LsaEnumerateAccountRights schlägt fehl

[Luckie]

Ich versuche gerade mir die Privilegien, die eine Gruppe hat auflisten zu lassen. dassieht bisher so aus:

Delphi-Quellcode:

function OpenPolicy(const Server: WideString): THandle;
var
  ObjectAttributes: TLSA_OBJECT_ATTRIBUTES;
  lusSystemName: TLSA_UNICODE_STRING;
begin
  ZeroMemory(@ObjectAttributes, sizeof(TLSA_OBJECT_ATTRIBUTES));
  lusSystemName.Buffer := PWideString(Server);
  lusSystemName.len := length(Server) * 2;
  lusSystemName.MaxLen := (length(Server) + 1) * 2;
  LsaOpenPolicy(@lusSystemName, @ObjectAttributes, POLICY_LOOKUP_NAMES, result);
end;


function GetGroupPrivileges(const Server, Group: WideString): TStringArray;
var
  PolicyHandle: THandle;
  Privileges: TLSA_UNICODE_STRING;
  Count: Cardinal;
  SID: PSID;
  ret: NTSTATUS;
  i: Integer;
begin
  GetAccountSid(Server, Group, SID);
  PolicyHandle := OpenPolicy('hal9000');
  ret := LsaEnumerateAccountRights(PolicyHandle, SID, Privileges, Count);
  if ret = 0 then
  begin
    setlength(result, Count);
    for i := 0 to Count - 1 do
    begin
      result[i] := String(Privileges.Buffer);
    end;
  end
  else
    ShowMessage(SysErrorMessage(LsaNtStatusToWinError(ret)));
end;

Eine gültige SID und ein gültiges PolicyHandle habe ich. Nur leider schlägt LsaEnumerateAccountRights mit der Fehlermeldung:

Zitat:

Das System kann die angegebene Datei nicht finden

fehl. Und bei manchen Gruppen bekomme ich auch eine AV in der kernel32.dll:

Zitat:

Access violation at address 77EB8E60 in module 'kernel32.dll'. Read of address 00142000.

Was mache ich also falsch?

[Union]

Schau Dir mal das Windows NT Privileges an, da steht wie es richtig gemacht wird ;)

[Luckie]

Ah, danke. Werde ichmir mal angucken.

[Luckie]

So, ich habe mir das jetzt mal angeguckt. Mein Code sieht jetzt so aus für die beiden Funktionen:

Delphi-Quellcode:

function OpenPolicy(const Server: WideString; var hPolicy: THandle): DWORD;
var
  ObjectAttributes  : TLSA_OBJECT_ATTRIBUTES;
  lusSystemName     : TLSA_UNICODE_STRING;
  Status            : NTSTATUS;
begin
  ZeroMemory(@ObjectAttributes, sizeof(TLSA_OBJECT_ATTRIBUTES));
  lusSystemName.Buffer := AllocMem(lusSystemName.MaxLen);
  lusSystemName.len := length(Server) * sizeof(WideChar);
  lusSystemName.MaxLen := lusSystemName.len + sizeof(WideChar);
  FillChar(ObjectAttributes, Sizeof(TLSA_OBJECT_ATTRIBUTES), 0);
  try
    Status := LsaOpenPolicy(@lusSystemName, @ObjectAttributes, POLICY_LOOKUP_NAMES, hPolicy);
    if Status = STATUS_SUCCESS then
    begin
      result := 0;
    end
    else
    begin
      result := LsaNtStatusToWinError(Status);
    end;
  finally
    FreeMem(lusSystemName.Buffer);
  end;
end;

Und:

Delphi-Quellcode:

function GetGroupPrivileges(const Server, Group: WideString): TStringArray;
var
  PolicyHandle      : THandle;
  Privileges        : TLSA_UNICODE_STRING;
  Count             : Cardinal;
  SID               : PSID;
  ret               : LongWord;
  i                 : Integer;
begin
  GetAccountSid(Server, Group, SID);
   ret := OpenPolicy(Server, PolicyHandle);
  if ret = 0 then
  begin
    ret := LsaEnumerateAccountRights(PolicyHandle, SID, Privileges, Count);
    if ret = 0 then
    begin
      setlength(result, Count);
      for i := 0 to Count - 1 do
      begin
        result[i] := string(Privileges.Buffer);
      end;
    end
    else
      ShowMessage(SysErrorMessage(LsaNtStatusToWinError(ret)));
  end
  else
    ShowMessage(SysErrorMessage(ret));
end;

Also OpenPolicy scheint ganz gut zu klappen nur LsaEnumerateAccountRights schlägt fehl. Entweder bekomme ich eine AV in der kernel32.dll oder die Meldung:

Zitat:

Das System kann die angegebene Datei nicht finden

Wer kann mir da noch jetzt helfen?

[Union]

Hallo Luckie,

vielleicht liegt der Fehler schon im Aufruf GetAccountSid(Server, Group, SID). Evtl.hast Du den Speicher für die SID nicht richtig reserviert. Wahrscheinlich rufst Du ja dort LookupAccountName auf. Prüf mal, ob der vierte Parameter (cbSid) größer wird als die von Dir reservierte Speichergröße.

[Luckie]

Nein, das ist es leider nicht:

Delphi-Quellcode:

function GetAccountSid(const Server, User: WideString; var Sid: PSID): DWORD;
var
  dwDomainSize, dwSidSize: DWord;
  R                 : LongBool;
  wDomain           : WideString;
  Use               : DWord;
begin
  Result := 0;
  SetLastError(0);
  dwSidSize := 0;
  dwDomainSize := 0;
  R := LookupAccountNameW(PWideChar(Server), PWideChar(User), nil, dwSidSize, nil, dwDomainSize, Use);
  if (not R) and (GetLastError = ERROR_INSUFFICIENT_BUFFER) then
  begin
    SetLength(wDomain, dwDomainSize);
    Sid := GetMemory(dwSidSize);
    R := LookupAccountNameW(PWideChar(Server), PWideChar(User), Sid, dwSidSize, PWideChar(wDomain), dwDomainSize, Use);
    if not R then
    begin
      FreeMemory(Sid);
      Sid := nil;
    end;
  end
  else
    Result := GetLastError;
end;

[Luckie]

Darf ich da snoch mal nach oben holen? :angel:

[Union]

Hast Du es noch nicht raus bzw. bist irgendwie weiter gekommen? Mir kam jetzt noch eine Idee: Du sagst, die Fehlermeldung wäre "Datei nicht vorhanden". Kann es sein dass Dir eine DLL fehlt oder diese nicht im richtigen Pfad liegt?

[Luckie]

Nein, im PSDK steht, dass es nicht immer eine korrspondirende fehlermeldung gibt. Das passt schon. Den von dir verlinkten Artikel bin ich auch durchgegangen nur leider kommt da nicht das vor an Code, was ich brauche, so dass ich auch nicht vergleichen kann, was ich wo, wie falsch mache. :-?

[Union]

Kannst Du mal in Pseudocode darstellen, was Du genau machen willst? Dann finde ich es vielleicht raus.

[Luckie]

Ja also Pseudocode. :gruebel:

Also es soll eine Gruppenverwaltung für Windows geben. Anlegen und lsöchen kan ich schon eigene Gruppen. jetzt ist das aber etwas sinnlos, wenn man selbst erstellten Gruppen keine Privilegien zuweisen kann. Also dass einj Benutzer der Gruppe "Foobar" das Recht hat die Systemzeit zu ändern zum Beispiel, dann muss ich der Grupee "Foobar", in der sich der Benutzer befindet eben dieses Privileg zu ordnen.

So als ersten Schritt dahin, will ich mir jetzt erstmal die Privilegien auflisten lassen, die eine Gruppe schon besitzt. Und das get mit den oben genannten Funktionen. Ich brauche die SID der Gruppe, habe ich, ich brauche ein PolicyHandle, habe ich auch. jetzt müsste ich nur noch LsaEnumerateAccountRights aufrufen und ich müsste die Privilegien zurückbekommen. Und genau das klappt nicht.

[x000x]

Moin moin,
also wenn ich als "Group" meinen aktuellen benutzeraccount übergebe,
bekomme ich "SeBatchLogonRight" geliefert. Gebe ich einen anderen Benutzer bzw. einen Gruppennamen an,
bekomme ich ebenfalls den Fehler: Kann angegebene datei nicht finden... AV bekomme ich jetzt nicht mehr,
unter welchen umständen tritt bei dir eine AV auf?

[Luckie]

Die AVs bekomme ich auch nicht mehr.

[x000x]

Moin moin,

Zitat:

Zitat von Luckie

... leider kommt da nicht das vor an Code, was ich brauche,...

Colin Wilson bietet hier packages incl. sourcen zum download an...
Es werden - neben anderen - auch die von dir benutzten funktionen verwendet.
Meine Tests damit laufen aber auf das selbe Ergebnis raus --> ErrorCode 2 (Das System kann die angegebene Datei nicht finden)
vieleicht hilft es dir ja ein stück weiter...
Ich bin mir jedenfalls nicht mehr sicher, ob dein Vorhaben mit diesen funktionen zu realisieren ist.
(Mir fehlen aber auch detailierte Kenntnisse des Rechtesystems...)

[Luckie]

Hm, da geht es aber wohl hauptsächlich um FileSecurity. :-?

[toms]

:arrow: http://www.delphipages.com/threads/t...=29516&G=29495 :?:
:arrow: http://www.thedelphimagazine.com/sam...77/article.htm :?:

[Luckie]

Jaaaaa. :love: Der erste Link sieht gut aus. Den zweiten kenne ich schon.

[Luckie]

Noch mals danke, damit habe ich meinen Code hinbekommen.

[x000x]

[OT]

Zitat:

Zitat von Luckie

...Der erste Link sieht gut aus...

PS: Die unit aus dem ersten link ist definitiv eine aus dem package von Colin Wilson...
[/OT]

Und wo lag der Fehler?

[Luckie]

Jupp habe ich auch gemerkt. ;)