搜索僵尸进程！

不知道LS是什么意思？

能不能说的明白点，本人技术有限。

不知道，有那位好心的大大给个解决方案呢？

制造一个僵尸进程

+0x078 DesktopInfo      : _UNICODE_STRING "WinSta0\Default"

OpenDesktop, Then SwitchDesktop ,just try~~

用此进程创建的进程还是一个的权限啊。一样不能显示有窗口的进程啊。

谢谢LS的大牛，我去找下例子，测试一下。有成果了再回来向大牛报告下。

How to create it??

教主大神，我对你给的这个信息我在网上找了一些资料，发现这是一个用来选择桌面的，不知道和让我的程序在注入到系统进程显示界面有什么直接的关系，小弟不材。不吝指教。

哪位大神出来 帮帮忙啊

以前曾弄过一个注入到系统进程然后枚举可见窗口的程序，结果老是枚举不到~
后来某位大大告诉我说是桌面环境不一样，就是default和winlogon这两个环境，系统进程在winlogon这个桌面环境中，平时我们所用到的一般程序，比如说explorer之类都在default~

所以你注入系统进程后要显示窗口肯定要更改桌面环境了，把winlogon改为default就行了~要不然显示的窗口在winlogon这里面你也看不到啊~
具体代理就是上面那位大大的OpenDesktop........

和交互桌面不在同一个WindowStation
Vista以上甚至不在同一个Session

哎，只能说是自己太菜了。谢谢 楼上两位。更谢谢教主大神，给出了结果，我却看不懂。

羞煞我也。

http://www.wangchao.net.cn/bbsdetail_215896.html 看看这个，可交互的系统服务其实和你这个要求差不多

谢谢教主大神。

但我还是没能成功，真是可怜啊，我注入到winlogon后，调用的
SwitchDesktop OpenDesktop
然后用CreatePrcess创建的进程（notepad），STARTUPINFO 中lpDesktop也设置成了Default。
        call @F
        db "Default",0
@@:
        pop ecx
        mov sui.lpDesktop,ecx
        @fcall [ebx+OpenDesktop],ecx,0,TRUE,MAXIMUM_ALLOWED
        push eax
        @fcall [ebx+SetThreadDesktop],eax
        pop eax
        @fcall [ebx+SwitchDesktop],eax
        @fcall [ebx+CreateProcess],_pszFileName,0,0,0,TRUE,04000000h or CREATE_SEPARATE_WOW_VDM,NULL,NULL,addr sui,addr pi
所有的返回值都正确的。。。但就是没能出界面。。。
神啊，救救我吧。
创建的进程还是没有界面。哎。不会是人品问题吧。。。

哪位大神帮帮忙啊

进程创建成功了？那你没观察一下它PEB中我提到的字段和Explorer桌面进程有何不同？我也没写过这样的程序，可能还有WorkStation的问题

学习之  
有个很菜的问题
插入到远程进程中是用ollgdbug  或 WinDbug调吗

进程创建成功了.只是没有界面.这个看PEB怎么看,不知道,我下了int 3 断点,用的OD调的.

call @F
        db "winsta0",0
@@:
        pop ecx
        @fcall [ebx+OpenWindowStation],ecx,FALSE,WINSTA_ACCESSCLIPBOARD or WINSTA_ACCESSGLOBALATOMS or WINSTA_CREATEDESKTOP or WINSTA_ENUMDESKTOPS or WINSTA_ENUMERATE or WINSTA_EXITWINDOWS or WINSTA_READATTRIBUTES or WINSTA_READSCREEN or WINSTA_WRITEATTRIBUTES
        @fcall [ebx+SetProcessWindowStation],eax
        call @F
        db "Default",0
@@:
        pop ecx
        mov sui.lpDesktop,ecx
        @fcall [ebx+OpenDesktop],ecx,0,TRUE,MAXIMUM_ALLOWED
        push eax
        @fcall [ebx+SetThreadDesktop],eax
        pop eax
        @fcall [ebx+SwitchDesktop],eax
        @fcall [ebx+CreateProcess],_pszFileName,0,0,0,TRUE,04000000h or CREATE_SEPARATE_WOW_VDM,NULL,NULL,addr sui,addr pi

是这样加吗?我又加上了一句.也是返回值都是成功.还是没出界面.哎...

一般是用windbg，用OD也可以，只是你得知道PEB中那些项的偏移，麻烦点而已~

Explorer的PEB
kd> dt _peb 0x7ffde000 -r
ntdll!_PEB
   +0x000 InheritedAddressSpace : 0 ''
   +0x001 ReadImageFileExecOptions : 0 ''
   +0x002 BeingDebugged    : 0 ''
   +0x003 SpareBool        : 0 ''
   +0x004 Mutant           : 0xffffffff
   +0x008 ImageBaseAddress : 0x01000000
   +0x00c Ldr              : 0x00191e90 _PEB_LDR_DATA
      +0x000 Length           : 0x28
      +0x004 Initialized      : 0x1 ''
      +0x008 SsHandle         : (null)
      +0x00c InLoadOrderModuleList : _LIST_ENTRY [ 0x191ec0 - 0x194ca0 ]
         +0x000 Flink            : 0x00191ec0 _LIST_ENTRY [ 0x191f18 - 0x191e9c ]
         +0x004 Blink            : 0x00194ca0 _LIST_ENTRY [ 0x191e9c - 0x194bf8 ]
      +0x014 InMemoryOrderModuleList : _LIST_ENTRY [ 0x191ec8 - 0x194ca8 ]
         +0x000 Flink            : 0x00191ec8 _LIST_ENTRY [ 0x191f20 - 0x191ea4 ]
         +0x004 Blink            : 0x00194ca8 _LIST_ENTRY [ 0x191ea4 - 0x194c00 ]
      +0x01c InInitializationOrderModuleList : _LIST_ENTRY [ 0x191f28 - 0x194b60 ]
         +0x000 Flink            : 0x00191f28 _LIST_ENTRY [ 0x191fd0 - 0x191eac ]
         +0x004 Blink            : 0x00194b60 _LIST_ENTRY [ 0x191eac - 0x194c08 ]
      +0x024 EntryInProgress  : (null)
   +0x010 ProcessParameters : 0x00020000 _RTL_USER_PROCESS_PARAMETERS
      +0x000 MaximumLength    : 0xe4b8e4b7
      +0x004 Length           : 0xe4bae4b9
      +0x008 Flags            : 0xe4bce4bb
      +0x00c DebugFlags       : 0xe4bee4bd
      +0x010 ConsoleHandle    : 0xe4c0e4bf
      +0x014 ConsoleFlags     : 0xe4c2e4c1
      +0x018 StandardInput    : 0xe4c4e4c3
      +0x01c StandardOutput   : 0x003fe4c5
      +0x020 StandardError    : 0x00000004
      +0x024 CurrentDirectory : _CURDIR
         +0x000 DosPath          : _UNICODE_STRING ""
         +0x008 Handle           : 0x00060005
      +0x030 DllPath          : _UNICODE_STRING "瘀攀爀"
         +0x000 Length           : 7
         +0x002 MaximumLength    : 8
         +0x004 Buffer           : 0x000a0009  "瘀攀爀"
      +0x038 ImagePathName    : _UNICODE_STRING "Ā䐀???"
         +0x000 Length           : 0xb
         +0x002 MaximumLength    : 0xc
         +0x004 Buffer           : 0x000e000d  "Ā䐀???"
      +0x040 CommandLine      : _UNICODE_STRING "???"
         +0x000 Length           : 0xf
         +0x002 MaximumLength    : 0x10
         +0x004 Buffer           : 0x00120011  "???"
      +0x048 Environment      : 0x00140013
      +0x04c StartingX        : 0x160015
      +0x050 StartingY        : 0x180017
      +0x054 CountX           : 0x1a0019
      +0x058 CountY           : 0x1c001b
      +0x05c CountCharsX      : 0x1e001d
      +0x060 CountCharsY      : 0x20001f
      +0x064 FillAttribute    : 0x220021
      +0x068 WindowFlags      : 0x240023
      +0x06c ShowWindowFlags  : 0x260025
      +0x070 WindowTitle      : _UNICODE_STRING "ʒ툂ʋ???"
         +0x000 Length           : 0x27
         +0x002 MaximumLength    : 0x28
         +0x004 Buffer           : 0x002a0029  "ʒ툂ʋ???"
      +0x078 DesktopInfo      : _UNICODE_STRING "Ā???"
         +0x000 Length           : 0x2b
         +0x002 MaximumLength    : 0x2c
         +0x004 Buffer           : 0x002e002d  "Ā???"
      +0x080 ShellInfo        : _UNICODE_STRING ""
         +0x000 Length           : 0x2f
         +0x002 MaximumLength    : 0x30
         +0x004 Buffer           : 0x00320031  ""
      +0x088 RuntimeData      : _UNICODE_STRING ""
         +0x000 Length           : 0x33
         +0x002 MaximumLength    : 0x34
         +0x004 Buffer           : 0x00360035  ""
      +0x090 CurrentDirectores : [32] _RTL_DRIVE_LETTER_CURDIR
         +0x000 Flags            : 0x37
         +0x002 Length           : 0x38
         +0x004 TimeStamp        : 0x3a0039
         +0x008 DosPath          : _STRING ""
   +0x014 SubSystemData    : (null)
   +0x018 ProcessHeap      : 0x00090000
   +0x01c FastPebLock      : 0x7c99d600 _RTL_CRITICAL_SECTION
      +0x000 DebugInfo        : 0x7c99b500 _RTL_CRITICAL_SECTION_DEBUG
         +0x000 Type             : 0
         +0x002 CreatorBackTraceIndex : 0
         +0x004 CriticalSection  : 0x7c99d600 _RTL_CRITICAL_SECTION
         +0x008 ProcessLocksList : _LIST_ENTRY [ 0x7c99b528 - 0x7c99b1a8 ]
         +0x010 EntryCount       : 0
         +0x014 ContentionCount  : 0
         +0x018 Spare            : [2] 0
      +0x004 LockCount        : -1
      +0x008 RecursionCount   : 0
      +0x00c OwningThread     : (null)
      +0x010 LockSemaphore    : (null)
      +0x014 SpinCount        : 0
   +0x020 FastPebLockRoutine : 0x7c921000
   +0x024 FastPebUnlockRoutine : 0x7c9210e0
   +0x028 EnvironmentUpdateCount : 1
   +0x02c KernelCallbackTable : 0x77d12970
   +0x030 SystemReserved   : [1] 0
   +0x034 AtlThunkSListPtr32 : 0
   +0x038 FreeList         : (null)
   +0x03c TlsExpansionCounter : 0
   +0x040 TlsBitmap        : 0x7c99d5c0
   +0x044 TlsBitmapBits    : [2] 0x3fffffff
   +0x04c ReadOnlySharedMemoryBase : 0x7f6f0000
   +0x050 ReadOnlySharedMemoryHeap : 0x7f6f0000
   +0x054 ReadOnlyStaticServerData : 0x7f6f0688  -> (null)
   +0x058 AnsiCodePageData : 0x7ffa0000
   +0x05c OemCodePageData  : 0x7ffa0000
   +0x060 UnicodeCaseTableData : 0x7ffd1000
   +0x064 NumberOfProcessors : 1
   +0x068 NtGlobalFlag     : 0
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER 0xffffe86d`079b8000
      +0x000 LowPart          : 0x79b8000
      +0x004 HighPart         : -6035
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0x79b8000
         +0x004 HighPart         : -6035
      +0x000 QuadPart         : -25920000000000
   +0x078 HeapSegmentReserve : 0x100000
   +0x07c HeapSegmentCommit : 0x2000
   +0x080 HeapDeCommitTotalFreeThreshold : 0x10000
   +0x084 HeapDeCommitFreeBlockThreshold : 0x1000
   +0x088 NumberOfHeaps    : 0x11
   +0x08c MaximumNumberOfHeaps : 0x20
   +0x090 ProcessHeaps     : 0x001065d8  -> 0x00090000
   +0x094 GdiSharedHandleTable : 0x00480000
   +0x098 ProcessStarterHelper : (null)
   +0x09c GdiDCAttributeList : 0x14
   +0x0a0 LoaderLock       : 0x7c99b178
   +0x0a4 OSMajorVersion   : 5
   +0x0a8 OSMinorVersion   : 1
   +0x0ac OSBuildNumber    : 0xa28
   +0x0ae OSCSDVersion     : 0x300
   +0x0b0 OSPlatformId     : 2
   +0x0b4 ImageSubsystem   : 2
   +0x0b8 ImageSubsystemMajorVersion : 4
   +0x0bc ImageSubsystemMinorVersion : 0xa
   +0x0c0 ImageProcessAffinityMask : 0
   +0x0c4 GdiHandleBuffer  : [34] 0
   +0x14c PostProcessInitRoutine : (null)
   +0x150 TlsExpansionBitmap : 0x7c99d5b8
   +0x154 TlsExpansionBitmapBits : [32] 0
   +0x1d4 SessionId        : 0
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER 0x0
      +0x000 LowPart          : 0
      +0x004 HighPart         : 0
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0
         +0x004 HighPart         : 0
      +0x000 QuadPart         : 0
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER 0x0
      +0x000 LowPart          : 0
      +0x004 HighPart         : 0
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0
         +0x004 HighPart         : 0
      +0x000 QuadPart         : 0
   +0x1e8 pShimData        : (null)
   +0x1ec AppCompatInfo    : (null)
   +0x1f0 CSDVersion       : _UNICODE_STRING "Service Pack 3"
      +0x000 Length           : 0x1c
      +0x002 MaximumLength    : 0x1e
      +0x004 Buffer           : 0x7f6f06c2  "Service Pack 3"
   +0x1f8 ActivationContextData : (null)
   +0x1fc ProcessAssemblyStorageMap : (null)
   +0x200 SystemDefaultActivationContextData : 0x00080000
   +0x204 SystemAssemblyStorageMap : (null)
   +0x208 MinimumStackCommit : 0

winlogon的PEB
kd> dt _peb 0x7ffde000 -r
ntdll!_PEB
   +0x000 InheritedAddressSpace : 0 ''
   +0x001 ReadImageFileExecOptions : 0 ''
   +0x002 BeingDebugged    : 0 ''
   +0x003 SpareBool        : 0 ''
   +0x004 Mutant           : 0xffffffff
   +0x008 ImageBaseAddress : 0x01000000
   +0x00c Ldr              : 0x00171e90 _PEB_LDR_DATA
      +0x000 Length           : 0x28
      +0x004 Initialized      : 0x1 ''
      +0x008 SsHandle         : (null)
      +0x00c InLoadOrderModuleList : _LIST_ENTRY [ 0x171ec0 - 0x174788 ]
         +0x000 Flink            : 0x00171ec0 _LIST_ENTRY [ 0x171f18 - 0x171e9c ]
         +0x004 Blink            : 0x00174788 _LIST_ENTRY [ 0x171e9c - 0x1746e8 ]
      +0x014 InMemoryOrderModuleList : _LIST_ENTRY [ 0x171ec8 - 0x174790 ]
         +0x000 Flink            : 0x00171ec8 _LIST_ENTRY [ 0x171f20 - 0x171ea4 ]
         +0x004 Blink            : 0x00174790 _LIST_ENTRY [ 0x171ea4 - 0x1746f0 ]
      +0x01c InInitializationOrderModuleList : _LIST_ENTRY [ 0x171f28 - 0x174798 ]
         +0x000 Flink            : 0x00171f28 _LIST_ENTRY [ 0x171fd0 - 0x171eac ]
         +0x004 Blink            : 0x00174798 _LIST_ENTRY [ 0x171eac - 0x174658 ]
      +0x024 EntryInProgress  : (null)
   +0x010 ProcessParameters : 0x00020000 _RTL_USER_PROCESS_PARAMETERS
      +0x000 MaximumLength    : 0xe4b8e4b7
      +0x004 Length           : 0xe4bae4b9
      +0x008 Flags            : 0xe4bce4bb
      +0x00c DebugFlags       : 0xe4bee4bd
      +0x010 ConsoleHandle    : 0xe4c0e4bf
      +0x014 ConsoleFlags     : 0xe4c2e4c1
      +0x018 StandardInput    : 0xe4c4e4c3
      +0x01c StandardOutput   : 0x003fe4c5
      +0x020 StandardError    : 0x00000004
      +0x024 CurrentDirectory : _CURDIR
         +0x000 DosPath          : _UNICODE_STRING ""
         +0x008 Handle           : 0x00060005
      +0x030 DllPath          : _UNICODE_STRING "܀???"
         +0x000 Length           : 7
         +0x002 MaximumLength    : 8
         +0x004 Buffer           : 0x000a0009  "܀???"
      +0x038 ImagePathName    : _UNICODE_STRING "眀椀渀搀漀"
         +0x000 Length           : 0xb
         +0x002 MaximumLength    : 0xc
         +0x004 Buffer           : 0x000e000d  "眀椀渀搀漀"
      +0x040 CommandLine      : _UNICODE_STRING "???"
         +0x000 Length           : 0xf
         +0x002 MaximumLength    : 0x10
         +0x004 Buffer           : 0x00120011  "???"
      +0x048 Environment      : 0x00140013
      +0x04c StartingX        : 0x160015
      +0x050 StartingY        : 0x180017
      +0x054 CountX           : 0x1a0019
      +0x058 CountY           : 0x1c001b
      +0x05c CountCharsX      : 0x1e001d
      +0x060 CountCharsY      : 0x20001f
      +0x064 FillAttribute    : 0x220021
      +0x068 WindowFlags      : 0x240023
      +0x06c ShowWindowFlags  : 0x260025
      +0x070 WindowTitle      : _UNICODE_STRING ""
         +0x000 Length           : 0x27
         +0x002 MaximumLength    : 0x28
         +0x004 Buffer           : 0x002a0029  ""
      +0x078 DesktopInfo      : _UNICODE_STRING ""
         +0x000 Length           : 0x2b
         +0x002 MaximumLength    : 0x2c
         +0x004 Buffer           : 0x002e002d  ""
      +0x080 ShellInfo        : _UNICODE_STRING ""
         +0x000 Length           : 0x2f
         +0x002 MaximumLength    : 0x30
         +0x004 Buffer           : 0x00320031  ""
      +0x088 RuntimeData      : _UNICODE_STRING ""
         +0x000 Length           : 0x33
         +0x002 MaximumLength    : 0x34
         +0x004 Buffer           : 0x00360035  ""
      +0x090 CurrentDirectores : [32] _RTL_DRIVE_LETTER_CURDIR
         +0x000 Flags            : 0x37
         +0x002 Length           : 0x38
         +0x004 TimeStamp        : 0x3a0039
         +0x008 DosPath          : _STRING ""
   +0x014 SubSystemData    : (null)
   +0x018 ProcessHeap      : 0x00070000
   +0x01c FastPebLock      : 0x7c99d600 _RTL_CRITICAL_SECTION
      +0x000 DebugInfo        : 0x7c99b500 _RTL_CRITICAL_SECTION_DEBUG
         +0x000 Type             : 0
         +0x002 CreatorBackTraceIndex : 0
         +0x004 CriticalSection  : 0x7c99d600 _RTL_CRITICAL_SECTION
         +0x008 ProcessLocksList : _LIST_ENTRY [ 0x7c99b528 - 0x7c99b1a8 ]
         +0x010 EntryCount       : 0
         +0x014 ContentionCount  : 0
         +0x018 Spare            : [2] 0
      +0x004 LockCount        : -1
      +0x008 RecursionCount   : 0
      +0x00c OwningThread     : (null)
      +0x010 LockSemaphore    : (null)
      +0x014 SpinCount        : 0
   +0x020 FastPebLockRoutine : 0x7c921000
   +0x024 FastPebUnlockRoutine : 0x7c9210e0
   +0x028 EnvironmentUpdateCount : 3
   +0x02c KernelCallbackTable : 0x77d12970
   +0x030 SystemReserved   : [1] 0
   +0x034 AtlThunkSListPtr32 : 0
   +0x038 FreeList         : (null)
   +0x03c TlsExpansionCounter : 0
   +0x040 TlsBitmap        : 0x7c99d5c0
   +0x044 TlsBitmapBits    : [2] 0x7ffffff
   +0x04c ReadOnlySharedMemoryBase : 0x7f6f0000
   +0x050 ReadOnlySharedMemoryHeap : 0x7f6f0000
   +0x054 ReadOnlyStaticServerData : 0x7f6f0688  -> (null)
   +0x058 AnsiCodePageData : 0x7ffa0000
   +0x05c OemCodePageData  : 0x7ffa0000
   +0x060 UnicodeCaseTableData : 0x7ffd1000
   +0x064 NumberOfProcessors : 1
   +0x068 NtGlobalFlag     : 0
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER 0xffffe86d`079b8000
      +0x000 LowPart          : 0x79b8000
      +0x004 HighPart         : -6035
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0x79b8000
         +0x004 HighPart         : -6035
      +0x000 QuadPart         : -25920000000000
   +0x078 HeapSegmentReserve : 0x100000
   +0x07c HeapSegmentCommit : 0x2000
   +0x080 HeapDeCommitTotalFreeThreshold : 0x10000
   +0x084 HeapDeCommitFreeBlockThreshold : 0x1000
   +0x088 NumberOfHeaps    : 0xf
   +0x08c MaximumNumberOfHeaps : 0x10
   +0x090 ProcessHeaps     : 0x7c99cfc0  -> 0x00070000
   +0x094 GdiSharedHandleTable : 0x003a0000
   +0x098 ProcessStarterHelper : (null)
   +0x09c GdiDCAttributeList : 0x14
   +0x0a0 LoaderLock       : 0x7c99b178
   +0x0a4 OSMajorVersion   : 5
   +0x0a8 OSMinorVersion   : 1
   +0x0ac OSBuildNumber    : 0xa28
   +0x0ae OSCSDVersion     : 0x300
   +0x0b0 OSPlatformId     : 2
   +0x0b4 ImageSubsystem   : 2
   +0x0b8 ImageSubsystemMajorVersion : 4
   +0x0bc ImageSubsystemMinorVersion : 0
   +0x0c0 ImageProcessAffinityMask : 0
   +0x0c4 GdiHandleBuffer  : [34] 0
   +0x14c PostProcessInitRoutine : (null)
   +0x150 TlsExpansionBitmap : 0x7c99d5b8
   +0x154 TlsExpansionBitmapBits : [32] 0
   +0x1d4 SessionId        : 0
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER 0x0
      +0x000 LowPart          : 0
      +0x004 HighPart         : 0
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0
         +0x004 HighPart         : 0
      +0x000 QuadPart         : 0
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER 0x0
      +0x000 LowPart          : 0
      +0x004 HighPart         : 0
      +0x000 u                : __unnamed
         +0x000 LowPart          : 0
         +0x004 HighPart         : 0
      +0x000 QuadPart         : 0
   +0x1e8 pShimData        : (null)
   +0x1ec AppCompatInfo    : (null)
   +0x1f0 CSDVersion       : _UNICODE_STRING "Service Pack 3"
      +0x000 Length           : 0x1c
      +0x002 MaximumLength    : 0x1e
      +0x004 Buffer           : 0x7f6f06c2  "Service Pack 3"
   +0x1f8 ActivationContextData : 0x00b10000
   +0x1fc ProcessAssemblyStorageMap : (null)
   +0x200 SystemDefaultActivationContextData : (null)
   +0x204 SystemAssemblyStorageMap : (null)
   +0x208 MinimumStackCommit : 0

发现一个小问题,挺有意思的.
我注入,修改了,桌面创建进程不出界面.
然后安全退出(自己写的卸载程序).
然后去掉原来的修改桌面的代码,再在那个基础上注入,这次出现一个界面了.但界面不刷新.

感觉挺有意思.不知道为什么...

对了,还能改变窗口的大小.很有意思吧...

上传的附件：

• 未命名.jpg （18.64kb，93次下载）

谢过 您真是个好心人

CreateThread -> OpenDesktop -> SetThreadDesktop