Win7/Vista Hook CreateProcess 的特别之处

最新推荐文章于 2025-09-15 06:00:49 发布

原创

最新推荐文章于 2025-09-15 06:00:49 发布 · 4.7k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#windows #api #API钩子 #API Hook #CreateProcess

在Win7/Vista系统中，单纯Hook进程内的CreateProcessInternalW无法有效截取创建管理员权限进程的情况。因为当非管理员进程尝试创建管理员进程时，实际创建操作是由系统服务进程完成，绕过了Hook。关键函数SHCreateProcess在尝试创建进程后，根据权限决定是否调用CreateProcess。SHCreateProcess是shell32.dll内的非导出函数，为解决此问题，需要找到并Hook SHCreateProcess的地址。

Win7/Vista Hook CreateProcess 的特别之处

搬运自我的百度空间，写本文时主流系统为Win7，本文的方法没有在高版本的windows尝试

~~2016/10/3更新：Win10下直接hook KERNELBASE!CreateProcessInternalW就可以了，不管创建UAC进程还是普通进程都是走这条路，注意是kernelbase.dll下的函数~~

2016/11/19更新：Win10下创建普通进程走的是CreateProcess->CreateProcessInternalW的路，而使用Runas创建管理员进程（会弹出UAC窗口）不再使用本文提到的SHCreateProcess函数，而是使用了AicLaunchAdminProcess这个函数。需要注意，win10似乎把shell32.dll的部分功能实现移到了windows.storage.dll，AicLaunchAdminProcess也是在这个dll之中。同样AicLaunchAdminProcess也没有被DLL导出，需要一些技巧来获取它的地址。详见http://blog.csdn.net/myjisgreat/article/details/53262932

Hook了CreateProcess