提权函数之RtlAdjustPrivilege()

提权函数之RtlAdjustPrivilege()

RtlAdjustPrivilege() 这玩意是在 NTDLL.DLL 里的一个不为人知的函数,MS没有公开,原因就是这玩意实在是太NB了,以至于不需要任何其他函数的帮助,仅凭这一个函数就可以获得进程ACL的任意权限!
下面是函数定义:

?

1 2 3 4 5 6 7

NTSTATUS RtlAdjustPrivilege ( ULONG    Privilege, BOOLEAN Enable, BOOLEAN CurrentThread, PBOOLEAN Enabled )

参数的含义：
Privilege [In] Privilege index to change.                        
// 所需要的权限名称，可以到MSDN查找关于Process Token & Privilege内容可以查到

Enable [In] If TRUE, then enable the privilege otherwise disable.
// 如果为True 就是打开相应权限，如果为False 则是关闭相应权限

CurrentThread [In] If TRUE, then enable in calling thread, otherwise process.
// 如果为True 则仅提升当前线程权限，否则提升整个进程的权限

Enabled [Out] Whether privilege was previously enabled or disabled.
// 输出原来相应权限的状态（打开 | 关闭）

用法很简单:

1 2 3

#define SE_DEBUG_PRIVILEGE 0x14 //DEBUG 权限 int s; RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE, true , false ,&s);

RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE,1,0,NULL);

比用 AdjustTokenPrivileges 来提升进程权限方便很多，所以自己整理下备忘

这个函数封装在NtDll.dll中（在所有DLL加载之前加载），被微软严格保密，就是说你在MSDN上查不到关于他的任何信息。

常量 SE_BACKUP_PRIVILEGE = 0x11h
常量 SE_RESTORE_PRIVILEGE = 0x12h
常量 SE_SHUTDOWN_PRIVILEGE = 0x13h
常量 SE_DEBUG_PRIVILEGE = 0x14h

先来看看这个函数的定义(Winehq给出)：
NTSTATUS RtlAdjustPrivilege
(
ULONG    Privilege,
BOOLEAN Enable,
BOOLEAN CurrentThread,
PBOOLEAN Enabled
)

参数的含义：
Privilege [In] Privilege index to change.                        
// 所需要的权限名称，可以到 MSDN 查找关于 Process Token & Privilege 内容可以查到

Enable [In] If TRUE, then enable the privilege otherwise disable.
// 如果为True 就是打开相应权限，如果为False 则是关闭相应权限

CurrentThread [In] If TRUE, then enable in calling thread, otherwise process.
// 如果为True 则仅提升当前线程权限，否则提升整个进程的权限

Enabled [Out] Whether privilege was previously enabled or disabled.
// 输出原来相应权限的状态（打开 | 关闭）, 注意：该参数赋予空指针会出错，我测试过。

附上 Delphi 定义和例子，我测试过的：

function RtlAdjustPrivilege(Privilege:ULONG;
                        Enable:BOOL;
                        CurrentThread:BOOL;
                        var Enabled:BOOL):DWORD; stdcall; external 'ntdll';

const
    SE_BACKUP_PRIVILEGE = $11;
    SE_RESTORE_PRIVILEGE = $12;        
    SE_SHUTDOWN_PRIVILEGE = $13;     //关机权限
    SE_DEBUG_PRIVILEGE = $14;             //调试权限

Delphi 调用例子：

var
    Enabled:BOOL;
begin                           

if RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE,true,false,Enabled)) = 0 then
      showmessage('ok');

end;

瞬间关机代码VC

#include <windows.h>

const unsigned int SE_SHUTDOWN_PRIVILEGE = 0x13;

int main()
{
HMODULE hDll = ::LoadLibrary("ntdll.dll");
typedef int (* type_RtlAdjustPrivilege)(int, bool, bool, int*);
typedef int (* type_ZwShutdownSystem)(int);
type_RtlAdjustPrivilege RtlAdjustPrivilege = (type_RtlAdjustPrivilege)GetProcAddress(hDll, "RtlAdjustPrivilege");
type_ZwShutdownSystem ZwShutdownSystem = (type_ZwShutdownSystem)GetProcAddress(hDll, "ZwShutdownSystem");
int nEn = 0;
int nResult = RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, true, true, &nEn);
if(nResult == 0x0c000007c)
{
nResult = RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, true, false, &nEn);
}
nResult = ZwShutdownSystem(2);
FreeLibrary(hDll);
return 0;
}