首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[讨论]今天发现一个有趣问题！win 10 x64的
发表于: 2016-4-16 18:26 4585

[讨论]今天发现一个有趣问题！win 10 x64的

化魔 活跃值
2016-4-16 18:26
4585
win 10 x64 系统  administrator登陆系统   管理员权限运行程序注入64位DLL到explorer.exe成功！HOOK CreateProcessInternalW 来监视进程创建，下面重点来了，桌面双击程序，HOOK成功！监视到进程创建，弹出MessageBox; 桌面右键管理员权限运行程序，HOOK失败！程序直接运行成功,没有弹出MessageBox。
不明所以啊！望大牛指点小弟一二。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (10)
火勺
雪    币： 96
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
我猜是启动过程变了
2016-4-16 20:24
0
化魔
雪    币： 49
活跃值： (261)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
这是什么原因呢？给个提示也行啊。。。
2016-4-18 07:31
0
wowocock
雪    币： 405
活跃值： (2230)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
用processexplorer 看下父进程，可能SVCHOST之类的。
2016-4-18 17:33
0
轩辕之风
雪    币： 2291
活跃值： (938)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
5 楼
楼主WIN10build版本号是多少？我这10586没有你说的这个现象
2016-4-18 18:23
0
yezhulove
雪    币： 1787
活跃值： (340)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
6 楼
就应该是这样子的吧。explorer 本身就不会有admin令牌，所以他的子进程也不可能会有admin令牌。右键管理员运行，应该是走的RPC，不会是explorer 创建进程。。猜测的。  详细的你可以用procmon监控进程创建看看，谁是父进程。
2016-4-18 18:47
0
raincrack
雪    币： 26
活跃值： (61)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
CreateProcessInternalW  ?
CreateProcessInternalAsUserW?
2016-4-18 22:59
0
化魔
雪    币： 49
活跃值： (261)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
看了一下 父进程还是explorer.exe
2016-4-19 07:12
0
化魔
雪    币： 49
活跃值： (261)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
我 hook  CreateProcessInternalW  函数
你说的 CreateProcessInternalAsUserW函数原型是什么啊  。。。。
2016-4-19 07:15
0
kman
雪    币： 155
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
启动他进程是svchost，只不过被改了而已。
2016-4-19 09:11
0
shilyx
雪    币： 209
活跃值： (143)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
打开procexp，看看右击管理员启动的程序的父进程是哪个就明白了。
2016-4-19 09:24
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//