非规范 ACL 的 .NET RegistrySecurity API 处理：处理方法

Question

我正在尝试向 RegistryKey 添加访问规则，如下所示：

using ( RegistryKey registry = OpenOrCreateMyKey() )
{
    RegistrySecurity security = registry.GetAccessControl();
    security.AddAccessRule( new RegistryAccessRule(
        new SecurityIdentifier( WellKnownSidType.BuiltinUsersSid, null ),
        RegistryRights.WriteKey,
        InheritanceFlags.ContainerInherit | InheritanceFlags.ObjectInherit,
        PropagationFlags.None,
        AccessControlType.Allow ) );
    registry.SetAccessControl( security );
}

但是，如果注册表被损坏，AddAccessRule 会抛出异常（Reflector 显示 GetAccessControl 调用确定它们预先不规范，并且当您尝试在 RegistrySecurity 实例处于该状态时进行写入时，您会触发故障保护）：

System.InvalidOperationException: This access control list is not in canonical form and therefore cannot be modified.

运行 regedt32 （并且可能是 regedit），然后显示一个弹出窗口，显示 的权限；顺序不正确，这可能会导致某些条目无效您想现在取消它们吗？ Y/N

我在这个问题上见过的最权威的文章是 http://www.codeproject.com/KB/system/accessctrl3.aspx，上面写着：

但是，控制标志是作为属性实现的（谈论不一致！）。您可以从 AreAccessRulesProtected / AreAuditRulesProtected 检索自动继承设置（回想一下，如果 ACL 受保护，它不会自动继承）。如果您阅读第 2 部分，您就会知道某些 Windows API 不支持继承，因此可能会损坏您计算机的继承设置。好消息是.NET 完全支持继承机制，并将正确保留继承设置。如果您打开的安全描述符以某种方式获得了无序的 ACL（可能来自某些流氓 Win32 应用程序），则在尝试编辑它时将抛出 InvalidOperationException。

一般来说，此类非规范 ACL 是由于使用[已停用] NewSID 工具< /a> 和人们写知识库文章是为了说“那就别再这样做了”。

但重要的是，这并不总是原因，有时代码只需要工作即可。有什么好的、干净、安全的方法来处理这个问题？

我将提供两个答案，人们可​​以投票、挑漏洞、投票、评论和挑剔。

Answer 1

方法 1 是忽略继承的权限并盲目地写入您想要的内容：-

using ( RegistryKey registry = OpenOrCreateMyKey() )
{
    RegistrySecurity security = new RegistrySecurity();
    security.AddAccessRule( new RegistryAccessRule( ... ));
    registry.SetAccessControl( security );
}

问题是，我不知道潜在的负面影响是什么。我很高兴所有需要访问权限的人都能从我的规则中获得它。然而，它与操作系统基础设施的其余部分配合得很好吗？

Answer 2

方法 2 是尝试第一种方法，仅在必要时才回退到肮脏的方法： -

using ( RegistryKey registry = OpenOrCreateMyKey() )
{
    RegistrySecurity security = new RegistrySecurity();
    if ( !security.AreAccessRulesCanonical )
    {
        Log.WriteWarning( "Registry permissions (likely ones inherited from parent) are inconsistent (RegistrySecurity.AreAccessRulesCanonical is false), so using alternate permissioning algorithm, Has NewSID or another tool mangled permissions? regedt32 can be used to analyze the issue." );
         // Ignore parent ACLs and just blindly stuff in this ACL (which will continue to be inherited)
         security = new RegistrySecurity();
     }

    security.AddAccessRule( new RegistryAccessRule( ... ));
    registry.SetAccessControl( security );
}

除了 方法 1，这具有不可预测的行为，但至少它在一定程度上与原始方法是错误兼容的。