Здравствуйте, ononim, Вы писали:

O>В смысле через политики? SeCreateTokenPriviledge до висты был у всех системных процессов, после висты — лишь у lsass.exe. А нужна она для NtCreateToken всегда была.

Я имел в виду, что это право назначается конкретной учётке, а по умолчанию есть только у системной (на XP). Но через политики (с помощью оснастки MMC, например) его можно назначить любой учётке. На висте, как я понимаю, либо для lsass стали использовать специальную учётку, либо для запуска остальных служб использовать ограниченный маркер, так?

JR>>А спионэрить токен у lsass и имперсонироваться тоже не получится?
O>Получится. Я так делал. Но не думаю что микрософт так делает.

MS может заначить нужный маркер, например. Или даже обратиться за помощью к lsass.

O>Кстати SetTokenInformation принимает больше классов информации чем говорит об этом мсдн. Так что имеет смысл попробовать вызвать ее с TokenLogonSid.

+1