Windows NT WinLogon Notify(转载+修改版)

转载 2015年11月20日 14:52:04

方法一:

在NT系列Windows操作系统中,恶意软件可以通过关联Winlogon特定的事件来使自身被启动,如Lock,Logoff,Logon,Shutdown,StartScreenSaver,StartShell,Startup,StopScreenSaver,Unlock等,这甚至能够使得恶意软件在安全模式下被加载。WinLogon的通知事件在注册表的位置是:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

当WinLogon.exe产生一个事件通知的时候,Windows会检查注册表里面指定的DLL并调用DLL指定的导出函数。示例(当屏幕锁定时调用WinLogonDemo.dll导出的LockFun函数):

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\locktest]
@=""
"DLLName"="DllExport.dll"
"Asynchronous"=dword:00000000
"Impersonate"=dword:00000000
"Logoff"="lockmsg"
"Enabled"=dword:00000001

将以上reg信息写入注册表,目前只测试成功了Lockoff功能,,之后将dll放置system32下,注销后能触发导出函数执行。


方法二:

将[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll]下的所有消息通知导出函数全部改为我们的导出函数,接受dll也改为我们自己的dll后,能接收到关机、注销、启动、登录等信息。经测试对机器使用没有影响,至于其他的系统dll修改效果如何,还没有更多的测试。

从Windows Vista开始,这项特性被取消了。可以通过注册一个服务来监听相应的事件(部分事件不支持),参见

Using Service Control Manager (SCM) Notifications

WinLogon登录管理和GINA简介 (转)

http://blog.csdn.net/chenyujing1234/article/details/7942845 平时我们在使用Windows XP时,总要先进行登录。Windows X...
  • kelsel
  • kelsel
  • 2016年10月08日 17:04
  • 1503

【转+修改】Secedit:命令行下操作组策略

组策略是建立Windows安全环境的重要手段,尤其是在Windows域环境下。一个出色的系统管理员,应该能熟练地掌握并应用组策略。在窗口界面下访问组策略用gpedit.msc,命令行下用secedit...
  • u011177305
  • u011177305
  • 2016年06月06日 11:07
  • 4086

Win7 禁止Ctrl+Alt+Del、Win+L等任意系统热键(利用IDA,windbg等工具分析)

标 题: 【原创】Win7 修改Winlogon.exe进程一个字节禁止Ctrl+Alt+Del、Win+L等任意系统热键 作 者: heiheiabcd 时 间: 2012-12-01,10...
  • zhoujiaxq
  • zhoujiaxq
  • 2013年12月26日 17:15
  • 2785

windows程序设计(22):使用单文档架构编写程序(修改版)

上一次课我们剖析了MFC的单文档应用程序的框架,这一次课主要是使用这个框架。总的来说,是通过doc类存储、处理数据,而在view类显示数据。 先描述一下程序的功能: 有一个菜单可以选择颜色,默认为...
  • thefutureisour
  • thefutureisour
  • 2012年11月26日 17:19
  • 905

网卡物理地址修改器(Windows NT/2000/XP版)

  • 2006年03月16日 00:00
  • 101KB
  • 下载

网卡物理地址修改器(Windows NT/2000/XP版)

  • 2006年03月16日 00:00
  • 98KB
  • 下载

分享舍得网开发经验(修改版)(转载)

导读:  不知道为什么原来的帖子被删除了,我用心写这么高水准的帖子,不应该被删才对。该帖在原来的基础上做了修正和增加。  舍得网(shedewang.com)的开发暂时告一段落,一个人用时不到1个月...
  • qilixiang012
  • qilixiang012
  • 2014年08月09日 18:04
  • 1124

windows下串口收发代码-修改版

  • 2016年10月22日 16:54
  • 146KB
  • 下载

WINDOWS API 函数(修改版)

  • 2009年07月01日 06:53
  • 530KB
  • 下载

Windows下Aapache2.0.55+Tomcat5.0负载均衡配置-修改版.doc

  • 2009年07月08日 11:36
  • 62KB
  • 下载
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:Windows NT WinLogon Notify(转载+修改版)
举报原因:
原因补充:

(最多只允许输入30个字)