搜索

[1175] 2021-04-14_你真的了解LSAProtection(RunAsPPL)吗？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-04-14_你真的了解LSAProtection(RunAsPPL)吗？ 你 真 的 了 解 L S A   P r o t e c t i o n   ( R u n A s P P L ) 吗 ？ C H A B U G 运 营 小 哥 哥   C h a B u g   2 0 2 1 - 0 4 - 1 4 原 文 链 接 ： h t t p s : / / i t m 4 n . g i t h u b . i o / l s a s s - r u n a s p p l / 关 于 在 W i n d o w s 上 防 止 凭 据 被 盗 的 保 护 ， 启 用 L S A   P r o t e c t i o n （ R u n A s P P L ） L S A S S 可 能 被 认 为 是 第 一 个 实 施 的 建 议 。 但 是 您 真 的 知 道 P P L 是 什 么 吗 ？ 在 这 篇 文 章 中 ， 我 想 介 绍 一 些 有 关 “ 受 保 护 进 程 ” 的 核 心 概 念 ， 并 为 后 续 几 天 要 发 布 的 文 章 做 准 备 。 介 绍 介 绍 当 你 想 想 看 ， R u n A s P P L 对 于 L S A S S 一 个 真 正 的 利 器 。 配 置 非 常 容 易 ， 因 为 您 要 做 的 唯 一 一 件 事 就 是 在 注 册 表 中 添 加 一 个 简 单 的 值 ， 然 后 重 新 启 动 。 像 其 他 任 何 保 护 一 样 ， 仅 靠 它 是 不 够 的 ， 但 是 它 仍 然 特 别 有 效 。 攻 击 者 若 想 解 决 该 问 题 ， 就 必 须 使 用 一 些 相 对 高 级 的 技 巧 ， 最 终 增 加 了 被 检 测 到 的 几 率 。 因 此 ， 作 为 安 全 顾 问 ， 这 是 我 通 常 向 客 户 提 出 的 最 重 要 的 建 议 之 一 。 但 是 ， 从 客 户 的 角 度 来 看 ， 我 注 意 到 这 种 保 护 倾 向 于 与   C r e d e n t i a l   G u a r d [ 1 ]   混 淆 ， 后 者 是 完 全 不 同 的 。 我 认 为 这 种 混 淆 是 由 于 尽 管 C r e d e n t i a l   G u a r d 和 L S A   P r o t e c t i o n 实 际 上 是 互 补 的 ， 但 后 者 似 乎 提 供 了 更 强 大 的 机 制 。 但 是 作 为 顾 问 ， 如 果 您 想 说 服 客 户 他 们 同 时 实 行 这 两 项 防 御 措 施 ， 就 必 须 解 释 这 些 概 念 。 不 久 前 ， 我 说 我 认 为 的 L S A P r o t e c t i o n 意 思 就 是 ： “ 只 有 经 过 数 字 签 名 的 二 进 制 文 件 才 能 访 问 受 保 护 的 进 程 ” 。 您 可 能 已 经 注 意 到 ， 这 句 话 没 有 什 么 深 意 ， 让 我 意 识 到 我 并 不 真 正 了 解 L S A   P r o t e c t i o n 的 工 作 方 式 。 因 此 ， 我 做 了 一 些 研 究 ， 发 现 了 一 些 非 常 有 趣 的 东 西 ， 这 也 是 我 为 什 么 要 写 这 篇 文 章 。 免 责 声 明 ： 我 在 这 篇 文 章 中 讨 论 的 大 多 数 概 念 已 经 被 微 软 官 方 文 档 和   W i n d o w s   I n t e r n a l s   7 t h   E d i t i o n [ 2 ]   所 涵 盖 ， 这 是 我 的 两 个 主 要 信 息 来 源 。 这 篇 博 客 文 章 的 目 的 不 是 解 释 它 们 ， 而 是 收 集 我 认 为 从 安 全 顾 问 的 角 度 来 看 最 有 价 值 的 信 息 。 如 何 启 用 如 何 启 用 L S A 保 护 （ 保 护 （ R u n A s P P L ） ） 如 前 所 述 ， R u n A s P P L 启 用 非 常 容 易 。 该 过 程 在 官 方 文 档 中 有 详 细 说 明 ， 并 且 之 前 在 许 多 博 客 文 章 中 也 介 绍 了 该 过 程 。 如 果 要 在 公 司 环 境 中 启 用 它 ， 则 应 遵 循 M i c r o s o f t 提 供 的 文 档 创 建 一 个 组 策 略 ： 配 置 其 他 L S A 保 护 [ 3 ] 。 但 是 ， 如 果 您 只 想 在 一 台 计 算 机 上 手 动 启 用 它 ， 则 只 需 ： 1 . 以 管 理 员 身 份 打 开 注 册 表 编 辑 器 （ r e g e d i t . e x e ） ； 2 . 找 到   3 . 添 加 D W O R D 值 R u n A s P P L 并 将 其 设 置 为 1 ; 4 . 重 启 。 H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a
i m a g e . p n g 就 是 这 样 ！ 大 功 告 成 ！ 在 整 个 公 司 环 境 中 应 用 此 设 置 之 前 ， 需 要 考 虑 两 个 特 殊 情 况 。 它 们 都 在 官 方 文 档 中 进 行 了 描 述 。 如 果 对 以 下 两 个 问 题 中 至 少 一 个 的 回 答 为 “ 是 ” ， 则 需 要 采 取 一 些 预 防 措 施 。 1 . 您 是 否 使 用 任 何 第 三 方 身 份 验 证 模 块 ？ 2 . 您 是 否 使 用 U E F I 和 / 或 安 全 启 动 ？ 第 三 方 身 份 验 证 模 块 – 如 果 需 要 第 三 方 身 份 验 证 模 块 （ 例 如 在 智 能 卡 读 卡 器 中 ） ， 则 应 确 保 它 们 满 足 此 处 列 出 的 要 求 ： 受 保 护 进 程 的 插 件 或 驱 动 要 求 [ 4 ] 。 最 基 本 的 ， 该 模 块 必 须 使 用 M i c r o s o f t 签 名 进 行 数 字 签 名 ， 并 且 必 须 符 合 M i c r o s o f t 安 全 开 发 生 命 周 期 （ S D L ） 。 该 文 档 还 包 含 一 些 有 关 如 何 在 推 出 阶 段 之 前 设 置 审 核 策 略 的 说 明 ， 以 确 定 如 果 R u n A s P P L 启 用 该 模 块 是 否 将 被 阻 止 。 安 全 启 动 – 如 果 启 用 了 安 全 启 动 ， 例 如 现 代 笔 记 本 电 脑 通 常 会 启 用 安 全 启 动 ， 则 需 要 注 意 一 件 事 。 当 R u n A s P P L 启 用 时 ， 将 设 置 存 储 在 固 件 ， 在 U E F I 变 量 。 这 意 味 着 ， 一 旦 设 置 了 注 册 表 项 并 且 计 算 机 已 重 新 启 动 ， 删 除 新 添 加 的 注 册 表 值 将 无 效 并 R u n A s P P L 保 持 启 用 状 态 。 如 果 要 禁 用 保 护 ， 则 必 须 遵 循 M i c r o s o f t 在 此 处 提 供 的 步 骤 ： 禁 用 L S A 保 护 [ 5 ] 。 你 现 在 抓 不 到 密 码 了 ！ 你 现 在 抓 不 到 密 码 了 ！ 到 现 在 为 止 ， 我 想 大 家 都 知 道 ， R u n A s P P L 对 一 些 抓 密 码 的 工 具 防 护 很 有 效 ， 如 M i m i k a t z （ 在 接 下 来 的 部 分 更 多 的 事 情 ） 或 P r o c D u m p 。 因 此 ， 如 下 所 示 的 输 出 应 该 看 起 来 很 熟 悉 。
i m a g e . p n g 此 屏 幕 快 照 显 示 了 几 件 重 要 的 事 情 ： 1 . 当 前 用 户 是 默 认 组 的 成 员 ； 2 . 当 前 用 户 拥 有 （ 尽 管 当 前 已 被 禁 用 ） ； 3 . 该 命 令 成 功 启 用 S e D e b u g P r i v i l e g e ; 4 . 该 命 令 失 败 ， 并 显 示 错 误 代 码 0 x 0 0 0 0 0 0 0 5 。 因 此 ， 尽 管 当 前 用 户 拥 有 所 有 特 权 ， 该 命 令 仍 然 失 败 。 要 理 解 为 什 么 ， 我 们 应 该 看 看 在 的 代 码 。 这 是 代 码 的 简 化 版 本 ， 仅 显 示 我 们 感 兴 趣 的 部 分 。 A d m i n i s t r a t o r s S e D e b u g P r i v i l e g e p r i v i l e g e : : d e b u g 在 M i m i k a t z s e k u r l s a : : l o g o n p a s s w o r d s k u h l _ m _ s e k u r l s a _ a c q u i r e L S A ( ) m i m i k a t z / m o d u l e s / s e k u r l s a / k u h l _ m _ s e k u r l s a . c H A N D L E   h D a t a   =   N U L L ; D W O R D   p i d ; D W O R D   p r o c e s s R i g h t s   =   P R O C E S S _ V M _ R E A D   |   P R O C E S S _ Q U E R Y _ I N F O R M A T I O N ; k u l l _ m _ p r o c e s s _ g e t P r o c e s s I d F o r N a m e ( L " l s a s s . e x e " ,   & p i d ) ; h D a t a   =   O p e n P r o c e s s ( p r o c e s s R i g h t s ,   F A L S E ,   p i d ) ; i f   ( h D a t a   & &   h D a t a   ! =   I N V A L I D _ H A N D L E _ V A L U E )   {         / /   i f   O p e n P r o c e s s   O K }   e l s e   {         P R I N T _ E R R O R _ A U T O ( L " H a n d l e   o n   m e m o r y " ) ; }
在 此 代 码 段 中 ， 是 一 个 宏 ， 该 宏 基 本 上 打 印 出 失 败 的 函 数 的 名 称 以 及 错 误 代 码 。 错 误 代 码 本 身 是 通 过 调 用 检 索 的 。 对 于 那 些 不 熟 悉 W i n d o w s   A P I 工 作 方 式 的 人 ， 您 只 需 要 知 道 这 一 点 ， 并 且 这 是 两 个 W i n 3 2 函 数 ， 可 用 来 设 置 和 获 取 最 后 的 标 准 错 误 代 码 。 此 处 列 出 了 前 5 0 0 个 代 码 ： 系 统 错 误 代 码 （ 0 - 4 9 9 ） [ 6 ] 。 除 此 之 外 ， 其 余 代 码 非 常 简 单 。 它 首 先 获 取 被 调 用 进 程 的 P I D ， l s a s s . e x e 然 后 尝 试 通 过 标 志 并 通 过 调 用 W i n 3 2 函 数 将 其 打 开 （ 即 获 取 进 程 句 柄 ） 。 我 们 在 上 一 个 屏 幕 截 图 中 看 到 的 是 ， 此 功 能 失 败 ， 并 显 示 错 误 代 码 ， 仅 表 示 “ 访 问 被 拒 绝 ” 。 这 确 认 了 一 旦 启 用 ， 即 使 具 有 的 管 理 员 也 无 法 使 用 所 需 的 访 问 标 志 打 开 。             到 目 前 为 止 ， 我 已 经 解 释 的 所 有 内 容 都 可 以 视 为 常 识 ， 因 为 之 前 在 许 多 其 他 博 客 文 章 或 渗 透 测 试 备 忘 单 中 已 经 讨 论 过 这 些 内 容 。 但 是 我 必 须 做 一 下 总 结 ， 以 确 保 我 们 都 在 同 一 页 上 ， 并 且 还 介 绍 了 以 下 部 分 。 使 用 当 前 已 知 的 技 术 绕 过 使 用 当 前 已 知 的 技 术 绕 过 R u n A s P P L 在 撰 写 此 博 客 文 章 时 ， 有 三 种 主 要 的 已 知 技 术 可 以 绕 过 R u n A s P P L 和 访 问 l s a s s . e x e （ 或 一 般 而 言 任 何 其 他 P P L ） 的 内 存 。 这 已 经 在 其 他 博 客 文 章 中 讨 论 过 了 ， 因 此 我 将 尽 量 保 持 简 短 。 利 用 利 用 m i m i k a t z 的 的 m i m i d r v . s y s 在 前 面 的 部 分 中 ， 我 说 过 R u n A s P P L 有 效 地 阻 止 了 M i m i k a t z 访 问 的 内 存 l s a s s . e x e ， 但 是 该 工 具 实 际 上 也 是 绕 过 它 的 最 普 遍 的 技 术 。 } P R I N T _ E R R O R _ A U T O G e t L a s t E r r o r ( ) S e t L a s t E r r o r ( ) G e t L a s t E r r o r ( ) P R O C E S S _ V M _ R E A D P R O C E S S _ Q U E R Y _ I N F O R M A T I O N O p e n P r o c e s s 0 x 0 0 0 0 0 0 0 5 R u n A s P P L S e D e b u g P r i v i l e g e L S A S S
为 此 ， M i m i k a t z 使 用 数 字 签 名 的 驱 动 程 序 来 删 除 内 核 中 P r o c e s s 对 象 的 保 护 标 志 。 该 文 件 m i m i d r v . s y s 必 须 位 于 当 前 文 件 夹 中 ， 以 便 使 用 命 令 作 为 内 核 驱 动 程 序 服 务 加 载 ! + 。 然 后 ， 您 可 以 使 用 命 令 ! p r o c e s s p r o t e c t 删 除 保 护 并 最 终 访 问 l s a s s . e x e 。 i m a g e . p n g 完 成 后 ， 您 甚 至 可 以 使 用 相 同 的 命 令 “ 恢 复 ” 保 护 ， 而 无 需 使 用 / r e m o v e 参 数 ， 最 后 使 用 卸 载 驱 动 程 序 ! - 。 i m a g e . p n g 如 果 您 这 样 做 ， 则 需 要 注 意 一 件 事 ！ 您 必 须 知 道 M i m i k a t z   不 能 将 保 护 级 别 恢 复 到 原 始 级 别 。 下 面 的 两 个 屏 幕 截 图 显 示 了 l s a s s . e x e 发 出 命 令 前 后 该 过 程 的 保 护 级 别 。 正 如 你 所 看 到 的 ， 当 R u n A s P P L 被 启 用 ， 保 护 等 级 为 m i m i k a t z   #   ! + m i m i k a t z   #   ! p r o c e s s p r o t e c t   / p r o c e s s : l s a s s . e x e   / r e m o v e m i m i k a t z   #   p r i v i l e g e : : d e b u g m i m i k a t z   #   s e k u r l s a : : l o g o n p a s s w o r d s m i m i k a t z   #   ! p r o c e s s p r o t e c t   / p r o c e s s : l s a s s . e x e m i m i k a t z   #   ! - ! p r o c e s s p r o t e c t   / p r o c e s s : l s a s s . e x e
， 而 它 的 保 护 是 后 恢 复   通 过 M i m i k a t z 。 在 某 种 程 度 上 ， 这 使 系 统 比 在 下 一 部 分 中 看 到 的 更 加 安 全 ， 但 是 它 也 可 能 具 有 一 些 不 良 的 副 作 用 。 i m a g e . p n g i m a g e . p n g 方 法 二 ： 用 自 己 的 驱 动 方 法 二 ： 用 自 己 的 驱 动 先 前 方 法 的 主 要 缺 点 是 可 以 很 容 易 地 被 防 病 毒 软 件 检 测 到 。 例 如 ， 即 使 您 能 够 在 内 存 中 执 行 M i m i k a t z ， 您 仍 然 必 须 将 其 复 制 m i m i d r v . s y s 到 目 标 上 。 此 时 ， 您 可 以 考 虑 编 译 驱 动 程 序 的 自 定 义 版 本 ， 以 逃 避 基 于 签 名 的 检 测 ， 但 这 也 会 破 坏 文 件 的 数 字 签 名 。 因 此 ， 除 非 您 愿 意 支 付 几 百 美 元 来 签 署 新 的 驱 动 程 序 ， 否 则 不 会 这 样 做 。 如 果 您 不 想 执 行 正 式 的 签 名 过 程 ， 则 可 以 使 用 一 个 巧 妙 的 技 巧 。 这 个 技 巧 包 括 加 载 一 个 官 方 的 ， 易 受 攻 击 的 驱 动 程 序 ， 可 以 利 用 该 驱 动 程 序 在 内 核 中 运 行 任 意 代 码 。 一 旦 加 载 了 驱 动 程 序 ， 就 可 以 从 U s e r - l a n d 利 用 它 来 加 载 未 签 名 的 驱 动 程 序 。 例 如 ， 这 项 技 术 是 在 g d r v - l o a d e r [ 7 ] 和 P P L K i l l e r [ 8 ] 中 实 现 的 。 方 法 三 ： 方 法 三 ： p y p y k a t z 后 两 种 技 术 都 依 赖 于 使 用 驱 动 程 序 来 在 内 核 中 执 行 任 意 代 码 并 禁 用 进 程 保 护 。 这 样 的 技 术 仍 然 非 常 危 险 ， 犯 了 一 个 错 误 ， 就 会 触 发 B S O D 。 不 过 ， 最 近 ， @ S k e l S e c 提 出 了 另 一 种 访 问 方 法 l s a s s . e x e 。 在 题 为 D u p i n g   A V   w i t h   h a n d l e s [ 9 ] 的 文 章 中 ， 他 介 绍 了 一 种 绕 P s P r o t e c t e d S i g n e r L s a - L i g h t P s P r o t e c t e d S i g n e r W i n T c b
过 A V 检 测 / 阻 止 对 L S A S S 进 程 的 访 问 的 方 法 。 如 果 要 访 问 L S A S S 的 内 存 ， 则 要 做 的 第 一 件 事 是 调 用 O p e n P r o c e s s 以 获 取 对 P r o c e s s 对 象 具 有 适 当 权 限 的 句 柄 。 因 此 ， 某 些 反 病 毒 软 件 可 能 会 阻 止 此 类 尝 试 ， 从 而 在 早 期 阶 段 有 效 地 终 止 攻 击 。 S k e l S e c 描 述 的 技 术 背 后 的 想 法 很 简 单 ： 根 本 不 要 调 用   O p e n P r o c e s s 。 但 是 ， 那 您 如 何 获 得 初 始 处 理 呢 ？ 答 案 来 自 以 下 观 察 。 有 时 ， 其 他 进 程 ， 例 如 防 病 毒 软 件 ， 已 经 在 其 内 存 空 间 中 的 L S A S S 进 程 上 打 开 了 句 柄 。 因 此 ， 作 为 具 有 调 试 特 权 的 管 理 员 ， 您 可 以 将 此 句 柄 复 制 到 您 自 己 的 进 程 中 ， 然 后 使 用 它 来 访 问 L S A S S 。 事 实 证 明 ， 该 技 术 还 有 另 一 个 目 的 。 它 也 可 以 用 来 绕 过 ， R u n A s P P L 因 为 某 些 不 受 保 护 的 进 程 可 能 已 经 通 过 另 一 种 方 式 （ 例 如 使 用 驱 动 程 序 ） 获 得 了 L S A S S 进 程 的 句 柄 。 在 这 种 情 况 下 ， 可 以 通 过 以 下 命 令 使 用 p y p y k a t z 。 什 么 是 什 么 是 P P L 流 程 ？ 流 程 ？ 有 趣 的 部 分 到 了 。 在 前 面 的 段 落 中 ， 我 故 意 掩 盖 了 一 些 关 键 概 念 。 我 选 择 展 示 所 有 众 所 周 知 的 事 物 ， 以 便 在 这 里 对 其 进 行 更 详 细 的 说 明 。 首 先 ， P P L 表 示 “ 受 保 护 的 流 程 ” ， 但 在 此 之 前 ， 只 有 “ 受 保 护 的 流 程 ” 。 W i n d o w s   V i s t a   /   S e r v e r   2 0 0 8 引 入 了 受 保 护 进 程 的 概 念 ， 其 目 的 不 是 保 护 您 的 数 据 或 凭 据 。 其 最 初 目 标 是 保 护 媒 体 内 容 并 符 合 D R M （ 数 字 版 权 管 理 ） 要 求 。 M i c r o s o f t 开 发 了 此 机 制 ， 以 便 您 的 媒 体 播 放 器 可 以 读 取 例 如 蓝 光 ， 同 时 防 止 您 复 制 其 内 容 。 当 时 的 要 求 是 映 像 文 件 （ 即 可 执 行 文 件 ） 必 须 使 用 特 殊 的 W i n d o w s   M e d i a 证 书 进 行 数 字 签 名 （ 如 W i n d o w s   I n t e r n a l s 的 “ 受 保 护 的 过 程 ” 部 分 所 述 ） 。 在 实 践 中 ， 一 个 受 保 护 的 过 程 可 通 过 未 保 护 的 过 程 仅 具 有 非 常 有 限 的 权 限 访 问 ： ， ， 和 。 对 于 某 些 高 度 敏 感 的 过 程 ， 甚 至 可 以 减 少 此 设 置 。 几 年 后 ， 从 W i n d o w s   8 . 1   /   S e r v e r   2 0 1 2   R 2 开 始 ， M i c r o s o f t 引 入 了 P r o t e c t e d   P r o c e s s   L i g h t 的 概 念 。 P P L 实 际 上 是 对 先 前 “ 受 保 护 过 程 ” 模 型 的 扩 展 ， 并 添 加 了 “ 保 护 级 别 ” 的 概 念 ， 这 基 本 上 意 味 着 某 些 P P （ L ） 进 程 可 以 比 其 他 进 程 受 到 更 多 保 护 。 保 护 等 级 保 护 等 级 p y p y k a t z   l i v e   l s a   - - m e t h o d   h a n d l e d u p P R O C E S S _ Q U E R Y _ L I M I T E D _ I N F O R M A T I O N P R O C E S S _ S E T _ L I M I T E D _ I N F O R M A T I O N P R O C E S S _ T E R M I N A T E P R O C E S S _ S U S P E N D _ R E S U M E
进 程 的 保 护 级 别 已 添 加 到 E P R O C E S S 内 核 结 构 中 ， 并 且 更 具 体 地 存 储 在 其 P r o t e c t i o n 成 员 中 。 该 P r o t e c t i o n 成 员 是 一 个 P S _ P R O T E C T I O N 结 构 ， 在 此 处 进 行 了 说 明 。 尽 管 将 其 表 示 为 结 构 ， 但 所 有 信 息 都 存 储 在 单 个 字 节 的 两 个 半 字 节 中 （ L e v e l 是 ， 即 ） 。 前 3 位 代 表 保 护 T y p e （ 见 下 文 ） 。 它 定 义 过 程 是 P P 还 是 P P L 。 后 4 位 代 表 S i g n e r 类 型 （ 请 参 见 P S _ P R O T E C T E D _ S I G N E R 下 文 ） ， 即 实 际 的 保 护 级 别 。 您 可 能 已 经 猜 到 了 ， 进 程 的 保 护 级 别 由 这 两 个 值 的 组 合 定 义 。 下 表 列 出 了 最 常 见 的 组 合 。 t y p e d e f   s t r u c t   _ P S _ P R O T E C T I O N   {         u n i o n   {                 U C H A R   L e v e l ;                 s t r u c t   {                         U C H A R   T y p e       :   3 ;                         U C H A R   A u d i t     :   1 ;                                     / /   R e s e r v e d                         U C H A R   S i g n e r   :   4 ;                 } ;         } ; }   P S _ P R O T E C T I O N ,   * P P S _ P R O T E C T I O N ; a   U C H A R a n   u n s i g n e d   c h a r P S _ P R O T E C T E D _ T Y P E t y p e d e f   e n u m   _ P S _ P R O T E C T E D _ T Y P E   {         P s P r o t e c t e d T y p e N o n e   =   0 ,         P s P r o t e c t e d T y p e P r o t e c t e d L i g h t   =   1 ,         P s P r o t e c t e d T y p e P r o t e c t e d   =   2 }   P S _ P R O T E C T E D _ T Y P E ,   * P P S _ P R O T E C T E D _ T Y P E ; t y p e d e f   e n u m   _ P S _ P R O T E C T E D _ S I G N E R   {         P s P r o t e c t e d S i g n e r N o n e   =   0 ,             / /   0         P s P r o t e c t e d S i g n e r A u t h e n t i c o d e ,     / /   1         P s P r o t e c t e d S i g n e r C o d e G e n ,               / /   2         P s P r o t e c t e d S i g n e r A n t i m a l w a r e ,       / /   3         P s P r o t e c t e d S i g n e r L s a ,                       / /   4         P s P r o t e c t e d S i g n e r W i n d o w s ,               / /   5         P s P r o t e c t e d S i g n e r W i n T c b ,                 / /   6         P s P r o t e c t e d S i g n e r W i n S y s t e m ,           / /   7         P s P r o t e c t e d S i g n e r A p p ,                       / /   8         P s P r o t e c t e d S i g n e r M a x                         / /   9 }   P S _ P R O T E C T E D _ S I G N E R ,   * P P S _ P R O T E C T E D _ S I G N E R ;
i m a g e . p n g S i g n e r   T y p e s 在 “ 受 保 护 进 程 ” 的 早 期 ， 保 护 级 别 是 二 进 制 的 ， 即 某 个 进 程 是 否 受 保 护 。 我 们 看 到 在 W i n d o w s   N T   6 . 3 中 引 入 P P L 时 ， 情 况 发 生 了 变 化 。 P P 和 P P L 现 在 都 具 有 一 个 保 护 级 别 ， 该 保 护 级 别 由 签 名 者 级 别 确 定 ， 如 上 所 述 。 因 此 ， 要 知 道 的 另 一 件 有 趣 的 事 情 是 如 何 确 定 签 名 者 类 型 和 保 护 级 别 。 这 个 问 题 的 答 案 很 简 单 。 尽 管 有 一 些 例 外 ， 但 签 名 者 级 别 最 常 见 的 是 由 文 件 的 数 字 证 书 中 的 特 殊 字 段 确 定 的 ： 增 强 密 钥 用 法 （ E n h a n c e d   K e y   U s a g e   简 称 E K U ） 。 i m a g e . p n g 在 此 屏 幕 截 图 中 ， 您 可 以 w i n i n i t . e x e 在 左 侧 和 S g r m B r o k e r . e x e 右 侧 看 到 两 个 示 例 。 在 这 两 种 情 况 下 ， 我 们 都 可 以 看 到
E K U 字 段 包 含 代 表 W i n d o w s   T C B   C o m p o n e n t 签 名 者 类 型 的 O I D   。 第 二 个 突 出 显 示 的 O I D 代 表 保 护 级 别 ， P r o t e c t e d P r o c e s s   L i g h t 在 w i n i n i t . e x e 和 P r o t e c t e d   P r o c e s s 的 情 况 下 都 是 如 此 S g r m B r o k e r . e x e 。 结 果 ， 我 们 知 道 后 者 可 以 作 为 P P 执 行 ， 而 前 者 只 能 作 为 P P L 执 行 。 但 是 ， 它 们 都 将 具 有 W i n T c b 级 别 。 保 护 优 先 级 保 护 优 先 级 需 要 讨 论 的 最 后 一 个 关 键 方 面 是 保 护 优 先 级 。 在 W i n d o w s   I n t e r n a l s   7 t h   E d i t i o n 第 1 部 分 的 “   P r o t e c t e d   P r o c e s s L i g h t （ P P L ） ” 部 分 中 ， 您 可 以 阅 读 以 下 内 容 ： 在 解 释 进 程 时 ， 请 记 住 ， 首 先 ， 受 保 护 的 进 程 始 终 胜 过 P P L ， 其 次 ， 较 高 价 值 的 签 名 者 流 程 可 以 访 问 较 低 的 签 名 者 流 程 ， 反 之 亦 然 。 换 句 话 说 ： • P P 可 以 打 开 具 有 完 全 访 问 权 限 的 P P 或 P P L ， 只 要 其 签 名 者 级 别 大 于 或 等 于 此 级 别 即 可 ； • 一 个 P P L 可 以 打 开 另 一 个 具 有 完 全 访 问 权 限 的 P P L ， 只 要 其 签 名 者 级 别 大 于 或 等 于 该 P P L ； • P P L 不 能 打 开 具 有 完 全 访 问 权 限 的 P P ， 无 论 其 签 名 者 级 别 如 何 。 注 意 ： 毫 无 疑 问 ， A C L 检 查 仍 然 适 用 。 成 为 受 保 护 的 流 程 并 不 能 赋 予 您 超 能 力 。 如 果 您 以 低 特 权 用 户 身 份 运 行 受 保 护 的 进 程 ， 则 将 无 法 神 奇 地 访 问 其 他 用 户 的 进 程 。 这 是 附 加 保 护 。 为 了 说 明 这 一 点 ， 我 选 择 了 3 个 易 于 识 别 的 进 程 / 图 像 文 件 ： • w i n i n i t . e x e   – 会 话 0 初 始 化 • l s a s s . e x e   –   L S A S S 流 程 • M s M p E n g . e x e   –   W i n d o w s   D e f e n d e r 服 务 i m a g e . p n g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理