不能说的秘密之RtlAdjustPrivilege

前言：
今天逆向一个非常实用的函数RtlAdjustPrivliege

这个函数封装在NtDll.dll中（在所有DLL加载之前加载），被微软严格保密，就是说你在MSDN上查不到关于他的任何信息。

先来看看这个函数的定义(Winehq给出)：

引用:

 NTSTATUS RtlAdjustPrivilege
 (
  ULONG    Privilege,
  BOOLEAN  Enable,
  BOOLEAN  CurrentThread,
  PBOOLEAN Enabled
 )

参数的含义：

引用:

Privilege  [In] Privilege index to change.                         
// 所需要的权限名称，可以到MSDN查找关于Process Token & Privilege内容可以查到
Enable  [In] If TRUE, then enable the privilege otherwise disable.  
// 如果为True 就是打开相应权限，如果为False 则是关闭相应权限
CurrentThread  [In] If TRUE, then enable in calling thread, otherwise process. 
// 如果为True 则仅提升当前线程权限，否则提升整个进程的权限
Enabled  [Out] Whether privilege was previously enabled or disabled.
//  输出原来相应权限的状态（打开 | 关闭）

很多人大概没有听说过他的大名，但是相信有很多人见过 进程提权的过程
拷一段我写的提权上来吧
: 
BOOL ImproveProcPriv()
{
    HANDLE token;
    //提升权限
    if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES,&token))
    {
        MessageBox(NULL,"打开进程令牌失败...","错误",MB_ICONSTOP);
        return FALSE;
    }
    TOKEN_PRIVILEGES tkp;
    tkp.PrivilegeCount = 1;
    ::LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&tkp.Privileges[0].Luid);  //  获得 SE_DEBUG_NAME 特权
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    if(!AdjustTokenPrivileges(token,FALSE,&tkp,sizeof(tkp),NULL,NULL))
    {
        MessageBox(NULL,"调整令牌权限失败...","错误",MB_ICONSTOP);
        return FALSE;
    }
    CloseHandle(token);
    return TRUE;
}

看看吧，这个提权快要累死了...
但是 如果有这个函数就不一样了，你可以只用一个函数就实现这个功能，甚至功能远多于上面的代码...
通过恰当的IDE设置和必要的Defination，上面这个函数的功能你完全可以通过一行代码来实现。

代码: