-
-
抛一个很有意思的问题，关于OpenThreadToken
-
发表于: 2016-3-18 14:11
-
最近在学习逆向，碰见有个程序，想要调用OpenThreadToken函数获得当前线程权限。
[ebp+0Ch] = GetCurrentThread()
.text:1002EC16 50 push eax ; TokenHandle
.text:1002EC17 33 F6 xor esi, esi
.text:1002EC19 46 inc esi
.text:1002EC1A 56 push esi ; OpenAsSelf
.text:1002EC1B 6A 08 push 8 ; DesiredAccess
.text:1002EC1D FF 75 0C push dword ptr [ebp+0Ch] ; ThreadHandle
.text:1002EC20 FF 15 14 50 05+ call ds:OpenThreadToken
返回值是0，调用GetlastError(),获得的错误码是 1008:试图引用不存在的令牌。
然后它一直想要通过这种方式获得当前线程的Token。
我很好奇为什么它一直不成功，就自己写程序试了一试。(请不要在意没有初始化变量
)
int _tmain(int argc, _TCHAR* argv[])
{
HANDLE hThread;
HANDLE hToken;
BOOL bSuccess;
DWORD ThreadID;
hThread = GetCurrentThread();
cout << "CurrentThread:"<<hThread << endl;
bSuccess = OpenThreadToken(hThread, TOKEN_QUERY, TRUE, &hToken);
cout << bSuccess << endl;
if (bSuccess)
{
cout << hToken << endl;
}
else
{
cout << GetLastError() << endl;
}
return 0;
}
返回值相同，也是同样的错误码，我调用OpenProcessToken(),是成功的。
那会不会是GetCurrentThread获得的伪句柄没有Query权限，所以不成功，于是我进行了下面的尝试(不要在意没有对返回值进行校验)：
DWORD WINAPI ThreadProc(LPVOID lpParam);
int _tmain(int argc, _TCHAR* argv[])
{
HANDLE hThread;
HANDLE hToken;
BOOL bSuccess;
DWORD ThreadID;
HANDLE ThreadTemp;
ThreadTemp = CreateThread(NULL, 0, ThreadProc, 0, 0, &ThreadID);
Sleep(10);
hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, ThreadID);
cout << "CurrentThread:"<<hThread << endl;
bSuccess = OpenThreadToken(hThread, TOKEN_QUERY, TRUE, &hToken);
cout << bSuccess << endl;
if (bSuccess)
{
cout << hToken << endl;
}
else
{
cout << GetLastError() << endl;
}
return 0;
}
DWORD WINAPI ThreadProc(LPVOID lpParam)
{
cout << "dfdas" <<endl;
Sleep(10000000);
return 0;
}
结果还是一样，我有点蒙....有没有大牛过来指导一下...
环境是：windows xp(没有sp),windows sp2 windows 7 x32 windows 10 x64,windows7 windows10 的UAC都关了,不过应该是没关系的吧~
[ebp+0Ch] = GetCurrentThread()
.text:1002EC16 50 push eax ; TokenHandle
.text:1002EC17 33 F6 xor esi, esi
.text:1002EC19 46 inc esi
.text:1002EC1A 56 push esi ; OpenAsSelf
.text:1002EC1B 6A 08 push 8 ; DesiredAccess
.text:1002EC1D FF 75 0C push dword ptr [ebp+0Ch] ; ThreadHandle
.text:1002EC20 FF 15 14 50 05+ call ds:OpenThreadToken
返回值是0，调用GetlastError(),获得的错误码是 1008:试图引用不存在的令牌。
然后它一直想要通过这种方式获得当前线程的Token。
我很好奇为什么它一直不成功，就自己写程序试了一试。(请不要在意没有初始化变量
)int _tmain(int argc, _TCHAR* argv[])
{
HANDLE hThread;
HANDLE hToken;
BOOL bSuccess;
DWORD ThreadID;
hThread = GetCurrentThread();
cout << "CurrentThread:"<<hThread << endl;
bSuccess = OpenThreadToken(hThread, TOKEN_QUERY, TRUE, &hToken);
cout << bSuccess << endl;
if (bSuccess)
{
cout << hToken << endl;
}
else
{
cout << GetLastError() << endl;
}
return 0;
}
返回值相同，也是同样的错误码，我调用OpenProcessToken(),是成功的。
那会不会是GetCurrentThread获得的伪句柄没有Query权限，所以不成功，于是我进行了下面的尝试(不要在意没有对返回值进行校验
)：DWORD WINAPI ThreadProc(LPVOID lpParam);
int _tmain(int argc, _TCHAR* argv[])
{
HANDLE hThread;
HANDLE hToken;
BOOL bSuccess;
DWORD ThreadID;
HANDLE ThreadTemp;
ThreadTemp = CreateThread(NULL, 0, ThreadProc, 0, 0, &ThreadID);
Sleep(10);
hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, ThreadID);
cout << "CurrentThread:"<<hThread << endl;
bSuccess = OpenThreadToken(hThread, TOKEN_QUERY, TRUE, &hToken);
cout << bSuccess << endl;
if (bSuccess)
{
cout << hToken << endl;
}
else
{
cout << GetLastError() << endl;
}
return 0;
}
DWORD WINAPI ThreadProc(LPVOID lpParam)
{
cout << "dfdas" <<endl;
Sleep(10000000);
return 0;
}
结果还是一样，我有点蒙....有没有大牛过来指导一下...
环境是：windows xp(没有sp),windows sp2 windows 7 x32 windows 10 x64,windows7 windows10 的UAC都关了,不过应该是没关系的吧~
|
|
|---|---|
|
|
|
|
|
|
|
|
嗯，可以的，再补充一些，要是在主线程里面起一个A线程，然后在主线程中OpenThread获得A线程句柄，查询A线程的Token的话，就需要在A线程里面调用这个函数，而主线程不需要。
现在有个疑惑，为什么需要这样做....  再具体一点就是线程为什么不能像进程那样可以直接获取Token，是因为CPU优先级的问题么？ 能解释一下么？ 谢谢了~ 
|
|
|
其实我也不太懂，不过根据http://stackoverflow.com/questions/26107470/openthreadtoken-error-1008-error-no-token以及ImpersonateSelf的相关说明，大概意思可以认为每个线程只有自己的token，想要获得其它线程的token必须调用ImpersonateSelf函数冒充call进程的安全上下文环境（security context）获得一个访问令牌。具体细节ImpersonateSelf函数有说明;这是来自google groups对这个函数的讨论。OpenThreadToken fail
其实我是半灌水啊。
|
|
|
能帮忙解决问题那就不叫灌水啊~谢谢了~等下我把ntosknl.exe的汇编贴出来..我想我找到一些原因了
|
|
|
loc_49695E: ; CODE XREF: NtOpenThreadTokenEx+3Bj PAGE:0049695E lea eax, [ebp+var_28] PAGE:00496961 push eax ; int PAGE:00496962 lea eax, [ebp+var_2C] PAGE:00496965 push eax ; int PAGE:00496966 lea eax, [ebp+var_19] PAGE:00496969 push eax ; int PAGE:0049696A lea eax, [ebp+var_38] PAGE:0049696D push eax ; int PAGE:0049696E lea eax, [ebp+var_34] PAGE:00496971 push eax ; int PAGE:00496972 push [ebp+arg_8] ; int PAGE:00496975 push [ebp+Handle] ; Handle PAGE:00496978 call sub_49688F ; 完成功能的函数 PAGE:0049697D cmp eax, ebx PAGE:0049697F jge loc_4A211D mov [ebp+AccessMode], al PAGE:004968A6 xor ebx, ebx PAGE:004968A8 push ebx ; HandleInformation PAGE:004968A9 lea eax, [ebp+Handle] PAGE:004968AC push eax ; Object PAGE:004968AD push dword ptr [ebp+AccessMode] ; AccessMode PAGE:004968B0 push PsThreadType ; ObjectType PAGE:004968B6 push 40h ; DesiredAccess PAGE:004968B8 push [ebp+Handle] ; Handle PAGE:004968BB call ObReferenceObjectByHandle ; 对线程句柄引用一次 PAGE:004968C0 cmp eax, ebx PAGE:004968C2 mov ecx, [ebp+Handle] PAGE:004968C5 mov esi, [ebp+arg_C] PAGE:004968C8 mov [esi], ecx PAGE:004968CA jl short loc_4968F8 PAGE:004968CC push edi PAGE:004968CD push [ebp+arg_18] ; ImpersonationLevel PAGE:004968D0 push [ebp+arg_14] ; PBOOLEAN EffectiveOnly PAGE:004968D3 push [ebp+arg_10] ; PBOOLEAN CopyOnOpen PAGE:004968D6 push ecx ; hThread PAGE:004968D7 call PsReferenceImpersonationToken ; 关键函数，这里就是获取线程Token的函数 PAGE:004968DC cmp eax, ebx ; ebx=0 PAGE:004968DE mov edi, [ebp+arg_8] PAGE:004968E1 mov [edi], eax PAGE:004968E3 jnz loc_4A2268 ; 这里跳走 到PsReferenceImpersonationToken 函数这里，可以看到ImpersonationLevel参数被传了进去，是个指针。进入这个函数，我挑出来赋值的一段： test byte ptr [ebx+248h], 8 PAGE:004A19B3 mov esi, [ebx+20Ch] PAGE:004A19B9 jz short loc_4A1A22 PAGE:004A19BB mov ecx, [esi] PAGE:004A19BD mov [ebp+arg_0], ecx PAGE:004A19C0 call ObfReferenceObject PAGE:004A19C5 mov eax, [esi+8] PAGE:004A19C8 mov ecx, [ebp+arg_C] PAGE:004A19CB mov [ecx], eax PAGE:004A19CD mov al, [esi+4] PAGE:004A19D0 mov ecx, [ebp+arg_4] PAGE:004A19D3 mov [ecx], al PAGE:004A19D5 mov al, [esi+5] PAGE:004A19D8 mov ecx, [ebp+arg_8] PAGE:004A19DB mov [ecx], al PAGE:004A19DD PAGE:004A19DD loc_4A19DD: ; CODE XREF: PsReferenceImpersonationToken+14F41j PAGE:004A19DD mov ebx, [ebp+var_C] PAGE:004A19E0 mov esi, [ebx] PAGE:004A19E2 and esi, 0FFFFFFFEh PAGE:004A19E5 lea eax, [esi-4] PAGE:004A19E8 mov [ebp+arg_4], ebx ;CopyOnOpen PAGE:004A19EB mov [ebp+arg_8], esi ;EffectiveOnly PAGE:004A19EE mov [ebp+arg_C], eax ;ImpersonationLevel PAGE:004A19F1 mov eax, [ebp+arg_8] PAGE:004A19F4 mov ecx, [ebp+arg_4] PAGE:004A19F7 mov edx, [ebp+arg_C] 这里找到了ImpersonationLevel 这个值的出处 贴上MSDN PsReferenceImpersonationToken returns a pointer to the impersonation token for the given thread. If the thread is not currently impersonating a client, a NULL pointer is returned. 如果说ImpersonationLevel 这个值小于等于SecurityAnonymous等级的话，就直接返回空。从A线程打开B线程的Token时，就是这个SecurityAnonymous等级，所以每次都返回空...
|
|
|
|
|
|
|
|
|
|
