2022年创建高权限进程的方法 .pdf

《2022年创建高权限进程的方法 .pdf》由会员分享，可在线阅读，更多相关《2022年创建高权限进程的方法 .pdf（19页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、创建高权限进程的方法2007-08-15 14:00 写这个初衷是为了让Windows 任务管理器可以结束掉一些服务和僵死进程，用pslist/pskill 之类工具无法获得象任务管理器那样丰富的信息，还得来回切换，麻烦的很。最初想写个驱动监视任务管理器运行，使用SYSTEM 进程TOKEN 替换来达到目的。后来觉得通用性不好，就改用了这种方法。此方法还可使Regedit 查看、编辑SAM 等注册表键，何乐而不为。/wssrun taskmgr.exe/wssrun regedit.exe/#include#include#include#include#include#include#inc

2、lude#pragma comment(lib,Shlwapi.lib)/函数类型:自定义工具函数/函数模块:/功能:提升当前进程权限名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 19 页 -/注意:/作者:sinister/发布版本:1.00.00/发布日期:2006.2.09/重 大 修 改 历 史/修改者:/修改日期:/修改内容:/BOOL EnableDebugPriv(LPCTSTR szPrivilege)HANDLE hToken;LUID sedebugnameValue;TOKEN_PRIVILEGES tkp;if(!OpenProcessToken(Get

3、CurrentProcess(),TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY,&hToken)return FALSE;名师资料总结-精品资料欢迎下载-名师精心整理-第 2 页，共 19 页 -if(!LookupPrivilegeValue(NULL,szPrivilege,&sedebugnameValue)CloseHandle(hToken);return FALSE;tkp.PrivilegeCount=1;tkp.Privileges0.Luid=sedebugnameValue;tkp.Privileges0.Attributes=SE_PRIVILE

4、GE_ENABLED;if(!AdjustTokenPrivileges(hToken,FALSE,&tkp,sizeof tkp,NULL,NULL)CloseHandle(hToken);return FALSE;return TRUE;/函数类型:自定义工具函数/函数模块:/功能:通过指定进程名得到其进程ID/注意:/作者:sinister/发布版本:1.00.00 名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 19 页 -/发布日期:2006.2.09/重 大 修 改 历 史/修改者:/修改日期:/修改内容:/DWORD GetProcessId(LPCTSTR szP

5、rocName)PROCESSENTRY32 pe;DWORD dwPid;DWORD dwRet;BOOL bFound=FALSE;/通过 TOOHLP32 函数枚举进程/HANDLE hSP=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);if(hSP)pe.dwSize=sizeof(pe);for(dwRet=Process32First(hSP,&pe);dwRet;名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 19 页 -dwRet=Process32Next(hSP,&pe)/使用 StrCmpNI 比较字符传，可忽

6、略大小写/if(StrCmpNI(szProcName,pe.szExeFile,strlen(szProcName)=0)dwPid=pe.th32ProcessID;bFound=TRUE;break;CloseHandle(hSP);if(bFound=TRUE)return dwPid;return NULL;/函数类型:自定义工具函数/函数模块:/名师资料总结-精品资料欢迎下载-名师精心整理-第 5 页，共 19 页 -/功能:创建具有高权限的进程/注意:/作者:sinister/发布版本:1.00.00/发布日期:2006.2.09/重 大 修 改 历 史/修改者:/修改日期:/修

7、改内容:/BOOL CreateSystemProcess(LPTSTR szProcessName)HANDLE hProcess;HANDLE hToken,hNewToken;DWORD dwPid;PACL pOldDAcl=NULL;PACL pNewDAcl=NULL;BOOL bDAcl;BOOL bDefDAcl;DWORD dwRet;名师资料总结-精品资料欢迎下载-名师精心整理-第 6 页，共 19 页 -PACL pSacl=NULL;PSID pSidOwner=NULL;PSID pSidPrimary=NULL;DWORD dwAclSize=0;DWORD dwS

8、aclSize=0;DWORD dwSidOwnLen=0;DWORD dwSidPrimLen=0;DWORD dwSDLen;EXPLICIT_ACCESS ea;PSECURITY_DESCRIPTOR pOrigSd=NULL;PSECURITY_DESCRIPTOR pNewSd=NULL;STARTUPINFO si;PROCESS_INFORMATION pi;BOOL bError;if(!EnableDebugPriv(SeDebugPrivilege)printf(EnableDebugPriv()to failed!n);bError=TRUE;goto Cleanup;

9、/选择WINLOGON 进程/if(dwPid=GetProcessId(WINLOGON.EXE)=NULL)名师资料总结-精品资料欢迎下载-名师精心整理-第 7 页，共 19 页 -printf(GetProcessId()to failed!n);bError=TRUE;goto Cleanup;hProcess=OpenProcess(PROCESS_QUERY_INFORMATION,FALSE,dwPid);if(hProcess=NULL)printf(OpenProcess()=%dn,GetLastError();bError=TRUE;goto Cleanup;if(!Op

10、enProcessToken(hProcess,READ_CONTROL|WRITE_DAC,&hToken)printf(OpenProcessToken()=%dn,GetLastError();bError=TRUE;goto Cleanup;/设置ACE 具有所有访问权限/ZeroMemory(&ea,sizeof(EXPLICIT_ACCESS);BuildExplicitAccessWithName(&ea,Everyone,名师资料总结-精品资料欢迎下载-名师精心整理-第 8 页，共 19 页 -TOKEN_ALL_ACCESS,GRANT_ACCESS,0);if(!GetKe

11、rnelObjectSecurity(hToken,DACL_SECURITY_INFORMATION,pOrigSd,0,&dwSDLen)/第一次调用给出的参数肯定返回这个错误，这样做的目的是/为了得到原安全描述符pOrigSd 的长度/if(GetLastError()=ERROR_INSUFFICIENT_BUFFER)pOrigSd=(PSECURITY_DESCRIPTOR)HeapAlloc(GetProcessHeap(),HEAP_ZERO_MEMORY,dwSDLen);if(pOrigSd=NULL)printf(Allocate pSd memory to failed

12、!n);bError=TRUE;goto Cleanup;名师资料总结-精品资料欢迎下载-名师精心整理-第 9 页，共 19 页 -/再次调用才正确得到安全描述符pOrigSd/if(!GetKernelObjectSecurity(hToken,DACL_SECURITY_INFORMATION,pOrigSd,dwSDLen,&dwSDLen)printf(GetKernelObjectSecurity()=%dn,GetLastError();bError=TRUE;goto Cleanup;else printf(GetKernelObjectSecurity()=%dn,GetLas

13、tError();bError=TRUE;goto Cleanup;/得到原安全描述符的访问控制列表ACL/名师资料总结-精品资料欢迎下载-名师精心整理-第 10 页，共 19 页 -if(!GetSecurityDescriptorDacl(pOrigSd,&bDAcl,&pOldDAcl,&bDefDAcl)printf(GetSecurityDescriptorDacl()=%dn,GetLastError();bError=TRUE;goto Cleanup;/生成新ACE 权限的访问控制列表ACL/dwRet=SetEntriesInAcl(1,&ea,pOldDAcl,&pNewD

14、Acl);if(dwRet!=ERROR_SUCCESS)printf(SetEntriesInAcl()=%dn,GetLastError();pNewDAcl=NULL;bError=TRUE;goto Cleanup;if(!MakeAbsoluteSD(pOrigSd,pNewSd,&dwSDLen,pOldDAcl,&dwAclSize,pSacl,&dwSaclSize,名师资料总结-精品资料欢迎下载-名师精心整理-第 11 页，共 19 页 -pSidOwner,&dwSidOwnLen,pSidPrimary,&dwSidPrimLen)/第一次调用给出的参数肯定返回这个错误，

15、这样做的目的是/为了创建新的安全描述符pNewSd 而得到各项的长度/if(GetLastError()=ERROR_INSUFFICIENT_BUFFER)pOldDAcl=(PACL)HeapAlloc(GetProcessHeap(),HEAP_ZERO_MEMORY,dwAclSize);pSacl=(PACL)HeapAlloc(GetProcessHeap(),HEAP_ZERO_MEMORY,dwSaclSize);pSidOwner=(PSID)HeapAlloc(GetProcessHeap(),HEAP_ZERO_MEMORY,dwSidOwnLen);pSidPrimar

16、y=(PSID)HeapAlloc(GetProcessHeap(),HEAP_ZERO_MEMORY,dwSidPrimLen);pNewSd=(PSECURITY_DESCRIPTOR)HeapAlloc(GetProcessHeap(),名师资料总结-精品资料欢迎下载-名师精心整理-第 12 页，共 19 页 -HEAP_ZERO_MEMORY,dwSDLen);if(pOldDAcl=NULL|pSacl=NULL|pSidOwner=NULL|pSidPrimary=NULL|pNewSd=NULL)printf(Allocate SID or ACL to failed!n);bE

17、rror=TRUE;goto Cleanup;/再次调用才可以成功创建新的安全描述符pNewSd/但新的安全描述符仍然是原访问控制列表ACL/if(!MakeAbsoluteSD(pOrigSd,pNewSd,&dwSDLen,pOldDAcl,&dwAclSize,pSacl,&dwSaclSize,pSidOwner,名师资料总结-精品资料欢迎下载-名师精心整理-第 13 页，共 19 页 -&dwSidOwnLen,pSidPrimary,&dwSidPrimLen)printf(MakeAbsoluteSD()=%dn,GetLastError();bError=TRUE;goto C

18、leanup;else printf(MakeAbsoluteSD()=%dn,GetLastError();bError=TRUE;goto Cleanup;/将具有所有访问权限的访问控制列表pNewDAcl 加入到新的/安全描述符pNewSd 中/if(!SetSecurityDescriptorDacl(pNewSd,bDAcl,pNewDAcl,bDefDAcl)printf(SetSecurityDescriptorDacl()=%dn,GetLastError();bError=TRUE;名师资料总结-精品资料欢迎下载-名师精心整理-第 14 页，共 19 页 -goto Clea

19、nup;/将新的安全描述符加到TOKEN 中/if(!SetKernelObjectSecurity(hToken,DACL_SECURITY_INFORMATION,pNewSd)printf(SetKernelObjectSecurity()=%dn,GetLastError();bError=TRUE;goto Cleanup;/再次打开WINLOGON 进程的TOKEN，这时已经具有所有访问权限/if(!OpenProcessToken(hProcess,TOKEN_ALL_ACCESS,&hToken)printf(OpenProcessToken()=%dn,GetLastErro

20、r();bError=TRUE;goto Cleanup;/复制一份具有相同访问权限的TOKEN/if(!DuplicateTokenEx(hToken,名师资料总结-精品资料欢迎下载-名师精心整理-第 15 页，共 19 页 -TOKEN_ALL_ACCESS,NULL,SecurityImpersonation,TokenPrimary,&hNewToken)printf(DuplicateTokenEx()=%dn,GetLastError();bError=TRUE;goto Cleanup;ZeroMemory(&si,sizeof(STARTUPINFO);si.cb=sizeof

21、(STARTUPINFO);/不虚拟登陆用户的话，创建新进程会提示/1314 客户没有所需的特权错误/ImpersonateLoggedOnUser(hNewToken);/我们仅仅是需要建立高权限进程，不用切换用户/所以也无需设置相关桌面，有了新TOKEN 足够/利用具有所有权限的TOKEN，创建高权限进程/名师资料总结-精品资料欢迎下载-名师精心整理-第 16 页，共 19 页 -if(!CreateProcessAsUser(hNewToken,NULL,szProcessName,NULL,NULL,FALSE,NULL,/NORMAL_PRIORITY_CLASS|CREATE_NE

22、W_CONSOLE,NULL,NULL,&si,&pi)printf(CreateProcessAsUser()=%dn,GetLastError();bError=TRUE;goto Cleanup;bError=FALSE;Cleanup:if(pOrigSd)HeapFree(GetProcessHeap(),0,pOrigSd);if(pNewSd)名师资料总结-精品资料欢迎下载-名师精心整理-第 17 页，共 19 页 -HeapFree(GetProcessHeap(),0,pNewSd);if(pSidPrimary)HeapFree(GetProcessHeap(),0,pSi

23、dPrimary);if(pSidOwner)HeapFree(GetProcessHeap(),0,pSidOwner);if(pSacl)HeapFree(GetProcessHeap(),0,pSacl);if(pOldDAcl)HeapFree(GetProcessHeap(),0,pOldDAcl);CloseHandle(pi.hProcess);CloseHandle(pi.hThread);CloseHandle(hToken);CloseHandle(hNewToken);CloseHandle(hProcess);if(bError)名师资料总结-精品资料欢迎下载-名师精心整理-第 18 页，共 19 页 -return FALSE;return TRUE;void main(int argc,char*argv)if(argc 2)printf(Usage:wssrun n);return;if(CreateSystemProcess(argv1)=FALSE)printf(wssrun:CreateSystemProcess()to failed!n);return;名师资料总结-精品资料欢迎下载-名师精心整理-第 19 页，共 19 页 -