软件下载 | 资讯教程 | 最近更新 | 下载排行 | 一键转帖 | 发布投稿
您的位置:最火下载站 > 网络技术 > 技巧与工具 > 强制运行受限程序的三种方法

强制运行受限程序的三种方法

  运行一个EXE程序如果出现无法运行的情况,比如受限制或者程序被替换掉,一般有两种情况,第一种是外壳限制。双击一个程序通常调用Shell开头的函数来执行,比如ShellExecute,这个函数并非真正执行了EXE,而是会做出许多选择,例如是否被外壳限制(注册表RestrictRun项),检查文件的关联等。第二种是执行限制。当EXE文件关联被改变的情况下,Windows的任务管理器还是可以运行的,因为它用的是直接执行方式CreateProcess,所以它不会受到关联的影响。然而CreateProcess并非最底层,它也会被拦截,CreateProcess之后是CreateProcessInternal,后者会做各种检查,比如以下三种方式:

  1.映像劫持(IFEO)

  这种技术如今已经过时了,在这里简单说一下。通过IFEO可以对目标程序进行Hook,原理是利用了Windows的调试机制。在执行一个程序时,系统会检查注册表中Image File Execution Options项,若存在同名程序,则放弃执行原程序,而用Debugger后面的程序用来调试原来的程序,这里实际上运行了调试器,原程序只是一个参数而已。系统不会检查是否循环调用,出现这种情况则会卡死直到超出路径最大长度进而出错。这种技术可以被病毒利用达到偷梁换柱的目的,也可以用来限制某个程序运行。关于IFEO有个错误的说法,说是以lpApplicationName方式运行EXE就不会被调试,事实证明这种方式无效,只要有debugger就会被调试,除非指定DEBUG_PROCESS或者DEBUG_ONLY_THIS_PROCESS。

  2.软件限制策略

  系统组策略中有一项叫软件限制策略,用于限制一个程序运行,可以根据路径限制,也可以根据文件MD5来限制。比如禁止一个路径规则?:\*就会限制运行所有程序。

  3.Manifest文件

  这是一个程序集文件,有些软件会带有一个这样的文件,文件命名方式是在原EXE文件名后加上个.Manifest后缀。大多数软件是没有这个文件的,如果在软件目录里建了一个这样的空文件或文件夹,那么软件运行时因为读取出错就会终止运行。这种方式作用同IFEO差不多,都可以根据文件名来限制其运行,只是不能替换文件。

  那么如何摆脱它们的限制呢?其实也很简单,通用调试CreateProcess会发现,中间会对上面的三者分别进程检查。检查的顺序是,软件限制策略->映像劫持->Manifest文件。首先是软件限制策略,执行到这一步系统会调用四个函数:SaferIdentifyLevel、SaferComputeTokenFromLevel、SaferCloseLevel和SaferRecordEventLogEntry。这4个函数位于advapi32.dll库中,其中SaferComputeTokenFromLevel比较关键,它的返回值决定了是去还是留,若返回0则表示校验失败,说明存在限制,若返回1代表校验成功,程序会往下执行。我们直接内部Hook掉SaferComputeTokenFromLevel返回1,便可无视软件限制策略。接下来再看映像劫持,程序之所以会被劫持是因为注册表中存在同名程序,所以系统势必会查询“Image File Execution Options”项,我们直接Hook掉ntdll.dll的NoOpenKey这个存根函数,一旦发现在查询IFEO就返回,程序就会跳过IFEO的检查了。其实这种方法比较烦琐一些,还有个更为简单的方法,ntdll.dll中有一个LdrQueryImageFileExecutionOptions函数,它负责管理IFEO,直接干掉它让它返回0即可。当然,如果还是感觉麻烦干脆如开头所说的直接在创建进程时加个DEBUG_PROCESS标志,运行后再结束调试即可。再来看最后一个,这个比较特别,因为我没有找到哪个函数在检查Manifest,找不到也无所谓,因为不管是什么函数在检查它,实质是要判断是否存在Manifest这个文件,系统一般会采用打开文件的方法来判断,也就是NtOpenFile,现在我们将NtOpenFile回调一下,只要监控到manifest则返回一个STATUS_OBJECT_NAME_NOT_FOUND,意思是没有找到对象名称,这样也就绕过了Manifest机制。剩余的就是系统的任务了,比如NtCreateSection

    相关阅读
    网友评论
    栏目导航
    推荐软件