关闭

Windows NT WinLogon Notify(转载+修改版)

标签: winlogonnotify
432人阅读 评论(0) 收藏 举报
分类:

方法一:

在NT系列Windows操作系统中,恶意软件可以通过关联Winlogon特定的事件来使自身被启动,如Lock,Logoff,Logon,Shutdown,StartScreenSaver,StartShell,Startup,StopScreenSaver,Unlock等,这甚至能够使得恶意软件在安全模式下被加载。WinLogon的通知事件在注册表的位置是:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

当WinLogon.exe产生一个事件通知的时候,Windows会检查注册表里面指定的DLL并调用DLL指定的导出函数。示例(当屏幕锁定时调用WinLogonDemo.dll导出的LockFun函数):

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\locktest]
@=""
"DLLName"="DllExport.dll"
"Asynchronous"=dword:00000000
"Impersonate"=dword:00000000
"Logoff"="lockmsg"
"Enabled"=dword:00000001

将以上reg信息写入注册表,目前只测试成功了Lockoff功能,,之后将dll放置system32下,注销后能触发导出函数执行。


方法二:

将[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll]下的所有消息通知导出函数全部改为我们的导出函数,接受dll也改为我们自己的dll后,能接收到关机、注销、启动、登录等信息。经测试对机器使用没有影响,至于其他的系统dll修改效果如何,还没有更多的测试。

从Windows Vista开始,这项特性被取消了。可以通过注册一个服务来监听相应的事件(部分事件不支持),参见

Using Service Control Manager (SCM) Notifications

0
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:20825次
    • 积分:411
    • 等级:
    • 排名:千里之外
    • 原创:17篇
    • 转载:23篇
    • 译文:0篇
    • 评论:0条
    文章分类