首页
社区
课程
招聘
[求助]远程注入Lsass.exe失败的问题?
发表于: 2010-6-27 14:51 10538

[求助]远程注入Lsass.exe失败的问题?

2010-6-27 14:51
10538
我有个远程注入Lsass.exe的程序,以前是成功的,现在在WriteProcessMemory时提示:拒绝访问。提升了本进程SE_DEBUG_NAME权限,甚至提升了system32权限。部分代码如下:
        //暂定线程体大小为4K
        const   DWORD THREADSIZE=1024*10;
        HANDLE lsasshWnd=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,
                FALSE,
                GetLsassPID());                                                        //进程ID
        if(lsasshWnd==NULL)
        {
                printf("打开进程错%d:%s\n",GetLastError(),GetErrorCode(GetLastError()));
                return;
        }
        DWORD        ReAddr = NULL;
        //为远程线程执行体分配内存
        void * ThreadAddr=::VirtualAllocEx(lsasshWnd,
                0,
                THREADSIZE,
                MEM_COMMIT|MEM_RESERVE,
                PAGE_EXECUTE_READWRITE);
        if(ThreadAddr==NULL)
        {
                printf("分配远程进程内存失败%d:%s\n",GetLastError(),GetErrorCode(GetLastError()));
                return;
        }
        printf("远程线程地址:%08X\n",ThreadAddr);
        DWORD        dwOldProtect = 0;
        if(!::VirtualProtectEx(lsasshWnd,ThreadAddr,1024*10,PAGE_EXECUTE_READWRITE,&dwOldProtect))
        {
                printf("VirtualProtectEx失败:d:%s","出错了",GetLastError(),GetErrorCode(GetLastError()));
                return;
        }
        //写线程执行体到远程进程
        if(!::WriteProcessMemory(lsasshWnd,ThreadAddr,&ThreadProc,THREADSIZE,0))
        {
                printf("写远程进程%08X错%d:%s\n",ThreadAddr,GetLastError(),GetErrorCode(GetLastError()));
                return;
        }
就在这出错了,以前是成功的,是不是XP升级到SP3的原因?这段代码是根据pwdump3还是4写的,忘了。现在LC5也不能注入成功,怎么解决?

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (15)
雪    币: 145
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
你先试一下别的进程看能不能成功比如explorer.exe,
2010-6-27 19:17
0
雪    币: 246
活跃值: (86)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
3
在explorer.exe中是成功的!
2010-6-27 22:18
0
雪    币: 419
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
360 搞鬼
2010-6-28 03:50
0
雪    币: 290
活跃值: (20)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
5
WriteProcessMemory前不需要VirtualProtectEx在WriteProcessMemory内部已经自己实现了
2010-6-28 09:43
0
雪    币: 145
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
也许是360进行了进程保护
2010-6-28 11:21
0
雪    币: 796
活跃值: (370)
能力值: ( LV9,RANK:380 )
在线值:
发帖
回帖
粉丝
7
提权了没?
2010-6-28 16:12
0
雪    币: 112
活跃值: (48)
能力值: ( LV9,RANK:320 )
在线值:
发帖
回帖
粉丝
8
提到TCB特权
2010-6-28 17:10
0
雪    币: 246
活跃值: (86)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
9
还真是360的原因,删除360就可以了。可惜装不起softice,不然可以看是在哪被过滤的.
2010-6-28 22:14
0
雪    币: 324
活跃值: (113)
能力值: ( LV15,RANK:280 )
在线值:
发帖
回帖
粉丝
10
真是厉害,高手,360搞事都能看得出来。学习。
2010-7-14 22:32
0
雪    币: 220
活跃值: (711)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
装了360,就别想干净的测试了。
2010-7-14 23:20
0
雪    币: 0
活跃值: (954)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
12
提升进程为DEBUG权限。
2010-7-17 22:00
0
雪    币: 367
活跃值: (20)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
13
第一次听到这说法
2010-7-20 09:55
0
雪    币: 367
活跃值: (20)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
14
用driver,请查阅 KeStackAttachProcess
2010-7-20 09:56
0
雪    币: 7
活跃值: (333)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
15
权限问题。

找找网上关于提高进程权限的办法。
2010-7-20 20:35
0
雪    币: 132
活跃值: (30)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
16
KeAttachProcess
2010-10-27 14:08
0
游客
登录 | 注册 方可回帖
返回
//