关于dll注入方式的学习（突破session 0的远程线程注入）

突破session 0的远程线程注入

首先提一提session0的概念：

Intel的CPU将特权级别分为4个级别：RING0,RING1,RING2,RING3。Windows只使用其中的两个级别RING0和RING3，RING0只给操作系统用，RING3谁都能用。如果普通应用程序企图执行RING0指令，则Windows会显示“非法指令”错误信息。

ring0是指CPU的运行级别，ring0是最高级别，ring1次之，ring2更次之…… 拿Linux+x86来说， 操作系统（内核）的代码运行在最高运行级别ring0上，可以使用特权指令，控制中断、修改页表、访问设备等等。 应用程序的代码运行在最低运行级别上ring3上，不能做受控操作。如果要做，比如要访问磁盘，写文件，那就要通过执行系统调用（函数），执行系统调用的时候，CPU的运行级别会发生从ring3到ring0的切换，并跳转到系统调用对应的内核代码位置执行，这样内核就为你完成了设备访问，完成之后再从ring0返回ring3。这个过程也称作用户态和内核态的切换。

RING设计的初衷是将系统权限与程序分离出来，使之能够让OS更好的管理当前系统资源，也使得系统更加稳定。举个RING权限的最简单的例子：一个停止响应的应用程式，它运行在比RING0更低的指令环上，你不必大费周章的想着如何使系统回复运作，这期间，只需要启动任务管理器便能轻松终止它，因为它运行在比程式更低的RING0指令环中，拥有更高的权限，可以直接影响到RING0以上运行的程序，当然有利就有弊，RING保证了系统稳定运行的同时，也产生了一些十分麻烦的问题。比如一些OS虚拟化技术，在处理RING指令环时便遇到了麻烦，系统是运行在RING0指令环上的，但是虚拟的OS毕竟也是一个系统，也需要与系统相匹配的权限。而RING0不允许出现多个OS同时运行在上面，最早的解决办法便是使用虚拟机，把OS当成一个程序来运行。

核心函数

ZwCreateThreadEx

注意一下这个地方ZwCreateThreadEx这个函数在32位和64位中的定义不同

在32位的情况下

DWORD WINAPI ZwCreateThreadEx (
         PHANDLE ThreadHandle ,
         ACCESS_MASK DesiredAccess ,
         LPVOID ObjectAttributes ,
         HANDLE ProcessHandle ,
         LPTHREAD_START_ROUTINE lpStartAddress ,
         LPVOID lpParameter ,
         BOOL CreateSuspended ,
         DWORD dwStackSize ,
         DWORD dw1 ,
         DWORD dw2 ,
         LPVOID pUnkown ); 

在64位的情况下

DWORD WINAPI ZwCreateThreadEx (
         PHANDLE ThreadHandle ,
         ACCESS_MASK DesiredAccess ,
         LPVOID ObjectAttributes ,
         HANDLE ProcessHandle ,
         LPTHREAD_START_ROUTINE lpStartAddress ,
         LPVOID lpParameter ,
         ULONG CreateThreadFlags ,
         SIZE_T ZeroBits ,
         SIZE_T StackSize ,
         SIZE_T MaximumStackSize ,
         LPVOID pUnkown ); 

这里因为我们要进到session 0那么就势必要到system权限，所以这里还有几个提权需要用到的函数

OpenProcessToken

BOOL OpenProcessToken (
__in HANDLE ProcessHandle , //要修改访问权限的进程句柄
__in DWORD DesiredAccess , //指定你要进行的操作类型
__out PHANDLE TokenHandle //返回的访问令牌指针
); 

LookupPrivilegeValueA

BOOL LookupPrivilegeValueA (
  LPCSTR lpSystemName ,   //要查看的系统，本地系统直接用NULL
  LPCSTR lpName ,      //指向一个以零结尾的字符串，指定特权的名称
  PLUID  lpLuid      //用来接收所返回的制定特权名称的信息
); 

AdjustTokenPrivileges

BOOL AdjustTokenPrivileges (
H