突破SESSION 0隔离创建用户进程

桃扇骨 2022-09-16 05:56 220阅读 0赞

// 病毒木马通常会把自己注入系统服务进程或是伪装成系统服务进程，并运行在SESSION 0中。
    // 处于SESSION 0中的进程能执行普通程序的绝大部分操作，但是不能创建UI界面以及通过消息机制与普通进程进行通信。
    
    // 从Vista开始，微软为windows添加了SESSION机制，也叫做会话隔离机制，目的就是将系统服务进程与普通用户进程进行隔离，运行在不同的权限下。
    // 一般只有服务进程才能运行在SESSION 0中。
    
    // 为了让系统进程能创建带UI的、能通信的用户进程，微软提供了以WTS开头的函数，即终端服务(Windows Terminal Service)。
    
    // PS：WTSGetActiveConsoleSessionId函数：
    // 功能：检索控制台会话的标识符Session id。
    // 原型：DWORD WTSGetActiveConsoleSessionId ();
    // 结果：如果执行成功，则返回连接到物理控制台的会话标识符。执行失败，返回-1。
    
    // PS：WTSQueryUserToken函数：
    // 函数：获取由Session Id指定的登录用户的主访问令牌。若想成功调用此功能，则调用应用程序必须在本地系统账户的上下文运行，且具有SE_TCB_NAME特权。
    // 原型：BOOL WTSQueryUserToken(
    // _In_ ULONG SessionId,
    // _Out_ HANDLE hToken
    // )
    // 参数：SessionId：由WTSGetActiveConsoleSessionId函数返回的Session ID。
    // hToken：接收登录用户令牌句柄。
    // 结果：成功，返回TURE，hToken为用户令牌句柄。失败，返回FALSE。
    
    // PS：DuplicateTokenEx函数：
    // 功能：复制令牌，可作为CreateProcessAsUser的主令牌。
    // 原型：BOOL WINAPI DuplicateTokenEx (
    // _In_ HANDLE hExistingToken,
    // _In_ DWORD dwDesiredAccess,
    // _In_opt LPSECURITY_ATTRIBUTES lpTokenAttributes,
    // _In_ SECURITY_IMPERSONATION_LEVEL ImpersonationLevel,
    // _In_ TOKEN_TYPE TokenType,
    // _Out_ PHANDLE phNewToken
    // )
    // 参数：hExistingToken：由WTSQueryUserToken函数获取的登录用户令牌句柄。
    // dwDesiredAccess：指定新令牌的访问权限。可使用MAXIMUM_ALLOWED获取所有访问权限。
    // lpTokenAttributes：访问令牌的安全描述符，一般为NULL。
    // ImpersonationLevel：新令牌的级别。
    // TokenType：
    // TokenPrimary：新令牌是可以在CreateProcessAsUser函数中使用的主令牌。
    // TokenImpersonation：新令牌是一个模拟令牌。
    // phNewToken：新令牌的句柄。
    // 结果：陈宫，返回TRUE，失败，返回FALSE。
    
    // PS：CreateEnvironmentBlock函数：
    // 功能：检索指定用户的环境变量，然后可以将此块传递给CreateProcessAsUser函数。
    // 原型：BOOL WINAPI CreateEnvironmentBlock (
    // _Out_ LPVOID *lpEnvironment,
    // _In_opt_ HANDLE hToken,
    // _In_ BOOL bInherit
    // )
    // 参数：lpEnvironment：获取新的环境块。
    // hToken：令牌句柄，如果是主令牌，必须具有TOKEN_QUERY和TOKEN_DUPLICATE访问权限，如果是模拟令牌，必须具有TOKEN_QUERY权限。
    // bInherit：指定是否可以继承当前进程的环境。
    // 结果：成功，返回TRUE，失败，返回FALSE。
    
    // PS：CreateProcessAsUser函数：
    // 功能：创建一个进程及主线程，新进程在由指定令牌表示的用户安全上下文中运行。
    // 原型：BOOL WINAPI CreateProcessAsUser (
    // _In_opt_ HANDLE hToken,
    // _In_Opt_ LPCTSTR lpApplicationName,
    // _Inout_opt_ LPTSTR lpCommandLine,
    // _In_opt_ LPSECURITY_ATTRIBUTES lpProcessAttributes,
    // _In_opt_ LPSECURITY_ATTRIBUTES lpThreadAttributes,
    // _In_ BOOL bInheritHandles,
    // _In_ DWORD dwCreationFlags,
    // _In_opt_ LPVOID lpEnvironment,
    // _In_opt_ LPCTSTR lpCurrentDirectory,
    // _In_ LPSTARTUPINFO lpStartupInfo,
    // _Out_ LPPROCESS_INFORMATION lpProcessInformation
    // )
    // 参数：hToken：用户主令牌句柄。
    // lpApplicationName：要执行模块的名称。
    // lpCommandLine：要执行的命令。
    // lpProcessAttributes：进程的安全描述符，通常为NULL，表示采用系统默认的安全描述符
    // lpThreadAttributes：线程的安全描述符，通常为NULL，表示采用系统默认的安全描述符
    // bInheritHandles：表示是否继承进程句柄，通常为FALSE。
    // dwCreationFlags：控制优先级和进程创建的标志。
    // lpEnvironment：由CreateEnvironmentBlock函数获取的环境块。
    // lpCurrentDirectory：指向当前进程目录的完整路径。
    // lpStartupInfo：启动信息结构。
    // lpProcessInformation：接收创建的进程信息结构体，成员包括进程ID、主线程ID等。
    // 结果：成功，返回TRUE，失败，返回FALSE。
    
    // PS：实现原理：要突破SESSION 0隔离，在系统服务进程中必须使用CreateProcessAsUser函数创建进程。这样才能进行交互。
    
    // PS：步骤：
    // 1.首先，调用WTSGetActiveConsoleSessionId函数获取当前程序的SessionID。
    // 2.然后，调用WTSQueryUserToken根据获取的SessionID获取当前登录用户的Token。
    // 3.接着，调用DuplicateTokenEx函数创建一个新令牌，并复制上面的用户令牌。设置新令牌的访问权限为MAXIMUM_ALLOWED，这表示获取所有的令牌权限。
    // 4.然后，调用CreateEnvironmentBlock函数创建一个环境块。
    // 5.最后，调用CreateProcessAsUser函数，将上面的令牌句柄以及创建的环境块作为参数传入，这样，创建的进程就可以与系统服务进行交互，可以显示UI界面。
    
    // 示例代码：
    
    // 突破SESSION 0 隔离创建用户进程
    BOOL CreateUserProcess(char *lpszFileName)
    { 
        // 变量(略)
        do { 
            // 获取当前的Session ID
            dwSessionID = ::WTSGetActiveConsoleSessionId();
            if ( 0 > dwSessionID)
            { 
                ShowError("WTSGetActiveConsoleSessionId");
                break;
            }
    
            // 获取当前登录用户的令牌
            bRet = ::WTSQueryUserToken(dwSessionID, &hToken);
            if (FALSE == bRet)
            { 
                ShowError("WTSQueryUserToken");
                break;
            }
    
            // 复制令牌
            bRet = ::DuplicateTokenEx(hToken, MAXIMUM_ALLOWED, NULL, SecurityIdentification, TokenPrimary, &hDuplicatedToken);
            if (FALSE == bRet)
            { 
                ShowError("DuplicateTokeEx");
                break;
            }
    
            // 创建用户会话环境
            bRet = ::CreateEnvironmentBlock(&lpEnvironment, hDuplicatedToken, FALSE);
            if (FALSE == bRet)
            { 
                ShowError("DuplicateTokenEx");
                break;
            }
    
            // 创建进程
            bRet = ::CreateProcessAsUser(hDuplicatedToken, lpszFileName, NULL, NULL, NULL, FALSE, NORMAL_PROIORITY_CLASS | CREATE_NEW_CONSOLE | CREATE_UNICODE_ENVIRONMENT,
                            lpEnvironment, &si, &pi);
            if (FALSE == bRet)
            { 
                ShowError("CreateProcessAsUser");
                break;
            }
        } while (FALSE);
    
        // 关闭句柄，释放资源(略)
        
        return bRet;
    }