 Optionen steuern:
Mit level = 0 werden explizit alle gerade aktiv am lokalen Rechner angemeldeten Benutzer ermittelt; die zwar grundsätzlich am System angemeldeten, aber gerade nicht aktiv eingeloggten Benutzer werden nicht berücksichtigt.
Mit level=1 dagegen wird nur der zum aktiven Desktop gehörige Benutzer und dieser mit zusätzlichen Angaben ausgegeben.
Absolut wichtig zu beachten ist dabei nur die richtige Verwendung der jeweiligen Records zur Auswertung der zurückgelieferten Bufferpointer.

Die mit level 0 erreichbare Option war doch genau Dein (ursprüngliches) Anliegen ? Wo liegt also jetzt Dein Problem ?
Hast Du das denn, so wie in meinem Beispiel vorgeschlagen, wenigstens einmal praktisch versucht, bevor Du die Verwendung von NetWkstaUserEnum() allein mit Hinweis auf das MS-Zitat verwirfst ?

Leider sind mit NetWkstaUserEnum() aber keine Angaben zur LogonTime des jeweiligen Benutzers zu erhalten. Eine Möglichkeit dazu wäre jedoch durch gegenseitigen Abgleich der beiden, mit NetWkstaUserEnum() und mit LsaEnumerateLogonSessions() erhaltenen Listen. Die LsaEnumerateLogonSessions()-Liste filterst Du nach den Benutzernamen, die in der NetWkstaUserEnum()-Liste ausgeworfen sind, und kämest somit über die zugehörigen Details der LsaEnumerateLogonSessions()-Liste an die jeweiligen LogonTime(s) aller aktiv angemeldeten Benutzer.
Nachteil dieses Weges: um an die Details der Sessions in der LsaEnumerateLogonSessions()-Liste zu kommen, muss man diese Funktion mit Adminrechten vornehmen. NetWkstaUserEnum() dagegen benötigt keine Adminrechte.

[virus82]

Ich werde die Methode mit NetWkstaUserEnum auch noch versuchen, nur habe ich gerade ein anderes Problem festgestellt.

Wenn ich alle angemeldeten Sessions (aktiv oder gerade nicht aktiv) ermittelt habe brauche ich unbedingt noch die Logon Zeit. Selbst wenn ich mit NetWkstaUserEnum oder WTSEnumerateSessions die Session ID ermittelt habe bringt mir das nichts. Da die SessionID LsaEnumerateLogonSessions für die User gleich bleibt und ich somit nicht die richtigen Eintrag filtern kann. Siehe Bild, User Test war zweimal angemeldet, ist zur Zeit nicht angemeldet und hat immer die Session ID 0. Welche Logon Zeit ist die richtige?

Mir bringt es also nichts (hab ich auch erst heute gemerkt) wenn ich über eine andere Funktion die Session ID ermitteln kann, diese dann aber nicht eindeutig einer Logon Zeit zuordnen kann. Oder jemand kennt noch eine andere Methode wie ich von einer Session die Logon Zeit auslesen kann.

Adminrechte sind kein Problem, die abfrage läuft in einem Dienst und der hat Systemrechte.

Um nocheinmal mein Problem zu schildern:
- ich benötige alle angemeldeten Benutzer Sessions (das geht)
- ich benötige die Logon Zeit der jeweiligen Session

oder

- ich finde heraus, welcher Einträge von LsaEnumerateLogonSessions abgemeldet sind (wiel finde ich im Internet darüber leider nicht, z.B.: LogonID)

Mal sehen was ich noch alles finde. Probiere erstmal NetWkstaUserEnum aus. Auch ja ich möchte gern als Minimum WinXP unterstützen.

[ASM]

Zitat von virus82:

Wenn ich alle angemeldeten Sessions (aktiv oder gerade nicht aktiv) ermittelt habe brauche ich unbedingt noch die Logon Zeit.

Das letzte Login (Datum und Uhrzeit) eines im System angemeldeten Benutzers kann unter Umgehung der Adminrechte mit Hilfe eines COMObjects des Active Directory ausgelesen werde. Also muss man nur einfach die Benutzernamen aus der Liste der aktiv eingeloggten Benutzer (wie oben von mir schon beschrieben) nacheinander an das COMObject des ActiveDs übergeben, und schon hat man den diesem Benutzer zugehörigen Loginzeitpunkt.

Es handelt sich dabei um den tatsächlichen letzten Loginzeitpunkt. Hatte sich der Benutzer aktiv am System angemeldet, sich jedoch zwischenzeitlich entfernt ohne sich auszuloggen, so dass der Account im Hintergrund geöffnet blieb, und musste sich dann wieder anmelden, um in den an sich immer noch geöffneten Account zu gelangen, dann ist der letzte Loginzeitpunkt genau diese neue Anmeldung.

Hier der Code zur der Abfrage der Loginzeiten, wie er (bei mir) unter WinXP Professional reibungslos werkelt:

Code:

Use Variants, ActiveDs_TLB, COMObj, Ole2, adshlp;

Var
    ActiveUsers: TStringlist;
    ComputerName: Olevariant; 
    UserName: Olevariant; 
    UserDomain: Olevariant; 

function UserLoggedIn(Username: string): string;
var
  target: string;
  UserObj: Olevariant;
  LoggedIn: Olevariant;
begin
  target := format('WinNT://%s/%s', [ComputerName, UserName]);
  UserObj := ADsHlp.GetObject(target);
  try
    LoggedIn := UserObj.LastLogin;
    result := string(LoggedIn);
  finally
    UserObj := Unassigned;
  end;
end;

function GetActiveUsers: TStringlist;
var
  HostInfo: TWKSTA_USER_INFO_0;
  WshNetWork: Olevariant;
  i: integer;
  LogIn: string;
begin
  result := TStringlist.create;
  WshNetWork := CreateOleObject('WScript.Network');
  try
    ComputerName := WshNetWork.Computername;
    UserName := WshNetWork.UserName;
    UserDomain := WshNetWork.UserDomain;
  finally
    WshNetWork := UnAssigned;
  end;
  ActiveUsers := TStringlist.Create;
  try
    HostInfo := EnumNetUsers(ActiveUsers);
    for i := 1 to ActiveUsers.count - 1 do
    begin
      logIn := UserLoggedIn(ActiveUsers[i]);
      result.add(format('Name: %s, last Login: %s', [ActiveUsers[i],logIn]));
    end;
  finally
    ActiveUsers.Free;
  end;
end;

Und angehängt der komplette Code der MainUnit im Source sowie - mit geringen Änderungen des Programmlayouts - kompiliert unter D7: