创建高权限进程

Author: sinister
Email: [e-mail]
Homepage:http://www.whitecell.org
Date: 2006-02-12

/*****************************************************************
文件名 : wssrun.c
描述 : 创建高权限进程
作者 : sinister
最后修改日期 : 2006.2.09

*****************************************************************/

//
// 写这个初衷是为了让 Windows 任务管理器可以结束掉一些服务
// 和僵死进程，用 pslist/pskill 之类工具无法获得象任务管理
// 器那样丰富的信息，还得来回切换，麻烦的很。最初想写个驱动
// 监视任务管理器运行，使用 SYSTEM 进程 TOKEN 替换来达到目的。
// 后来觉得通用性不好，就改用了这种方法。此方法还可使 regedit
// 查看、编辑 SAM 等注册表键，何乐而不为。
//
// wssrun taskmgr.exe
// wssrun regedit.exe
//

C++代码

1. #include
2. #include
3. #include
4. #include
5. #include
6. #include
7. #include
8. 
   
9. #pragma comment(lib,”Shlwapi.lib”)
10. 
    
11. 
    
12. /////////////////////////////////////////////////////////////////
13. // 函数类型 :自定义工具函数
14. // 函数模块 :
15. ////////////////////////////////////////////////////////////////
16. // 功能 :提升当前进程权限
17. // 注意 :
18. /////////////////////////////////////////////////////////////////
19. // 作者 : sinister
20. // 发布版本 : 1.00.00
21. // 发布日期 : 2006.2.09
22. /////////////////////////////////////////////////////////////////
23. // 重 大 修 改 历 史
24. ////////////////////////////////////////////////////////////////
25. // 修改者 :
26. // 修改日期 :
27. // 修改内容 :
28. /////////////////////////////////////////////////////////////////
29. 
    
30. BOOL
31. EnableDebugPriv( LPCTSTR szPrivilege )
32. {
33. HANDLE hToken;
34. LUID sedebugnameValue;
35. TOKEN_PRIVILEGES tkp;
36. 
    
37. if ( !OpenProcessToken( GetCurrentProcess(),
38. TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,
39. &hToken ) )
40. {
41. return FALSE;
42. }
43. if ( !LookupPrivilegeValue( NULL, szPrivilege, &sedebugnameValue ) )
44. {
45. CloseHandle( hToken );
46. return FALSE;
47. }
48. 
    
49. tkp.PrivilegeCount = 1;
50. tkp.Privileges[0].Luid = sedebugnameValue;
51. tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
52. 
    
53. if ( !AdjustTokenPrivileges( hToken, FALSE, &tkp, sizeof tkp, NULL, NULL ) )
54. {
55. CloseHandle( hToken );
56. return FALSE;
57. }
58. 
    
59. return TRUE;
60. }
61. 
    
62. /////////////////////////////////////////////////////////////////
63. // 函数类型 :自定义工具函数
64. // 函数模块 :
65. ////////////////////////////////////////////////////////////////
66. // 功能 :通过指定进程名得到其进程 ID
67. // 注意 :
68. /////////////////////////////////////////////////////////////////
69. // 作者 : sinister
70. // 发布版本 : 1.00.00
71. // 发布日期 : 2006.2.09
72. /////////////////////////////////////////////////////////////////
73. // 重 大 修 改 历 史
74. ////////////////////////////////////////////////////////////////
75. // 修改者 :
76. // 修改日期 :
77. // 修改内容 :
78. /////////////////////////////////////////////////////////////////
79. 
    
80. DWORD
81. GetProcessId( LPCTSTR szProcName )
82. {
83. PROCESSENTRY32 pe;
84. DWORD dwPid;
85. DWORD dwRet;
86. BOOL bFound = FALSE;
87. 
    
88. //
89. // 通过 TOOHLP32 函数枚举进程
90. //
91. 
    
92. HANDLE hSP = CreateToolhelp32Snapshot( TH32CS_SNAPPROCESS, 0 );
93. if ( hSP )
94. {
95. pe.dwSize = sizeof( pe );
96. 
    
97. for ( dwRet = Process32First( hSP, &pe );
98. dwRet;
99. dwRet = Process32Next( hSP, &pe ) )
100. {
101. //
102. // 使用 StrCmpNI 比较字符传，可忽略大小写
103. //
104. if ( StrCmpNI( szProcName, pe.szExeFile, strlen( szProcName ) ) == 0 )
105. {
106. dwPid = pe.th32ProcessID;
107. bFound = TRUE;
108. break;
109. }
110. }
111. 
     
112. CloseHandle( hSP );
113. 
     
114. if ( bFound == TRUE )
115. {
116. return dwPid;
117. }
118. }
119. 
     
120. return NULL;
121. }
122. 
     
123. /////////////////////////////////////////////////////////////////
124. // 函数类型 :自定义工具函数
125. // 函数模块 :
126. ////////////////////////////////////////////////////////////////
127. // 功能 : 创建具有高权限的进程
128. // 注意 :
129. /////////////////////////////////////////////////////////////////
130. // 作者 : sinister
131. // 发布版本 : 1.00.00
132. // 发布日期 : 2006.2.09
133. /////////////////////////////////////////////////////////////////
134. // 重 大 修 改 历 史
135. ////////////////////////////////////////////////////////////////
136. // 修改者 :
137. // 修改日期 :
138. // 修改内容 :
139. /////////////////////////////////////////////////////////////////
140. 
     
141. BOOL
142. CreateSystemProcess( LPTSTR szProcessName )
143. {
144. HANDLE hProcess;
145. HANDLE hToken, hNewToken;
146. DWORD dwPid;
147. 
     
148. PACL pOldDAcl = NULL;
149. PACL pNewDAcl = NULL;
150. BOOL bDAcl;
151. BOOL bDefDAcl;
152. DWORD dwRet;
153. 
     
154. PACL pSacl = NULL;
155. PSID pSidOwner = NULL;
156. PSID pSidPrimary = NULL;
157. DWORD dwAclSize = 0;
158. DWORD dwSaclSize = 0;
159. DWORD dwSidOwnLen = 0;
160. DWORD dwSidPrimLen = 0;
161. 
     
162. DWORD dwSDLen;
163. EXPLICIT_ACCESS ea;
164. PSECURITY_DESCRIPTOR pOrigSd = NULL;
165. PSECURITY_DESCRIPTOR pNewSd = NULL;
166. 
     
167. STARTUPINFO si;
168. PROCESS_INFORMATION pi;
169. 
     
170. BOOL bError;
171. 
     
172. if ( !EnableDebugPriv( “SeDebugPrivilege” ) )
173. {
174. printf( “EnableDebugPriv() to failed!\n” );
175. 
     
176. bError = TRUE;
177. goto Cleanup;
178. }
179. 
     
180. //
181. // 选择 WINLOGON 进程
182. //
183. if ( ( dwPid = GetProcessId( “WINLOGON.EXE” ) ) == NULL )
184. {
185. printf( “GetProcessId() to failed!\n” );
186. 
     
187. bError = TRUE;
188. goto Cleanup;
189. }
190. 
     
191. hProcess = OpenProcess( PROCESS_QUERY_INFORMATION, FALSE, dwPid );
192. if ( hProcess == NULL )
193. {
194. printf( “OpenProcess() = %d\n”, GetLastError() );
195. 
     
196. bError = TRUE;
197. goto Cleanup;
198. }
199. 
     
200. if ( !OpenProcessToken( hProcess, READ_CONTROL | WRITE_DAC, &hToken ) )
201. {
202. printf( “OpenProcessToken() = %d\n”, GetLastError() );
203. 
     
204. bError = TRUE;
205. goto Cleanup;
206. }
207. 
     
208. //
209. // 设置 ACE 具有所有访问权限
210. //
211. ZeroMemory( &ea, sizeof( EXPLICIT_ACCESS ) );
212. BuildExplicitAccessWithName( &ea,
213. “Everyone”,
214. TOKEN_ALL_ACCESS,
215. GRANT_ACCESS,
216. 0 );
217. 
     
218. if ( !GetKernelObjectSecurity( hToken,
219. DACL_SECURITY_INFORMATION,
220. pOrigSd,
221. 0,
222. &dwSDLen ) )
223. {
224. //
225. // 第一次调用给出的参数肯定返回这个错误，这样做的目的是
226. // 为了得到原安全描述符 pOrigSd 的长度
227. //
228. if ( GetLastError() == ERROR_INSUFFICIENT_BUFFER )
229. {
230. pOrigSd = ( PSECURITY_DESCRIPTOR ) HeapAlloc( GetProcessHeap(),
231. HEAP_ZERO_MEMORY,
232. dwSDLen );
233. if ( pOrigSd == NULL )
234. {
235. printf( “Allocate pSd memory to failed!\n” );
236. 
     
237. bError = TRUE;
238. goto Cleanup;
239. }
240. 
     
241. //
242. // 再次调用才正确得到安全描述符 pOrigSd
243. //
244. if ( !GetKernelObjectSecurity( hToken,
245. DACL_SECURITY_INFORMATION,
246. pOrigSd,
247. dwSDLen,
248. &dwSDLen ) )
249. {
250. printf( “GetKernelObjectSecurity() = %d\n”, GetLastError() );
251. bError = TRUE;
252. goto Cleanup;
253. }
254. }
255. else
256. {
257. printf( “GetKernelObjectSecurity() = %d\n”, GetLastError() );
258. bError = TRUE;
259. goto Cleanup;
260. }
261. }
262. 
     
263. //
264. // 得到原安全描述符的访问控制列表 ACL
265. //
266. if ( !GetSecurityDescriptorDacl( pOrigSd, &bDAcl, &pOldDAcl, &bDefDAcl ) )
267. {
268. printf( “GetSecurityDescriptorDacl() = %d\n”, GetLastError() );
269. 
     
270. bError = TRUE;
271. goto Cleanup;
272. }
273. 
     
274. //
275. // 生成新 ACE 权限的访问控制列表 ACL
276. //
277. dwRet = SetEntriesInAcl( 1, &ea, pOldDAcl, &pNewDAcl );
278. if ( dwRet != ERROR_SUCCESS )
279. {
280. printf( “SetEntriesInAcl() = %d\n”, GetLastError() );
281. pNewDAcl = NULL;
282. 
     
283. bError = TRUE;
284. goto Cleanup;
285. }
286. 
     
287. if ( !MakeAbsoluteSD( pOrigSd,
288. pNewSd,
289. &dwSDLen,
290. pOldDAcl,
291. &dwAclSize,
292. pSacl,
293. &dwSaclSize,
294. pSidOwner,
295. &dwSidOwnLen,
296. pSidPrimary,
297. &dwSidPrimLen ) )
298. {
299. //
300. // 第一次调用给出的参数肯定返回这个错误，这样做的目的是
301. // 为了创建新的安全描述符 pNewSd 而得到各项的长度
302. //
303. if ( GetLastError() == ERROR_INSUFFICIENT_BUFFER )
304. {
305. pOldDAcl = ( PACL ) HeapAlloc( GetProcessHeap(),
306. HEAP_ZERO_MEMORY,
307. dwAclSize );
308. pSacl = ( PACL ) HeapAlloc( GetProcessHeap(),
309. HEAP_ZERO_MEMORY,
310. dwSaclSize );
311. pSidOwner = ( PSID ) HeapAlloc( GetProcessHeap(),
312. HEAP_ZERO_MEMORY,
313. dwSidOwnLen );
314. pSidPrimary = ( PSID ) HeapAlloc( GetProcessHeap(),
315. HEAP_ZERO_MEMORY,
316. dwSidPrimLen );
317. pNewSd = ( PSECURITY_DESCRIPTOR ) HeapAlloc( GetProcessHeap(),
318. HEAP_ZERO_MEMORY,
319. dwSDLen );
320. 
     
321. if ( pOldDAcl == NULL ||
322. pSacl == NULL ||
323. pSidOwner == NULL ||
324. pSidPrimary == NULL ||
325. pNewSd == NULL )
326. {
327. printf( “Allocate SID or ACL to failed!\n” );
328. 
     
329. bError = TRUE;
330. goto Cleanup;
331. }
332. 
     
333. //
334. // 再次调用才可以成功创建新的安全描述符 pNewSd
335. // 但新的安全描述符仍然是原访问控制列表 ACL
336. //
337. if ( !MakeAbsoluteSD( pOrigSd,
338. pNewSd,
339. &dwSDLen,
340. pOldDAcl,
341. &dwAclSize,
342. pSacl,
343. &dwSaclSize,
344. pSidOwner,
345. &dwSidOwnLen,
346. pSidPrimary,
347. &dwSidPrimLen ) )
348. {
349. printf( “MakeAbsoluteSD() = %d\n”, GetLastError() );
350. 
     
351. bError = TRUE;
352. goto Cleanup;
353. }
354. }
355. else
356. {
357. printf( “MakeAbsoluteSD() = %d\n”, GetLastError() );
358. 
     
359. bError = TRUE;
360. goto Cleanup;
361. }
362. }
363. 
     
364. //
365. // 将具有所有访问权限的访问控制列表 pNewDAcl 加入到新的
366. // 安全描述符 pNewSd 中
367. //
368. if ( !SetSecurityDescriptorDacl( pNewSd, bDAcl, pNewDAcl, bDefDAcl ) )
369. {
370. printf( “SetSecurityDescriptorDacl() = %d\n”, GetLastError() );
371. 
     
372. bError = TRUE;
373. goto Cleanup;
374. }
375. 
     
376. //
377. // 将新的安全描述符加到 TOKEN 中
378. //
379. if ( !SetKernelObjectSecurity( hToken, DACL_SECURITY_INFORMATION, pNewSd ) )
380. {
381. printf( “SetKernelObjectSecurity() = %d\n”, GetLastError() );
382. 
     
383. bError = TRUE;
384. goto Cleanup;
385. }
386. 
     
387. //
388. // 再次打开 WINLOGON 进程的 TOKEN，这时已经具有所有访问权限
389. //
390. if ( !OpenProcessToken( hProcess, TOKEN_ALL_ACCESS, &hToken ) )
391. {
392. printf( “OpenProcessToken() = %d\n”, GetLastError() );
393. 
     
394. bError = TRUE;
395. goto Cleanup;
396. }
397. 
     
398. //
399. // 复制一份具有相同访问权限的 TOKEN
400. //
401. if ( !DuplicateTokenEx( hToken,
402. TOKEN_ALL_ACCESS,
403. NULL,
404. SecurityImpersonation,
405. TokenPrimary,
406. &hNewToken ) )
407. {
408. printf( “DuplicateTokenEx() = %d\n”, GetLastError() );
409. 
     
410. bError = TRUE;
411. goto Cleanup;
412. }
413. 
     
414. 
     
415. ZeroMemory( &si, sizeof( STARTUPINFO ) );
416. si.cb = sizeof( STARTUPINFO );
417. 
     
418. //
419. // 不虚拟登陆用户的话，创建新进程会提示
420. // 1314 客户没有所需的特权错误
421. //
422. ImpersonateLoggedOnUser( hNewToken );
423. 
     
424. 
     
425. //
426. // 我们仅仅是需要建立高权限进程，不用切换用户
427. // 所以也无需设置相关桌面，有了新 TOKEN 足够
428. //
429. 
     
430. 
     
431. //
432. // 利用具有所有权限的 TOKEN，创建高权限进程
433. //
434. if ( !CreateProcessAsUser( hNewToken,
435. NULL,
436. szProcessName,
437. NULL,
438. NULL,
439. FALSE,
440. NULL, //NORMAL_PRIORITY_CLASS | CREATE_NEW_CONSOLE,
441. NULL,
442. NULL,
443. &si,
444. π ) )
445. {
446. printf( “CreateProcessAsUser() = %d\n”, GetLastError() );
447. 
     
448. bError = TRUE;
449. goto Cleanup;
450. }
451. 
     
452. bError = FALSE;
453. 
     
454. Cleanup:
455. if ( pOrigSd )
456. {
457. HeapFree( GetProcessHeap(), 0, pOrigSd );
458. }
459. if ( pNewSd )
460. {
461. HeapFree( GetProcessHeap(), 0, pNewSd );
462. }
463. if ( pSidPrimary )
464. {
465. HeapFree( GetProcessHeap(), 0, pSidPrimary );
466. }
467. if ( pSidOwner )
468. {
469. HeapFree( GetProcessHeap(), 0, pSidOwner );
470. }
471. if ( pSacl )
472. {
473. HeapFree( GetProcessHeap(), 0, pSacl );
474. }
475. if ( pOldDAcl )
476. {
477. HeapFree( GetProcessHeap(), 0, pOldDAcl );
478. }
479. 
     
480. CloseHandle( pi.hProcess );
481. CloseHandle( pi.hThread );
482. CloseHandle( hToken );
483. CloseHandle( hNewToken );
484. CloseHandle( hProcess );
485. 
     
486. if ( bError )
487. {
488. return FALSE;
489. }
490. 
     
491. return TRUE;
492. }
493. 
     
494. 
     
495. void
496. main( int argc, char** argv )
497. {
498. if ( argc < 2 )
499. {
500. printf( “Usage: wssrun \n” );
501. return ;
502. }
503. 
     
504. if ( CreateSystemProcess( argv[1] ) == FALSE )
505. {
506. printf( “wssrun: CreateSystemProcess() to failed!\n” );
507. return ;
508. }
509. }