查看進程存取權杖資訊工具 TokenInfor 原始碼解析

本工具功能類似 whoami，但支援指定進程 PID 查詢其使用者資訊與存取權杖（Token）詳細屬性。原始碼以 C 語言撰寫，可編譯為獨立執行檔 tinfor.exe。

功能特色

• 無參數時查詢自身進程（等同 whoami）；
• 指定 PID 可檢視任意進程的 Token 資訊（需足夠權限）；
• 輸出內容涵蓋：執行檔路徑、使用者名稱/SID、群組隸屬、權限清單、Token 類型等。

使用語法

tinfor.exe [pid]
  pid       目標進程 ID，省略則查詢當前進程
  -? | /?   顯示說明

實際輸出範例（PID 160 - csrss.exe）

Token Information of Process ID = 160.
Execute File Path = ??D:\WINNT\system32\csrss.exe.
User Name : NT AUTHORITY\SYSTEM S-1-5-18
Belong to 3 groups
[group 0] "BUILTIN\Administrators" S-1-5-32-544
[group 1] "Everyone" S-1-1-0
[group 2] "NT AUTHORITY\Authenticated Users" S-1-5-11
Have 21 Privileges
[Privilege 0] SeTcbPrivilege - 以作業系統方式操作
[Privilege 1] SeCreateTokenPrivilege - 建立權杖物件
...（其餘 19 項特權）
Token Type : Primary Token
OpenProcessToken QUERY_SOURCE error : 5

技術細節與已知問題

• 採用 OpenProcessToken、GetTokenInformation 等 Windows API 取得 Token 資料；
• 原始碼包含 whoami.c 的除錯版本，編譯時若使用 VC 而非 LCC，某些錯誤會消失但不影響核心功能；
• 完整版可從 www.red8black.com 下載，支援查看一般使用者進程資訊（管理員版本受限）。

適用場景

系統管理、安全稽核、權限除錯、惡意軟體分析等需檢視進程安全上下文的場合。