Инжект под учетной записью без прав администратора?

Почитал о нескольких вариантах инжекта, но насколько я понял, все действия должны выполнятся под учетной записью администратора.
Есть ли возможность реализовать сабж не используя реестр?
Желательно пример кода или ссылку на статью

 

Что именно Вы прочитали...

Уточните первое

а с этим в комерс

 

да...

нет...

 

Прочитал о методе с использованием хуков(не подходит, целевой процесс может не иметь окна),с использованием удаленных потоков(не подходит, отладочные привилегии смог получить только под учеткой администратора)

Под "не используя реестр" имелось ввиду что модификация ключа HKEY_LOCAL_MACHINE\Software\Microsoft\windowsNT\Currentversion\windows\appinit_dlls , который по всей видимости определяет библиотеки, дополнительно подключаемые ко всем процессам ,нежелательна

единственно я не уверен, требует ли SetThreadContext наличия у процесса отладочных привилегий

 

дело не в удаленных потоках и не в изменении контекста потока, дело в правах на хендл целевого процесса (или потока), если у вас будет хендл с необходимым набором прав, привилегии отладчика могут и не понадобится...

 

Спасибо за подсказку, теперь последний вопрос- нужны ли процессу отладочные привилегии для того чтобы открыть другой процесс с правами PROCESS_DUP_HANDLE?попробую украсть хендлы из csrss.exe

 

Как правило, отладочные привилегии и нужны для открытия системных процессов.

 

я уже понял когда попробовал...
интересно,автор статьи http://wasm.ru/article.php?article=apihook_2 специально использовал делфи чтоб не копипастили?)

 

добавлю к ответу KeSqueer тот факт, что в висте и старше так просто вам не удастся открыть системный процесс, так как он имеет существенно высший integrity level, даже из под админа это бывает нетривиальной задачей...

 

А каким еще тогда образом можно получить хендл с необходимым набором прав к целевой процессу ?

 

6opoDuJIo
Иметь такие же привелегии, как процесс в который надо внедриться.

Создайте копию себя с повышенными привелегиями(ShellExecute+runas), и оттуда инжектитесь.
Или ищите сплойт, который повысит ваши права.
Или инжектитесь в равные себе процессы и забейте на системные.

 

А как это делается?
Хоть тезисно.

 

http://msdn.microsoft.com/en-us/library/bb762154(VS.85).aspx
http://en.wikipedia.org/wiki/User_Account_Control

 

И еще кое-что об инжектах. Недели 2 назад начал копаться в этой теме,написал несколько простеньких программок,внедряющих
ДЛЛки в чужие процессы. Как оказалось, в случае некоторых процессов ,а именно IE8, CreateRemoteThread(...) завершается верно,но инжекта не происходит. Работал под учетной записью администратора. В чем может быть причина? Помниться в одной из
статей Ms-Remа говорилось от существовании программ перехватывающих CreateRemoteThread(...). Они распространены или это до сих пор редкость?

 

AndjellaArtavazdovna
С чего вы взяли что инжект не срабатывает?

 

ziral2088
Для экспериментов написал 2 ДЛЛки: одна вызывает MessageBox при загрузке и выгрузке,а другая MessageBeep(предположил что окошко сообщения десктоп не получает) в аналогичных ситуациях. С большинством процессов прокатывает,а вот IE и Adobe никак.

 

во многом... смотрите отладчиком...

вы не понимаете о чем говорите... перехват создания потоков, если и есть, то реализуется драйвером... внедрение длл во все процессы и перехват функций - бредовая идея... защитить себя от удаленных потоков можно перехватив точку входа потоков (в кернел32 вроде), удаленные потоки можно определять по стартовому адресу например...

как говорил Клерк, гуано-инжект ремовских статей уже давно не актуален)))

 

Rel
Может быть "гуано-инжект ремовских статей уже давно не актуален",но начинать с чего-то нужно. На счет драйвера и бредовой идей
перехвата строго не судите - я низкоуровневым программированием занимаюсь месяца 1,5. И если "гуано-инжект ремовских статей уже давно не актуален",то с чего сейчас начинают такие кулхацкеры как Клерк?)

 

не ну ради Бога... только учтите, что сейчас эти методы не сигнализируют только самые ленивые аверы))) а насчет Клерка, он своего рода звезда здесь...

 

все звезды вроде на небе есть.
AndjellaArtavazdovna
ставите int3 в коде(в ДллМэин), и тестите все на вмваре в windbg.
MessageBox вообще не рекомендую в DllMain пихать.