-
-
[原创]去一个小广告
-
发表于: 2018-9-5 04:22
-
0x1:
在Store里面找到一个看书的软件
打开后发现右边一直有个广告。
找到对应的进程WWAHost.exe和其挂载的应用目录
调试器挂上去调试了一下，发现它就是个嵌着网页的东西。于是就跑到这个应用的目录下面
果然发现了一些HTML的文件，里面还有醒目的广告层，意思是让我赶快去掉。
Program Files\WindowsApps是你装的UWP应用。既然找到了要修改的文件，那改完就完事了。删掉ad-viewer的div，保存后提示
0x2:
一开始我以为只是简单的文件夹权限问题，于是把文件夹的所有者改为了我的当前用户，再把当前用户的权限设为完全控制，不过仍然是失败的
那么问题出在哪里呢，简单测试一下,看看是什么情况,用PsExec拉起system权限的cmd
报错
为什么系统正常的进程可以打开，而我们的进程不能打开呢。
于是我怀疑系统在minifilter上做了过滤，先随便找一个Create pre的回调
看下其调用栈
我们就知道了minifilter的irp_mj_create prefunc是由
FLTMGR!FltpPerformPreCallbacks负责调用的，看一下它对应的代码
在这里做一个HOOK，调用回调后检测它设否设置了STATUS_ACCESS_DENIED.
mov rax, qword ptr [rdi+18h] 我们在这里做一个HOOK
mov rax, qword ptr [rdi+18h] 我们在这里做一个HOOK
在执行每个回调后，我们输出一下回调设置的状态值，然而可以看到，每个回调都设置的是STATUS_SUCCESS
可是cmd仍然返回拒绝访问。并不是minifilter中所过滤的。那会不会是我们的打开方式不对呢。
先看下在安装软件的时候，是谁写入的文件
AppXSvc是一个服务，我们可以手动运行命令来控制
net start AppXSvc
net stop AppXSvc
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Pe可以访问吗？ |
|
|
|
|
|
|
|
|
|
|
|
|
wx_aomo
