如何降低 WCF 命名管道的完整性

Question

我有一个用 C# 编写的 Internet Explorer 加载项，它通过 WCF 命名管道与 .NET 桌面应用程序进行通信。桌面应用程序为 netNamedPipeBinding 创建 ServiceHost，并且 IE 加载项的每个实例都会创建一个 ChannelFactory 来与应用程序通信。在 Windows XP 下一切正常，但在 Windows 7 中 IE 的保护模式下会引发异常。

System.ServiceModel.CommunicationException：无法连接到端点“net.pipe://localhost/MyApp.MyID”。 ---> System.IO.PipeException：“\.\pipe...guid...”存在管道端点，但连接失败：访问被拒绝。 (5, 0x5)

在保护模式下运行加载项是我必须支持的方案。我的理解是，如果我降低命名管道的完整性级别，那么我的 IE 加载项将被允许通过它进行通信。我的问题是如何做到这一点。我已经设置了使用 WCF 的功能，并且希望保持这种状态。我可以让 WCF 创建完整性级别较低的命名管道吗？我需要编写什么代码来实现这一点？

Answer 1

我认为这是不可能的。

问题在于，必须在创建命名管道时提供的安全描述符中指定完整性标签。在标准 NetNamedPipeBinding 中，对 CreateNamedPipe 的调用发生在内部 WCF 类 System.ServiceModel.Channels.PipeConnectionListener 的私有 CreatePipe() 方法内。我看不出有什么方法可以改变它指定管道初始安全描述符的方式。

请参阅此问题和答案< /a> 概述我们需要实现的目标。

从头开始编写自定义命名管道传输绑定元素似乎是目前解决此问题的唯一方法，如果失败，我们只能等待 Microsoft 在 WCF 的未来版本中添加一些支持功能。如果您有权访问 Microsoft Connect，则可以将您的声音添加到请求此功能的其他人。

编辑：
我太悲观了。我现在找到了一种方法来做到这一点。

关键是，事实证明，在创建管道时，您不必在安全描述符中指定完整性标签 - 但您必须使用打开侦听器时从 CreateNamedPipe 返回的句柄来修改 SACL - 即管道的第一个服务器端句柄。使用任何其他句柄，尝试添加完整性标签总是会失败，因为 CreateNamedPipe 的 dwOpenMode 标志参数会重载使用其中一位来表示这两个 FILE_FLAG_FIRST_PIPE_INSTANCE 和 WRITE_OWNER。我们需要后者的访问权限才能添加完整性标签，但前者的存在会导致调用在除第一个管道实例之外的任何管道实例上失败。

掌握第一个管柄并不是一件容易的事。 WCF 将其存储在 System.ServiceModel.Channels.PipeConnectionListener.PendingAccept 类型的实例中，该实例存储在由管道连接侦听器维护的列表中。连接侦听器与通道侦听器（可以通过重写绑定元素的 BuildChannelListener 方法直接获取）不同，并且更难获取。它涉及使用反射来定位端点的 TransportManager（它保存对端点的连接侦听器的引用）的英雄行为，然后沿着连接侦听器链（根据跟踪等的配置而变化）进行工作，直到找到管道连接侦听器。如果幸运的话，可以在侦听器的待处理接受列表中找到第一个管道句柄（尽管这里存在竞争条件 - 如果客户端在我们获得句柄之前连接，它将永远消失）。

一旦句柄可用，降低完整性以允许低完整性客户端与服务进行通信只需在句柄上调用 SetSecurityInfo 来添加完整性标签即可。

我计划在 我的博客< /a> 很快。