WH_JOURRNALRECORD 的 SetWindowsHookEx 在 Vista/Windows 7 下失败

Question

我正在准备一个 Delphi 模块，它在线程中设置一个钩子来记录宏：

FHandleRec  := SetWindowsHookEx(WH_JOURNALRECORD, FRecordProc, HInstance, 0);
FHandlePlay := SetWindowsHookEx(WH_JOURNALPLAYBACK, FPlayProc, HInstance, 0);

在 WinXP 上工作正常，但在 Vista/Windows 7 上失败，并显示 ERROR_ACCESS_DENIED。 我在 Google 中找到了（这）指的是（那个）。报价：

较低权限的进程不能：...使用日志挂钩来监视 更高权限的进程。

尝试未成功：

1. 以管理员身份运行应用程序。可能线程已启动 权限低于主线程（虽然我不是 100% 当然）
2. 使用管理员安全上下文模拟线程 也没有帮助。

代码示例：

if LogonUser(PWideChar(sAdminUser), PWideChar(sDomain), PWideChar(sPwd),
             LOGON32_LOGON_INTERACTIVE, LOGON32_PROVIDER_DEFAULT, hToken) then 
begin  
  if not ImpersonateLoggedOnUser(hToken) then
    raise Exception.Create('Error impersonating the user');
end;
FHandleRec := SetWindowsHookEx(WH_JOURNALRECORD, FRecordProc, HInstance, 0);

LogonUser 和 ImpersonateLoggedOnUser 执行时没有错误。

其他可以尝试的可能性：

1. 永久关闭 UAC。这有帮助，但我无法强制该模块 用户这样做。
2. 模块客户签署应用程序并将其放入受信任的应用程序中 地点。没有尝试过，但这使模块变得非常复杂 供用户使用。
3. 将模块放入某个已签名的应用程序中并分发 EXE。那 会破坏一些核心功能。

您能否显示在 Visa/Windows 7 下设置挂钩的代码或建议工作解决方案？

Answer 1

更仔细地再次阅读该文章的“用户界面权限隔离”部分。它指的是完整性级别，而不是用户权限。这就是为什么冒充其他用户并不能解决问题。完整性级别是在进程首次启动时建立的，并且无法在代码中动态更改。

用户界面权限隔离（UIPI）是机制之一
这有助于隔离以完全管理员身份运行的进程
以低于管理员级别的帐户运行的进程
相同的交互式桌面。 UIPI 特定于窗口和
图形子系统，称为 USER，支持 Windows 和用户
界面控制。 UIPI 防止低权限应用程序
使用 Windows 消息将输入从一个进程发送到更高的进程
特权进程。将输入从一个进程发送到另一个进程允许
在没有用户的情况下将输入注入到另一个进程的进程
提供键盘或鼠标操作。

Windows Vista通过定义一组用户界面来实现UIPI
以分层方式的特权级别。级别的性质
是这样的，更高的权限级别可以发送窗口消息到
运行在较低级别的应用程序。然而，较低的水平不能
将窗口消息发送到运行在更高级别的应用程序窗口。

用户界面权限级别位于进程级别。当一个
进程初始化后，用户子系统调用安全
子系统来确定分配的桌面完整性级别
进程的安全访问令牌。桌面完整性级别由以下设置
进程创建时的安全子系统
改变。因此，用户界面权限级别也由
进程创建时的用户子系统并且不会更改。

标准用户运行的所有应用程序都具有相同的用户界面
特权级别。 UIPI 不会干扰或改变
具有相同权限级别的应用程序之间的窗口消息传递。
UIPI 对属于以下组织成员的用户生效
管理员组，并且可能正在运行应用程序作为标准
用户（有时称为具有过滤访问令牌的进程）
以及使用完整管理员访问令牌运行的进程
相同的桌面。 UIPI 防止低权限进程
通过阻止列出的行为来访问更高权限的进程
如下。

• 使用日志挂钩来监控更高权限的进程。

根据本文，您的应用程序需要一个指定 requestedExecutionLevel=requireAdministrator 的 UAC 清单 和 uiAccess=True。 UIAccess 权限很重要：

通过在requestedPrivileges属性中指定UIAccess=”true”，
该应用程序声明需要绕过 UIPI 限制
...
使用 UIAccess 权限启动的进程：

• 可以设置日志挂钩。