服务进程创建同explorer相同用户的子进程

最新推荐文章于 2022-07-15 11:02:07 发布
最新推荐文章于 2022-07-15 11:02:07 发布
阅读量1.7k 收藏 2
点赞数
分类专栏： 编程 文章标签： null token path access basic hook
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/galihoo/article/details/1698694
版权

 

创建同explorer相同用户的进程,有什么作用呢?
有这样一种情况,如果你的进程是以系统服务启动的并要进行屏幕获取工作,你可以试试看,能不能把屏幕获取下来.呵呵..有一种办法就是创建一个和explorer相同用户的子进程
其中的一种方法:

//  szProcPath 为进程的路径
BOOL CMainFun::StartExplorerProc( char   * szProcPath)
 {
    // Typedefs for function pointers in USERENV.DLL
    typedef BOOL (STDMETHODCALLTYPE FAR * LPFNLOADUSERPROFILE) (
        HANDLE hToken,
        LPPROFILEINFO lpProfileInfo
        );

    HMODULE hLib =  LoadLibrary( _T("userenv.dll") );
    LPFNLOADUSERPROFILE     LoadUserProfile         = NULL;

#ifdef UNICODE
    LoadUserProfile =
        (LPFNLOADUSERPROFILE) GetProcAddress( hLib,
        "LoadUserProfileW" );
#else
    LoadUserProfile =
        (LPFNLOADUSERPROFILE) GetProcAddress( hLib,
        "LoadUserProfileA" );
#endif

    if (!LoadUserProfile) {
        return FALSE;
    }

    //改变进程令牌
    HANDLE hExistToken;
    HANDLE hNewToken;
    HANDLE hProcessSnap = NULL;  
    HANDLE hProcess = NULL;   
    BOOL bFound = FALSE;
    DWORD dwPid;
    PROCESSENTRY32 pe32 = {0};  
    hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); 

    pe32.dwSize = sizeof(PROCESSENTRY32);

    while(Process32Next(hProcessSnap, &pe32))
    {
        if(lstrcmpi(pe32.szExeFile, "explorer.exe") == 0)
        {
            dwPid = pe32.th32ProcessID;
            bFound = TRUE;      
            break;
        }
    }      
    // 没有找到explorer.exe
    if (!bFound)
    {
        return FALSE;
    }
    hProcess = OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwPid);
    if(hProcess != NULL)
    {
        if(OpenProcessToken(hProcess, TOKEN_ALL_ACCESS, &hExistToken))
        {
            // 复制句柄
            if(DuplicateTokenEx(hExistToken,TOKEN_ALL_ACCESS,NULL,SecurityDelegation, 
                TokenPrimary,&hNewToken));
        }
    }

    
    STARTUPINFO lp = {0};
    lp.cb = sizeof(lp);
    PROCESS_INFORMATION pi ; 
    lp.dwFlags = STARTF_USESHOWWINDOW|STARTF_USESTDHANDLES;
    lp.wShowWindow = SW_HIDE;

    PROFILEINFO profile={0};
    profile.dwSize = sizeof(PROFILEINFO);
    profile.lpUserName = "administrator";
    if (LoadUserProfile(hNewToken,&profile) == NULL)
    {
        return FALSE;
    }

    BOOL bRet = CreateProcessAsUser(hNewToken
                                    ,NULL
                                    ,szProcPath
                                    ,NULL
                                    ,NULL
                                    ,FALSE
                                    ,CREATE_NO_WINDOW
                                    ,NULL
                                    ,NULL
                                    ,&lp
                                    ,&pi
                                    );


    return bRet;
}

 第二种:
注入到explorer里面,在explorer里面创建一个进程

 

#include  " windows.h "
#include  " tlhelp32.h "

// lpCmdLine 开始4个字节是 WinExec的地址,后面是WinExec的第一个参数
__declspec(naked)  void  WinExecT(
                                LPCSTR lpCmdLine   //  address of command line
                                )
 {
    //24个字节
    __asm
    {
        push ebp;
        mov ebp,esp;
        add esp,-8;   //两个参数
        mov ebx,lpCmdLine;
        mov eax,[ebx];
        push 0; //SW_HIDE
        add ebx,4;
        push ebx;
        call eax;
        add esp,8;
        pop ebp;
        ret;        
    }
}

BOOL EnableDebugPrivNT(VOID)
 {
    HANDLE hToken;
    LUID DebugValue;
    TOKEN_PRIVILEGES tkp;

    // Retrieve a handle of the access token

    if (!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,&hToken)) {
        return FALSE;
    }

    // Enable the SE_DEBUG_NAME privilege

    LookupPrivilegeValue((LPSTR) NULL,SE_DEBUG_NAME,&DebugValue);

    tkp.PrivilegeCount = 1;
    tkp.Privileges[0].Luid = DebugValue;
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

    if(!AdjustTokenPrivileges(hToken,FALSE,&tkp,sizeof(TOKEN_PRIVILEGES),(PTOKEN_PRIVILEGES) NULL,(PDWORD) NULL)){
        return FALSE;
    }

    // The return value of AdjustTokenPrivileges can't be tested

    if (GetLastError() != ERROR_SUCCESS) {
        return FALSE;
    }

    return TRUE;
}


// 获得 explorer.exe 的ID
DWORD GetExplorerID()
 {
    BOOL bFound = FALSE;
    PROCESSENTRY32 pe32 = {0};  
    char szProcessName[MAX_PATH] = "explorer.exe";
    HANDLE hProcessSnap = NULL;
    hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); 

    pe32.dwSize = sizeof(PROCESSENTRY32);

    while(!bFound && Process32Next(hProcessSnap, &pe32))
    {
        if(lstrcmpi(pe32.szExeFile, szProcessName) == 0)
            bFound = TRUE;      
    }      

    CloseHandle(hProcessSnap);

    if(!bFound)
    {     
        //SendData(&bRet,sizeof(bRet),emKillprocess);
        return -1;
    }
    return pe32.th32ProcessID;
}


HANDLE CreateRT(DWORD dwPid, LPCTSTR lpCmdLine)
 {
    HANDLE hRemoteProcess = NULL;
    EnableDebugPrivNT();
    hRemoteProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid);

    //得到 WinExec 的地址
    DWORD xx = (DWORD)GetProcAddress(GetModuleHandle("Kernel32"),"WinExec");

    char buf[MAX_PATH+4]; //WinExec 的地址需要4个字节

    memcpy(buf,(char *)&xx,4);

    strcpy(buf+4,lpCmdLine);

    DWORD dwSize = (1 + lstrlenA(lpCmdLine)) * sizeof(char)+4;

    char *pszCmdLineRemote = (char *) VirtualAllocEx( hRemoteProcess, NULL,
        dwSize, MEM_COMMIT, PAGE_READWRITE);

    //参数写入
    WriteProcessMemory(hRemoteProcess, pszCmdLineRemote, 
        (PVOID) buf, dwSize, NULL);

    //多写入几个字节也无所谓

    //这里一定要注意
    //在debug版本下面call WinexecT是先 call 到一个 jmp 17的地方,然后由这个地方调用
    //WinExecT,但是在realese版本下面就是直接call 的WinExecT的地址了

    /*
    //debug版本下面使用
    DWORD tt = (DWORD)WinExecT;
    DWORD yy = (DWORD)(*((char *)WinExecT +1));
    tt+=yy+5;*/

    dwSize = 32;
    char *pszWinExecRemote = (char *) VirtualAllocEx( hRemoteProcess, NULL,
        dwSize, MEM_COMMIT, PAGE_READWRITE);

    //函数写入

    WriteProcessMemory(hRemoteProcess, pszWinExecRemote, 
        (PVOID) WinExecT, dwSize, NULL);

    PTHREAD_START_ROUTINE pfnStartAddr = 
        (PTHREAD_START_ROUTINE)pszWinExecRemote;

    return CreateRemoteThread( hRemoteProcess, NULL,0, 
        pfnStartAddr, pszCmdLineRemote, 0, NULL);    
}

int  main()
 {
    DWORD pid = GetExplorerID();
    if (pid == -1) {
        return 0;
    }
    char buf[MAX_PATH]={0};
    
    GetSystemDirectory(buf,MAX_PATH);
    // 创建的子进程为%systemroot%/test.exe
    strcat(buf,"test.exe");

    CreateRT(pid,buf);
    return 0;
}

第三种方法:
进程创建的时候会调用NTDLL.dll中的NtCreateProcess或者NtCreateProcessEx,而NtCreateProcess或者NtCreateProcessEx的参数ParentProcess表示父进程的句柄,因此我们可以hook NtCreateProcess或者NtCreateProcessEx函数,改变其父进程句柄,从而改变创建的进程的用户名,具体代码如下:

#include  " windows.h "
#include  " stdio.h "
#include  " TCHAR.h "
#include  " tlhelp32.h "
#pragma  pack(1)

//  定义跳转的结构
typedef  struct
{
    BYTE   mov_eax;
    LPVOID address;
    WORD   jump_eax;
    
}  ASMJUMP,  * PASMJUMP;
 //  父进程句柄
HANDLE hParentProc; 

 //  Haked NtCreateProcess
void  __declspec(naked)HackedNtCreateProcess()
 {
    _asm
    {
        /*
        NtCreateProcess 的定义如下
        NTSYSAPI 
        NTSTATUS
        NTAPI
        NtCreateProcess(        
                        OUT PHANDLE           ProcessHandle,
                        IN ACCESS_MASK        DesiredAccess,
                        IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,
                        IN HANDLE             ParentProcess,
                        IN BOOLEAN            InheritObjectTable,
                        IN HANDLE             SectionHandle OPTIONAL,
                        IN HANDLE             DebugPort OPTIONAL,
                        IN HANDLE             ExceptionPort OPTIONAL 
                        );
          
        ParentProcess 便是父进程的句柄,我们将它改变为explorer的进程句柄
        */
        mov  eax,hParentProc;
        // [esp+16]便是 ParentProcess
        mov  dword ptr [esp+16],eax;
        // 留下填充的字节数
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        nop;
        }
}

BOOL EnableDebugPrivNT(VOID)
 {
    HANDLE hToken;
    LUID DebugValue;
    TOKEN_PRIVILEGES tkp;
    
    if (!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,&hToken)) {
        return FALSE;
    }
    
    LookupPrivilegeValue((LPSTR) NULL,SE_DEBUG_NAME,&DebugValue);
    
    tkp.PrivilegeCount = 1;
    tkp.Privileges[0].Luid = DebugValue;
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
    if(!AdjustTokenPrivileges(hToken,FALSE,&tkp,sizeof(TOKEN_PRIVILEGES),(PTOKEN_PRIVILEGES) NULL,(PDWORD) NULL)){
        return FALSE;
    }
    
    if (GetLastError() != ERROR_SUCCESS) {
        return FALSE;
    }
    
    return TRUE;
}


// 获得 explorer.exe 的ID
DWORD GetExplorerID()
 {
    BOOL bFound = FALSE;
    PROCESSENTRY32 pe32 = {0};  
    char szProcessName[MAX_PATH] = "explorer.exe";
    HANDLE hProcessSnap = NULL;
    hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); 
    
    pe32.dwSize = sizeof(PROCESSENTRY32);
    
    while(!bFound && Process32Next(hProcessSnap, &pe32))
    {
        if(lstrcmpi(pe32.szExeFile, szProcessName) == 0)
            bFound = TRUE;      
    }      
    
    CloseHandle(hProcessSnap);
    
    if(!bFound)
    {     
        return -1;
    }
    return pe32.th32ProcessID;
}

int  main()
 {
    DWORD pid = GetExplorerID();
    if (pid == -1) {
        return 0;
    }
    
    HANDLE hRemoteProcess = NULL;
    EnableDebugPrivNT();
    hParentProc = OpenProcess(PROCESS_CREATE_PROCESS,TRUE,pid);
    if (!hParentProc)
    {        
        return -1;
    }
    
    PASMJUMP NtCreateProcessHook = NULL;
    
    //获取版本信息
    OSVERSIONINFOEX osvi;
    BOOL bOsVersionInfoEx;
    BOOL Found = FALSE;
    
    ZeroMemory(&osvi, sizeof(OSVERSIONINFOEX));
    osvi.dwOSVersionInfoSize = sizeof(OSVERSIONINFOEX);
    if( !(bOsVersionInfoEx = GetVersionEx ((OSVERSIONINFO *) &osvi)) )
    {
        // If OSVERSIONINFOEX doesn't work, try OSVERSIONINFO.
        osvi.dwOSVersionInfoSize = sizeof (OSVERSIONINFO);
        if (! GetVersionEx ( (OSVERSIONINFO *) &osvi) ) 
            return -1;
    }
    //
    if (osvi.dwPlatformId != VER_PLATFORM_WIN32_NT) {
        return -1;
    }
    if ( osvi.dwMajorVersion == 4 && osvi.dwMinorVersion == 0)
    {
        // Microsoft Windows NT 4.0 
        return -1;
    }
    else if ( osvi.dwMajorVersion == 5 && 
        osvi.dwMinorVersion == 0 )
    {
        // Microsoft Windows 2000 
        printf("%d--%d--%d ",osvi.dwBuildNumber,osvi.wServicePackMajor,osvi.wServicePackMinor);
        NtCreateProcessHook = (PASMJUMP)
            GetProcAddress(
            GetModuleHandle(TEXT("ntdll.dll")),
            "NtCreateProcess");
        if (NtCreateProcessHook==NULL)
        {            
            return -1;
        }
        
    }
    else if ( osvi.dwMajorVersion == 5 && (osvi.dwMinorVersion == 1 || osvi.dwMinorVersion == 2) )
    {
        // windows xp or 2003
        printf("%d--%d--%d ",osvi.dwBuildNumber,osvi.wServicePackMajor,osvi.wServicePackMinor);
        NtCreateProcessHook = (PASMJUMP)
            GetProcAddress(
            GetModuleHandle(TEXT("ntdll.dll")),
            "NtCreateProcessEx");
        if (NtCreateProcessHook==NULL)
        {    
            return -1;
        }
        
    }    
    
    // 改变被hook的函数地址的内存属性,使其可写 
    MEMORY_BASIC_INFORMATION mbi;
    VirtualQuery(NtCreateProcessHook,&mbi,sizeof(MEMORY_BASIC_INFORMATION));
    
    DWORD dw;
    VirtualProtect(mbi.AllocationBase,mbi.RegionSize,
        PAGE_EXECUTE_READWRITE,&dw);
    
    // 改变我们自己函数的属性
    VirtualQuery(HackedNtCreateProcess,&mbi,sizeof(MEMORY_BASIC_INFORMATION));
    VirtualProtect(mbi.AllocationBase,mbi.RegionSize,
        PAGE_EXECUTE_READWRITE,&dw);
    
    for (int i=0;i<23;i++)
    {
        // 把NtCreateProcess或者NtCreateProcessEx的23个字节复制到我们的函数中
        *((char *)HackedNtCreateProcess+10+i) = *((char *)NtCreateProcessHook+i);
    }
    
    // 填充结构,填充后被hook的函数变成如下形式
    // mov eax,HackedNtCreateProcess
    // jmp eax
    // 因此当系统调用NtCreateProcess或者NtCreateProcessEx
    // 进行进程创建的时候,会跳转到 HackedNtCreateProcess中执行
    NtCreateProcessHook->mov_eax = 0xB8;
    NtCreateProcessHook->address = HackedNtCreateProcess;
    NtCreateProcessHook->jump_eax = 0xE0FF;
    
    // 准备调用createprocess创建进程
    PROCESS_INFORMATION pi;
    STARTUPINFO si;
    
    ZeroMemory(&pi,sizeof (PROCESS_INFORMATION));
    ZeroMemory(&si,sizeof (STARTUPINFO));
    si.dwFlags = STARTF_USESHOWWINDOW|STARTF_USESTDHANDLES;
    si.wShowWindow = SW_HIDE;
    si.cb = sizeof(STARTUPINFO);
    
    char buf[MAX_PATH]={0};
    
    // 启动计算器
    GetSystemDirectory(buf,MAX_PATH);
    strcat(buf,"/calc.exe");
    
    if (!CreateProcess(NULL,buf, 
        NULL, NULL,
        FALSE,
        0,NULL,NULL,
        &si,
        &pi))
    {        
        return -1;
    }
    
    CloseHandle(pi.hThread);
    CloseHandle(pi.hProcess);
    
    return 0;
}


galihoo
关注
专栏目录
Windows下创建多个进程实例
程序猿老樊的博客
10-31 3199
有些时候，由于程序需要，我们会创建相同的进程实例运行在一台服务器上，通常，Windows使用CreateProcess创建子进程，Linux使用fork创建子进程。 创建子进程的函数定义 注：需要关注的参数，如下所示。 lpApplicationName: The name of the module to be executed(可执行文件名，全路径） lpCommand...
Qt基础之十九：进程与QProcess
热门推荐
草上爬的博客
04-16 1万+
进程就是一个程序的执行实例，也就是正在运行的程序。对操作系统来说，进程就是一个担当分配系统资源CPU时间、内存的实体。在Qt 中，我们使用QProcess来表示一个进程。这个类可以允许我们的应用程序启动一个新的外部程序，并且与这个程序进行通讯。当外部程序开始启动时，QProcess的状态为Starting；外部程序已经启动时，QProcess的状态为Running，并发送started()信号；当外部层序退出了，QProcess的状态为NotRunning（初始状态），并发送finished()信号。
Windows下创建进程-CreateProcess()
D_R_L_T的博客
06-25 3797
原文地址：https://blog.csdn.net/yuyan987/article/details/78644922 函数说明： CreateProcess是Windows下用于创建进程的API函数,用来创建一个新的进程和它的主线程，这个新进程运行指定的可执行文件。 函数原型： BOOL CreateProcess ( LPCTSTR lpApplicationName,...
java 创建进程_Java 多线程详解（二）------如何创建进程和线程
weixin_31297157的博客
02-12 437
在上一篇博客中，我们已经介绍了并发和并行的区别，以及进程和线程的理解，那么在Java 中如何创建进程和线程呢？1、在 Windows 操作系统中创建进程在 windows 操作系统中，我们创建一个进程通常就是打开某个应用软件，这便在电脑中创建了一个进程。更原始一点的，我们在命令提示符中来做(我们以打开记事本这个进程为例)：第一步：windows+R,输入cmd,打开 cmd 命令提示符第二步：在命...
进程的创建过程
z4ky的博客
05-18 4068
所有的进程都是由别的进程创建出来的，用鼠标双击运行一个程序的时候，实际上是由explorer.exe这个进程创建出来的那么这个时候有人可能会问，所有的进程都是由其他进程创建出来的，那么第一个进程呢？第一个进程其实是由操作系统内核进行创建的 进程的创建过程: 映射EXE文件 创建内核对象EPROCESS（一个进程对应一个EPROCESS） 映射系统DLL(ntdll.dll) 创建线程内核对象ET...
进程【详细总结】
aristo
07-15 1132
进程
python获取父进程名称_Python--进程
weixin_39884872的博客
12-07 658
进程的介绍进程的概念一个正在运行的程序或者软件就是一个进程，它是操作系统进行资源分配的基本单位，也就是说每启动一个进程，操作系统都会给其分配一定的运行资源(内存资源)保证进程的运行。比如:现实生活中的公司可以理解成是一个进程，公司提供办公资源(电脑、办公桌椅等)，真正干活的是员工，员工可以理解成线程。注意:一个程序运行后至少有一个进程，一个进程默认有一个线程，进程里面可以创建多个线程，线程是依附在...
拦截进程创建（不会卡死桌面）
VHeroin的博客
08-16 1210
原文地址: https://bbs.pediy.com/thread-128733.htm bycon 2011-1-28 16:44  18658 菜鸟作品，大牛请无视。如有错误或纰漏，望指出 之前看过很多关于进程创建的拦截，都是勾在NtCreateProcess或者NtCreateSection上，拦截到的往往都是Explorer进程中的线程，此时如果将线程卡在内核中，就会导致桌面卡死。这...
进程是什么
顺其自然~专栏
11-02 367
进程（Process，处理，进行中的程序）是计算机中的程序关于某数据集合上的一次运行活动，是系统进行资源分配和调度的基本单位，是操作系统结构的基础。在早期面向进程设计的计算机结构中，进程是程序的基本执行实体；在当代面向线程设计的计算机结构中，进程是线程的容器。程序是指令、数据及其组织形式的描述，进程是程序的实体。 概念提出 进程是60年代初首先由麻省理工学院的MULTICS系统和IBM公司的CTSS/360系统引入的。 进程是一个具有独立功能的程序关于某个数据集合的一次运行活动。它可以申请和拥有系统资
win7系统如何一键关闭多个相同进程？.docx
09-27
在Windows 7操作系统中，用户可能会遇到大量相同进程同时运行的情况，这不仅占用系统资源，还可能导致电脑运行缓慢。本文将详细介绍如何在Win7系统中一键关闭多个相同进程的具体步骤。 #### 一、问题背景与原因分析...
如何获取电脑进程的父进程ID与路径
获取父进程路径的方法与获取一般进程路径相同，需要结合进程ID和父进程ID来实现。 知识点5: 文件清单解析 - Module1.bas: 这个文件可能是一个Visual Basic（VB）的模块文件，包含VB代码，用于实现特定的功能，例如...
Win32 进程
weixin_44945775的博客
04-25 539
一、进程的生命周期 1.1 进程的创建过程 步骤一：当系统启动后，创建一个进程，Explorer.exe 也就是桌面进程 步骤二：当用户双击某一个EXE时，Explorer进程 使用CreateProcess()函数创建被双击的EXE，也就是说，我们在桌面上双击创建的进程都是Explorer进程的子进程。 任何一个进程都需要由别的进程创建它，但在进程创建后，父进程的销毁与否与进程无关。 1.2 CreateProcess()做了什么 BOOL CreateProcess( LPCSTR lp
用户态轻松调用ntdll中的native api
08-06 6284
ntdll中的native api功能非常强大,然而微软却没有提供用户态调用native api的接口,而这些native api所需要的数据结构微软也基本没有公布,幸好有了一批牛人的贡献,给出了很多native api的定义,让我们的生活免去了许多痛苦,本文在介绍了最基本的native api的调用方式之外,还介绍了一种更加优美,移植性更强的调用方式 调用方式一(一般方式):第一步:
获取进程完整路径探索
07-19 4924
要想获取进程的完整路径,使用PSAPI提供的函数 GetModuleFileNameEx() 就可以轻松的办到下面是一个例子:/**//*用户态使用 psapi 函数进程进程查询*/#include "stdio.h"#include "windows.h"#include "psapi.h"#pragma comment(lib,"psapi.lib")//需要额外添加  psapi.h 以
guitoolkit 的使用问题
04-16 4427
1.Uxtheme.h  Tmschema.h 去找到放进来2.VisualStylesXP.cpp VisualStylesXP.h 没有包含进来，会导致出现CVisualStylesXP类的函数没有导出之类的错误3. _AfxAdjustRectangleGuiToolKit4._AfxAdjustRectangleGuiToolKitint _afxDropDownWidthGuiToolK
[分析]detours 通过修改输入表注入DLL -- UpdateImports 函数的分析
04-18 3794
前段时间有一个需求,就是在进程启动的第一时间实现dll的注入,当时一想以为很简单嘛,比如拦截CreateProcessInternalW等不就行了吗?后来发现如果你在CreateProcessInternalW前处理进程还没有启动,而之后处理的话,进程的主线程已经开始工作了,再后来通过修改创建标志把创建的进程的主线程挂起,等进程创建后我来注入,此时才发现创建远线程搞不定, 此时进程只有NTDLL,
[讨论]关于缓冲区溢出的检测
04-17 3057
目前,缓冲区溢出应该是攻击的最直接的方式,因此如何检测缓冲区溢出以及保护刻不容缓 ,然而当前并没有很稳定可靠的方法来对缓冲区溢出进行检测,MACFEE应该是提出缓冲区溢出保护的最早的安全厂商,然而如今也不再对该技术进行大肆宣传了,这几天在网上翻了一下,感觉Comodo公司对缓冲区溢出的检测做的比较好,然后我也看不懂他采用的什么技术,如果哪位牛人来介绍一下他采用的技术就好了.后来又看了gyzy的文章
卸载其他进程中的模块/dll
08-08 1691
       前段时间做了一个东西,在所有进程中都挂接了自己的DLL,结果每次要重新编译DLL让其运行都需要重启计算机,这下可有点郁闷, 得想想办法手动卸载了这些DLL,因此变有了这个程序原理:        通过在指定的进程中创建远程线程,然后在线程中调用FreeLibrary把相应的模块卸载就OK了,就这么简单,废话就不多说了,代码中我已经给出详尽的注释了// FreeModule
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值