记一次用 GoLang 在Windows平台中获取TrustedInstaller令牌

1
ACE = { 允许/拒绝, SID(谁), 权限集合(能做什么) }

1
┌─────────────────────────────────────────────────────────────────────┐
2
│                     RunAsTrustedInstaller                            │
3
│                     (tiMutex.Lock → 串行执行)                         │
4
│                                                                     │
5
│  ┌──────────────────────┐                                           │
6
│  │ 1. enablePrivileges   │ 启用 SeDebugPrivilege + SeImpersonate    │
7
│  └──────────┬───────────┘                                           │
8
│             │                                                       │
9
│  ┌──────────▼───────────┐                                           │
10
│  │ 2. startTrustedInsta- │ OpenSCManager(SC_MANAGER_CONNECT)        │
11
│  │    llerService        │ OpenService(START|QUERY_STATUS)           │
12
│  │                       │ StartService → 轮询 findProcessByName    │
13
│  └──────────┬───────────┘                                           │
14
│             │                                                       │
15
│  ┌──────────▼───────────┐                                           │
16
│  │ 3. getTokenViaImpersonation (核心)                               │
17
│  │   a. find winlogon.exe │ 非 PPL 的 SYSTEM 进程                    │
18
│  │   b. Get SYSTEM token  │ OpenProcessToken(TOKEN_QUERY|DUPLICATE)  │
19
│  │   c. DuplicateTokenEx  │ → SecurityImpersonation → Primary        │
20
│  │   d. LockOSThread      │ 防止 goroutine 被调度器迁移               │
21
│  │   e. ImpersonateLogged │ 当前线程 → SYSTEM                        │
22
│  │      OnUser            │                                           │
23
│  │   f. Open TI token     │ 以 SYSTEM → TOKEN_ALL_ACCESS             │
24
│  │   g. RevertToSelf      │ 恢复管理员身份                             │
25
│  └──────────┬───────────┘                                           │
26
│             │                                                       │
27
│  ┌──────────▼───────────┐                                           │
28
│  │ 4. DuplicateTokenEx   │ TI 令牌 → Primary 主令牌                   │
29
│  └──────────┬───────────┘                                           │
30
│             │                                                       │
31
│  ┌──────────▼───────────┐                                           │
32
│  │ 5. createProcessWithT │ CreateProcessWithTokenW(CREATE_NO_WINDOW) │
33
│  │    oken               │ WaitForSingleObject → GetExitCodeProcess  │
34
│  └──────────────────────┘                                           │
35
└─────────────────────────────────────────────────────────────────────┘

1
hWin := OpenProcess(PROCESS_QUERY_INFORMATION, winPID)
2
OpenProcessToken(hWin, TOKEN_QUERY | TOKEN_DUPLICATE, &hSysToken)

1
DuplicateTokenEx(hSysToken, MAXIMUM_ALLOWED, nil,
2
    SecurityImpersonation, TokenPrimary, &sysPrimary)

1
runtime.LockOSThread()
2
defer runtime.UnlockOSThread()

1
ImpersonateLoggedOnUser(sysPrimary)

1
hTI := OpenProcess(PROCESS_QUERY_INFORMATION, tiPID)
2
OpenProcessToken(hTI, TOKEN_QUERY | TOKEN_DUPLICATE | TOKEN_ASSIGN_PRIMARY, &hTIToken)

1
defer windows.RevertToSelf()

1
DuplicateTokenEx(tiToken, MAXIMUM_ALLOWED, &SecurityAttributes{},
2
    SecurityImpersonation, TokenPrimary, &dupToken)

1
CreateProcessWithTokenW(dupToken, 0, 0, cmdLine, CREATE_NO_WINDOW, ...)
2
WaitForSingleObject(pi.Process, INFINITE)
3
GetExitCodeProcess(pi.Process, &exitCode)

1
无 LockOSThread:
2
  G1 在 M1 上: ImpersonateLoggedOnUser → M1 变 SYSTEM
3
  G1 在 M1 上: (调度器迁移 → G1 到 M2)
4
  G1 在 M2 上: OpenProcessToken → M2 是 Admin → ❌ Access denied
5

6
有 LockOSThread:
7
  G1 在 M1 上: LockOSThread → G1 绑定 M1
8
  G1 在 M1 上: ImpersonateLoggedOnUser → M1 变 SYSTEM
9
  G1 在 M1 上: OpenProcessToken → M1 是 SYSTEM → ✅
10
  G1 在 M1 上: UnlockOSThread → 解除绑定

1
M1 上依次执行:
2
  G1: ImpersonateLoggedOnUser(SYSTEM)  → M1 变 SYSTEM
3
  G2: ImpersonateLoggedOnUser(SYSTEM)  → 干扰 G1 的状态
4
  G1: OpenProcessToken(TI)             ← 读到 G2 干扰后的状态
5
  G2: RevertToSelf                     ← G1 的模拟被提前恢复
6
  G1: OpenProcessToken(TI)             ← M1 已是 Admin → ❌

1
报错: EnsureTrustedInstallerRunning: Access is denied
2
根因: Go 的 mgr.OpenService 请求 SERVICE_ALL_ACCESS，TI 服务 DACL 拒绝
3
修复: 绕过 Go 包，直接调 windows.OpenService(SERVICE_START | SERVICE_QUERY_STATUS)

1
报错: getProcessToken: OpenProcessToken: Access is denied
2
根因: TI 令牌 DACL 给 Administrators 只授予 TOKEN_QUERY，不授予 TOKEN_DUPLICATE
3
修复: 用 SYSTEM 模拟（ImpersonateLoggedOnUser），SYSTEM 有 TOKEN_DUPLICATE

1
报错: getProcessToken: DuplicateHandle: Access is denied
2
根因: DuplicateHandle 目标权限也受令牌 DACL 检查
3
修复: 同 2，用 SYSTEM 模拟

1
报错: 无（返回 nil，但特权未启用）
2
根因: Go 包装器只检查返回值，不检查 GetLastError 的 ERROR_NOT_ALL_ASSIGNED
3
修复: 调用 GetTokenInformation + AllPrivileges() 主动查询验证

1
报错: 无（Wails 吞掉 panic）
2
根因: tp.Privileges[i] 数组越界（[1] 固定大小，管理员有 10+ 特权）
3
修复: 用 tp.AllPrivileges() 创建正确长度的切片

1
报错: SetTokenInformation: Access is denied
2
根因: 管理员没有 SeTcbPrivilege（只有 SYSTEM 有）
3
修复: 改用 CreateProcessWithTokenW（seclogon 服务自动处理 session 关联）

1
报错: CreateProcessAsUser: Access is denied
2
根因: 管理员没有 SeTcbPrivilege
3
修复: 改用 CreateProcessWithTokenW（只需 SeImpersonatePrivilege）

1
报错: 无（SuperExecute 返回 true，但脚本没执行）
2
根因: WaitForSingleObject / GetExitCodeProcess 返回值被忽略，exitCode 保持 0，误判成功
3
修复: 加返回值检查 + 退出码检查

1
tilauncher/
2
└── ti.go    (~300 行，单文件)
3
    ├── 常量定义（特权 LUID + 令牌访问权限常量）
4
    ├── DLL 变量（advapi32.dll 的两个手动加载函数）
5
    ├── tiMutex（sync.Mutex，串行化执行）
6
    ├── RunAsTrustedInstaller          — 唯一公开入口
7
    ├── enablePrivileges               — 启用 SeDebug + SeImpersonate
8
    ├── startTrustedInstallerService   — 启动 TI 服务，获取 PID
9
    ├── findProcessByName              — 枚举进程快照查找 PID
10
    ├── getTokenViaImpersonation       — SYSTEM 模拟获取 TI 令牌
11
    ├── buildCommandLine               — exec.Cmd → 命令行字符串
12
    ├── createProcessWithToken         — CreateProcessWithTokenW + 等待
13
    └── errnoErr                       — syscall.Errno → error

1
cmd := exec.Command("powershell.exe", "-NoProfile", "-ExecutionPolicy", "Bypass", "-File", scriptPath)
2
err := tilauncher.RunAsTrustedInstaller(cmd)