Win10 Hook 进程创建的研究

最新推荐文章于 2024-08-16 08:28:47 发布

myjisgreat

最新推荐文章于 2024-08-16 08:28:47 发布

阅读量8.2k

点赞数 1

本文链接：https://blog.csdn.net/myjisgreat/article/details/53262932

版权

本文探讨了在Win10 x64系统中，由于UAC机制，单纯Hook CreateProcessInternalW无法完全监控进程创建。研究发现，关键函数在于windows_storage!CInvokeCreateProcessVerb::_CallCreateProcess和AicLaunchAdminProcess。AicLaunchAdminProcess在explorer创建管理员进程时被调用，通过hook此函数，可以实现对管理员权限进程创建的拦截。文章详细介绍了获取AicLaunchAdminProcess函数原型和地址的方法，并提到了作者的Windows Hook平台FishHook作为实现方案。

摘要由CSDN通过智能技术生成

Win7甚至在它之前开始，想要hook进程创建已经不能简单的HookCreateProcessInternalW这一个函数了，因为Vista开始引入了UAC机制。如果一个进程想要通过UAC弹窗创建管理员进程，hook这个进程的CreateProcessInternalW已经不起作用，我在几年前的博文《Win7/VistaHook CreateProcess 的特别之处》（http://blog.csdn.net/myjisgreat/article/details/46478247）已经提到了这点变化，并且给出了解决方案，Hook SHCreateProcess。然而据我最近的研究，Win10已经没有SHCreateProcess这个函数了。所以本文以Win10 x64版本的Explorer为蓝本，研究Win10下创建进程的接口，并给出Hook进程创建的解决方案。

我首先hook了KERNELBASE!CreateProcessInternalW，通过回溯，可以找到explorer的创建进程调用栈如下：

KERNELBASE!CreateProcessInternalW

KERNELBASE!CreateProcessW+0x66

KERNEL32!CreateProces