Два проводника

Тема в разделе "WASM.HEAP", создана пользователем pashe4ka13, 13 ноя 2011.

  1. punxer

    punxer Андрей

    Публикаций:
    0
    Регистрация:
    16 окт 2006
    Сообщения:
    1.327
    Адрес:
    Ржев
    С MSDN:
    порядок
    Winlogon пущен из системной папки.. Должен запускаться explorer из системной тоже вроде как
    -)

    LPCWSTR lpApplicationName=0
     
  2. punxer

    punxer Андрей

    Публикаций:
    0
    Регистрация:
    16 окт 2006
    Сообщения:
    1.327
    Адрес:
    Ржев
    pashe4ka13
    и файл уже выложи из обоих папок
     
  3. AndjellaArtavazdovna

    AndjellaArtavazdovna New Member

    Публикаций:
    0
    Регистрация:
    3 дек 2010
    Сообщения:
    615
    punxer
    Если все завязано на переменных окружения,то проблемно. Если при старте через этот ключ винда ищет основную директорию
    в windir , то проверка на правильность может быть выполнена тривиально на уровне файловой системы. Да и к тому же если юзать сей метод в малваре
    спалиться в 2 счета. Но дыры в автозапуске через ключи реестра однозначно есть. Попадался где-то семпл ,маскировавшийся
    под csrss.(Если что - я НЕ авер.) Точно не помню,но там какая-то фишка с этим порядком поиска в папках винды юзалась.
    Ничего не помню правда,как там это происходило.
     
  4. punxer

    punxer Андрей

    Публикаций:
    0
    Регистрация:
    16 окт 2006
    Сообщения:
    1.327
    Адрес:
    Ржев
    подскажите названия уязвимостей кто помнит.

    ггг. мне все равно)))

    уже вроде как три за запуск експлорера из систем32??
     
  5. punxer

    punxer Андрей

    Публикаций:
    0
    Регистрация:
    16 окт 2006
    Сообщения:
    1.327
    Адрес:
    Ржев
    Код (Text):
    1. if ( !CGlobalStore::RegAllocAndQueryWinlogonSZ(L"Shell", (void **)&Str)
    2.       || (Str = (wchar_t *)AllocAndExpandEnvironmentStrings(L"Explorer.exe")) != 0 )
    получается если есть переменная Explorer.exe=c:\123.exe то вместо шелла запустится 123.exe

    А вот кер там..