• XSS.stack #1 – первый литературный журнал от юзеров форума

UAC

Отслеживать

at0m

RAID-массив
Пользователь
Регистрация
16.05.2010
Сообщения
93
Реакции
2
Всем Привет
Помогите что то с ним сделать сит. след.:
есть AV в захвате SSDT (некоторые функции тоесть жижненные =) )
без AV обхожу inject - том помимо инжекта есть решения ?
я готовый код не прошу, прошу лишь намек в какую сторону рыть ?
Зарание спасибо
 
мне кажется ты ехал на большой скорости на велике и одной рукой набивал на мобильнике буквы, изредка поглядывая на содержание своего поста... :bicycle:
определись что тебе нужно и корректно сформулируй
 
можно без диалога, запускайся от имени юзера пиши свободно в ветку HKCU там и автозагрузка есть, название файла , version info , manifest не должен содержать слов install и update - тогда софт запуститься от юзера и не будет вылетать окошко UAC но и возможности будут юзерские , например не сможешь писать в память svchost.exe и т.д.
можно поднимать привилегии гугли по слову Elevate...
 
а более елегантное решение существует (эскаляция привилегий) просто под гостем толку мало будет да и если под юзером (огранич.)
Надо еще доступ в HKLM ?
 
Поднять привилегии в системе с UAC можно разве что только через руткит без участия юзера. НО многое зависит от конкретной сборки винды.
 
Поднять привилегии в системе с UAC можно разве что только через руткит без участия юзера. НО многое зависит от конкретной сборки винды.
OK как тогда запустить этот руткит под юзером (с огран.) ?
 
ищи окольные пути , там же в мелкософте тоже не бараны работают...
он имел наверно ввиду эксплойт, а не руткит :) связанный с запуском 16-разрядных dos екзешников кажись
 
я знаю откуда он делает вызов думал просто что бы не копать у кого от есть типо вроде что этого
NTSYSAPI
NTSTATUS
NTAPI
NtQueueApcThread(
IN HANDLE ThreadHandle,
IN PKNORMAL_ROUTINE ApcRoutine,
IN PVOID ApcContext OPTIONAL,
IN PVOID Argument1 OPTIONAL,
IN PVOID Argument2 OPTIONAL
);
только на NtQueueApcThreadEx
 
Note that NtQueueApcThread now calls NtQueueApcThreadEx, which is why the reserve object is optional.
как я понимаю для xp/2003 при NtQueueApcThread из ring3 вызвается ядерный аналог NtQueueApcThread , а уже в win7 сразу NtQueueApcThreadEx, накоторый они видимо забыли хук поставить , хотя могу ошибаться

что у тебя за винда ?
 
karabas-barabas
win 7 32 да инжект делал. метод древний.
Просто посмотрел таблицу нашел Функцию буз хука (асинхронный вызов процедуры).
Находишь процесс в нем ниходишь адресс строки (это и будет название длл)
Копируешь длл куда надо )
Нходишь потоки этого процесса (хендлы) так как NtQueueApcThreadEx посл 3 анргументами можно воспользоватся для LoadLibraryExA.
После вызова NtQueueApcThreadEx длл в АП нужного нам процесса.
Было бы все OK но OpenThread не откроет системного процесса потоки так что пока тольку мало ))
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх