[转载]创建高权限进程-阿里云开发者社区

开发者社区> 大熊猫侯佩> 正文

[转载]创建高权限进程

简介:
+关注继续查看
文章作者:sinister
信息来源:白细胞

Author: sinister
Email:   sinister@whitecell.org
Homepage:http://www.whitecell.org
Date:   2006-02-12

/*****************************************************************
文件名     : wssrun.c
描述       : 创建高权限进程
作者       : sinister
最后修改日期 : 2006.2.09

*****************************************************************/


//
// 写这个初衷是为了让 Windows 任务管理器可以结束掉一些服务
// 和僵死进程,用 pslist/pskill 之类工具无法获得象任务管理
// 器那样丰富的信息,还得来回切换,麻烦的很。最初想写个驱动
// 监视任务管理器运行,使用 SYSTEM 进程 TOKEN 替换来达到目的。
// 后来觉得通用性不好,就改用了这种方法。此方法还可使 regedit
// 查看、编辑 SAM 等注册表键,何乐而不为。
//
// wssrun taskmgr.exe
// wssrun regedit.exe
//


#include
#include
#include
#include
#include
#include
#include

#pragma comment(lib,"Shlwapi.lib")


/////////////////////////////////////////////////////////////////
// 函数类型 :自定义工具函数
// 函数模块 :
////////////////////////////////////////////////////////////////
// 功能 :提升当前进程权限
// 注意 :
/////////////////////////////////////////////////////////////////
// 作者 : sinister
// 发布版本 : 1.00.00
// 发布日期 : 2006.2.09
/////////////////////////////////////////////////////////////////
// 重   大   修   改   历   史
////////////////////////////////////////////////////////////////
// 修改者 :
// 修改日期 :
// 修改内容 :
/////////////////////////////////////////////////////////////////

BOOL
EnableDebugPriv( LPCTSTR szPrivilege )
{
HANDLE hToken;
LUID sedebugnameValue;
TOKEN_PRIVILEGES tkp;

if ( !OpenProcessToken( GetCurrentProcess(),
                TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,
                &hToken ) )
{
  return FALSE;
}
if ( !LookupPrivilegeValue( NULL, szPrivilege, &sedebugnameValue ) )
{
  CloseHandle( hToken );
  return FALSE;
}

tkp.PrivilegeCount = 1;
tkp.Privileges[0].Luid = sedebugnameValue;
tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

if ( !AdjustTokenPrivileges( hToken, FALSE, &tkp, sizeof tkp, NULL, NULL ) )
{
  CloseHandle( hToken );
  return FALSE;
}

return TRUE;
}

/////////////////////////////////////////////////////////////////
// 函数类型 :自定义工具函数
// 函数模块 :
////////////////////////////////////////////////////////////////
// 功能 :通过指定进程名得到其进程 ID
// 注意 :
/////////////////////////////////////////////////////////////////
// 作者 : sinister
// 发布版本 : 1.00.00
// 发布日期 : 2006.2.09
/////////////////////////////////////////////////////////////////
// 重   大   修   改   历   史
////////////////////////////////////////////////////////////////
// 修改者 :
// 修改日期 :
// 修改内容 :
/////////////////////////////////////////////////////////////////

DWORD
GetProcessId( LPCTSTR szProcName )
{
PROCESSENTRY32 pe;
DWORD dwPid;
DWORD dwRet;
BOOL bFound = FALSE;

//
// 通过 TOOHLP32 函数枚举进程
//

HANDLE hSP = CreateToolhelp32Snapshot( TH32CS_SNAPPROCESS, 0 );
if ( hSP )
{
  pe.dwSize = sizeof( pe );

  for ( dwRet = Process32First( hSP, &pe );
      dwRet;
      dwRet = Process32Next( hSP, &pe ) )
  {
    //
    // 使用 StrCmpNI 比较字符传,可忽略大小写
    //
    if ( StrCmpNI( szProcName, pe.szExeFile, strlen( szProcName ) ) == 0 )
    {
    dwPid = pe.th32ProcessID;
    bFound = TRUE;
    break;
    }
  }

  CloseHandle( hSP );

  if ( bFound == TRUE )
  {
    return dwPid;
  }
}

return NULL;
}

/////////////////////////////////////////////////////////////////
// 函数类型 :自定义工具函数
// 函数模块 :
////////////////////////////////////////////////////////////////
// 功能 : 创建具有高权限的进程
// 注意 :
/////////////////////////////////////////////////////////////////
// 作者 : sinister
// 发布版本 : 1.00.00
// 发布日期 : 2006.2.09
/////////////////////////////////////////////////////////////////
// 重   大   修   改   历   史
////////////////////////////////////////////////////////////////
// 修改者 :
// 修改日期 :
// 修改内容 :
/////////////////////////////////////////////////////////////////

BOOL
CreateSystemProcess( LPTSTR szProcessName )
{
HANDLE hProcess;
HANDLE hToken, hNewToken;
DWORD dwPid;

PACL pOldDAcl = NULL;
PACL pNewDAcl = NULL;
BOOL bDAcl;
BOOL bDefDAcl;
DWORD dwRet;

PACL pSacl = NULL;
PSID pSidOwner = NULL;
PSID pSidPrimary = NULL;
DWORD dwAclSize = 0;
DWORD dwSaclSize = 0;
DWORD dwSidOwnLen = 0;
DWORD dwSidPrimLen = 0;

DWORD dwSDLen;
EXPLICIT_ACCESS ea;
PSECURITY_DESCRIPTOR pOrigSd = NULL;
PSECURITY_DESCRIPTOR pNewSd = NULL;

STARTUPINFO si;
PROCESS_INFORMATION pi;

BOOL bError;

if ( !EnableDebugPriv( "SeDebugPrivilege" ) )
{
  printf( "EnableDebugPriv() to failed!/n" );

  bError = TRUE;
  goto Cleanup;
}

//
// 选择 WINLOGON 进程
//
if ( ( dwPid = GetProcessId( "WINLOGON.EXE" ) ) == NULL )
{
  printf( "GetProcessId() to failed!/n" );  

  bError = TRUE;
  goto Cleanup;
}

hProcess = OpenProcess( PROCESS_QUERY_INFORMATION, FALSE, dwPid );
if ( hProcess == NULL )
{
  printf( "OpenProcess() = %d/n", GetLastError() );  

  bError = TRUE;
  goto Cleanup;
}

if ( !OpenProcessToken( hProcess, READ_CONTROL | WRITE_DAC, &hToken ) )
{
  printf( "OpenProcessToken() = %d/n", GetLastError() );

  bError = TRUE;
  goto Cleanup;
}

//
// 设置 ACE 具有所有访问权限
//
ZeroMemory( &ea, sizeof( EXPLICIT_ACCESS ) );
BuildExplicitAccessWithName( &ea,
                    "Everyone",
                    TOKEN_ALL_ACCESS,
                    GRANT_ACCESS,
                    0 );

if ( !GetKernelObjectSecurity( hToken,
                      DACL_SECURITY_INFORMATION,
                      pOrigSd,
                      0,
                      &dwSDLen ) )
{
  //
  // 第一次调用给出的参数肯定返回这个错误,这样做的目的是
  // 为了得到原安全描述符 pOrigSd 的长度
  //
  if ( GetLastError() == ERROR_INSUFFICIENT_BUFFER )
  {
    pOrigSd = ( PSECURITY_DESCRIPTOR ) HeapAlloc( GetProcessHeap(),
                                  HEAP_ZERO_MEMORY,
                                  dwSDLen );
    if ( pOrigSd == NULL )
    {
    printf( "Allocate pSd memory to failed!/n" );

    bError = TRUE;
    goto Cleanup;
    }

    //
    // 再次调用才正确得到安全描述符 pOrigSd
    //
    if ( !GetKernelObjectSecurity( hToken,
                        DACL_SECURITY_INFORMATION,
                        pOrigSd,
                        dwSDLen,
                        &dwSDLen ) )
    {
    printf( "GetKernelObjectSecurity() = %d/n", GetLastError() );
    bError = TRUE;
    goto Cleanup;
    }
  }
  else
  {
    printf( "GetKernelObjectSecurity() = %d/n", GetLastError() );
    bError = TRUE;
    goto Cleanup;
  }
}

//
// 得到原安全描述符的访问控制列表 ACL
//
if ( !GetSecurityDescriptorDacl( pOrigSd, &bDAcl, &pOldDAcl, &bDefDAcl ) )
{
  printf( "GetSecurityDescriptorDacl() = %d/n", GetLastError() );

  bError = TRUE;
  goto Cleanup;
}

//
// 生成新 ACE 权限的访问控制列表 ACL
//
dwRet = SetEntriesInAcl( 1, &ea, pOldDAcl, &pNewDAcl );
if ( dwRet != ERROR_SUCCESS )
{
  printf( "SetEntriesInAcl() = %d/n", GetLastError() );
  pNewDAcl = NULL;

  bError = TRUE;
  goto Cleanup;
}

if ( !MakeAbsoluteSD( pOrigSd,
                pNewSd,
                &dwSDLen,
                pOldDAcl,
                &dwAclSize,
                pSacl,
                &dwSaclSize,
                pSidOwner,
                &dwSidOwnLen,
                pSidPrimary,
                &dwSidPrimLen ) )
{
  //
  // 第一次调用给出的参数肯定返回这个错误,这样做的目的是
  // 为了创建新的安全描述符 pNewSd 而得到各项的长度
  //
  if ( GetLastError() == ERROR_INSUFFICIENT_BUFFER )
  {
    pOldDAcl = ( PACL ) HeapAlloc( GetProcessHeap(),
                        HEAP_ZERO_MEMORY,
                        dwAclSize );
    pSacl = ( PACL ) HeapAlloc( GetProcessHeap(),
                      HEAP_ZERO_MEMORY,
                      dwSaclSize );
    pSidOwner = ( PSID ) HeapAlloc( GetProcessHeap(),
                        HEAP_ZERO_MEMORY,
                        dwSidOwnLen );
    pSidPrimary = ( PSID ) HeapAlloc( GetProcessHeap(),
                          HEAP_ZERO_MEMORY,
                          dwSidPrimLen );
    pNewSd = ( PSECURITY_DESCRIPTOR ) HeapAlloc( GetProcessHeap(),
                                  HEAP_ZERO_MEMORY,
                                  dwSDLen );

    if ( pOldDAcl == NULL ||
      pSacl == NULL ||
      pSidOwner == NULL ||
      pSidPrimary == NULL ||
      pNewSd == NULL )
    {
    printf( "Allocate SID or ACL to failed!/n" );

    bError = TRUE;
    goto Cleanup;
    }

    //
    // 再次调用才可以成功创建新的安全描述符 pNewSd
    // 但新的安全描述符仍然是原访问控制列表 ACL
    //
    if ( !MakeAbsoluteSD( pOrigSd,
                  pNewSd,
                  &dwSDLen,
                  pOldDAcl,
                  &dwAclSize,
                  pSacl,
                  &dwSaclSize,
                  pSidOwner,
                  &dwSidOwnLen,
                  pSidPrimary,
                  &dwSidPrimLen ) )
    {
    printf( "MakeAbsoluteSD() = %d/n", GetLastError() );

    bError = TRUE;
    goto Cleanup;
    }
  }
  else
  {
    printf( "MakeAbsoluteSD() = %d/n", GetLastError() );

    bError = TRUE;
    goto Cleanup;
  }
}

//
// 将具有所有访问权限的访问控制列表 pNewDAcl 加入到新的
// 安全描述符 pNewSd 中
//
if ( !SetSecurityDescriptorDacl( pNewSd, bDAcl, pNewDAcl, bDefDAcl ) )
{
  printf( "SetSecurityDescriptorDacl() = %d/n", GetLastError() );

  bError = TRUE;
  goto Cleanup;
}

//
// 将新的安全描述符加到 TOKEN 中
//
if ( !SetKernelObjectSecurity( hToken, DACL_SECURITY_INFORMATION, pNewSd ) )
{
  printf( "SetKernelObjectSecurity() = %d/n", GetLastError() );

  bError = TRUE;
  goto Cleanup;
}

//
// 再次打开 WINLOGON 进程的 TOKEN,这时已经具有所有访问权限
//
if ( !OpenProcessToken( hProcess, TOKEN_ALL_ACCESS, &hToken ) )
{
  printf( "OpenProcessToken() = %d/n", GetLastError() );  

  bError = TRUE;
  goto Cleanup;
}

//
// 复制一份具有相同访问权限的 TOKEN
//
if ( !DuplicateTokenEx( hToken,
                TOKEN_ALL_ACCESS,
                NULL,
                SecurityImpersonation,
                TokenPrimary,
                &hNewToken ) )
{
  printf( "DuplicateTokenEx() = %d/n", GetLastError() );  

  bError = TRUE;
  goto Cleanup;
}


ZeroMemory( &si, sizeof( STARTUPINFO ) );
si.cb = sizeof( STARTUPINFO );

//
// 不虚拟登陆用户的话,创建新进程会提示
// 1314 客户没有所需的特权错误
//
ImpersonateLoggedOnUser( hNewToken );


//
// 我们仅仅是需要建立高权限进程,不用切换用户
// 所以也无需设置相关桌面,有了新 TOKEN 足够
//


//
// 利用具有所有权限的 TOKEN,创建高权限进程
//
if ( !CreateProcessAsUser( hNewToken,
                  NULL,
                  szProcessName,
                  NULL,
                  NULL,
                  FALSE,
                  NULL, //NORMAL_PRIORITY_CLASS | CREATE_NEW_CONSOLE,
                  NULL,
                  NULL,
                  &si,
                  &pi ) )
{
  printf( "CreateProcessAsUser() = %d/n", GetLastError() );  

  bError = TRUE;
  goto Cleanup;
}

bError = FALSE;

Cleanup:
if ( pOrigSd )
{
  HeapFree( GetProcessHeap(), 0, pOrigSd );
}
if ( pNewSd )
{
  HeapFree( GetProcessHeap(), 0, pNewSd );
}
if ( pSidPrimary )
{
  HeapFree( GetProcessHeap(), 0, pSidPrimary );
}
if ( pSidOwner )
{
  HeapFree( GetProcessHeap(), 0, pSidOwner );
}
if ( pSacl )
{
  HeapFree( GetProcessHeap(), 0, pSacl );
}
if ( pOldDAcl )
{
  HeapFree( GetProcessHeap(), 0, pOldDAcl );
}

CloseHandle( pi.hProcess );
CloseHandle( pi.hThread );
CloseHandle( hToken );
CloseHandle( hNewToken );
CloseHandle( hProcess );

if ( bError )
{
  return FALSE;
}

return TRUE;
}


void
main( int argc, char** argv )
{
if ( argc < 2 )
{
  printf( "Usage: wssrun /n" );
  return ;
}

if ( CreateSystemProcess( argv[1] ) == FALSE )
{
  printf( "wssrun: CreateSystemProcess() to failed!/n" );
  return ;
}
}




WSS(Whitecell Security Systems),一个非营利性民间技术组织,致力于各种系统安全技术的研究。坚持传统的hacker精神,追求技术的精纯。
WSS 主页:http://www.whitecell.org/
WSS 论坛:http://www.whitecell.org/forums/
 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
3960 0
Linux下C编程,子进程创建函数fork() 执行解析
最近在看进程间的通信,看到了fork()函数,虽然以前用过,这次经过思考加深了理解。现总结如下: 1.函数本身   (1)头文件   #include  #include   (2)函数原型   pid_t fork( void);  (pid_t 是一个宏定义,其实质是int 被定义在#include中)  返回值: 若成功调用一次则返回两个值,子进程返回0,父进程返回子进程ID;否则,出错返回-1   (3)函数说明   一个现有进程可以调用fork函数创建一个新进程。
632 0
使用OpenApi弹性释放和设置云服务器ECS释放
云服务器ECS的一个重要特性就是按需创建资源。您可以在业务高峰期按需弹性的自定义规则进行资源创建,在完成业务计算的时候释放资源。本篇将提供几个Tips帮助您更加容易和自动化的完成云服务器的释放和弹性设置。
7586 0
JVM源码分析之一个Java进程究竟能创建多少线程
##概述 虽然这篇文章的标题打着JVM源码分析的旗号,不过本文不仅仅从JVM源码角度来分析,更多的来自于Linux Kernel的源码分析,今天要说的是JVM里比较常见的一个问题 这个问题可能有几种表述 * 一个Java进程到底能创建多少线程? * 到底有哪些因素决定了能创建多少线程
5927 0
访问权限进修课-protected | 带你学《Java面向对象编程》之七十
本节将为读者巩固访问控制权限方面的相关知识,并结合实例着重讲解了protected权限的作用。
284 0
只需一步:创建oss bucket并控制访问权限
本文介绍怎样利用阿里云资源编排服务(ROS),一步创建阿里云资源(以OSS为例)、创建多个子帐号,并付给子帐号不同的资源访问权限。 资源编排的RAM功能介绍 阿里云资源访问控制服务(RAM),帮助您把不同的资源权限分配给特定的用户(比如员工、系统或应用程序),达到最小特权的安全实践。例如,授权某
17979 0
+关注
大熊猫侯佩
贪吃贪睡的大熊猫侯佩
689
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载