1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
| .386
OPTION casemap: none
INCLUDE \masm32\include\masm32rt.inc
INCLUDELIB \masm32\lib\kernel32.lib
INCLUDELIB \masm32\lib\user32.lib
;=======================================================================
; Отладочные функции (если понадобятся)
;=======================================================================
;INVOKE MessageBox, NULL, addr Params, chr$("Debug"),MB_OK
;INVOKE ExitProcess, 0
;=======================================================================
; Описываем переменные
;=======================================================================
.data
DelSymbol equ " " ;Переменная для подсчета пробелов (содержит символ пробела)
FirstFlag db 1, 0 ;Переменная для определения наличия аргументов
WinName db "C:\Windows\System32\runas.exe", 0 ;Заголовок окна для получения хэндлера
StartParam db "/user:PC-NAME\username ", 0 ;Первая часть строки - параметры для RUNAS
RunFile db """C:\Program Files (x86)\Vendor\ProgramName_.exe ", 0 ;Полный путь для программы, которой необходимо передать параметры
OpenCMD db "open", 0 ;Действие для процедуры запуска программы
FileName db "runas.exe", 0 ;Запускаемая программа
;========================================================================
; Выделяем память под динамические переменные
;========================================================================
.data?
Params db 2048 dup(?) ;Будет содержать полную строку параметров для RUNAS
TheArray db 2048 dup(?) ;Будет содержать элементы массива
tmp db 2048 dup(?) ;Будет содержать преобразованную строку входных параметров
Args db 2048 dup (?) ;Будет содержать строку входных параметров
Arg0 db 2048 dup (?) ;Будет содержать полный путь для текущего EXE
;========================================================================
; Код
;========================================================================
.code
start:
;========================================================================
; Парсинг и преобразование получаемых аргументов
; Аргументы получаем от VB-скрипта
; Для аргументов командной строки резать надо не по {="}, а по {=},
; а так же необходимо увеличить добавляемые кавычки с 2х до 3х
;========================================================================
INVOKE lstrcat, ADDR Params, ADDR StartParam ;К значению Params дописываем значение переменной StartParam
INVOKE GetCommandLine ;Получаем аргументы командной строки в регистр EAX
INVOKE lstrcat, ADDR Args, eax ;Сохраняем аргументы из регистра EAX в переменную Args
INVOKE GetCL, 0, ADDR Arg0 ;Получаем нулевой аргумент командной строки в регистр EAX - Полный путь к EXE-файлу
MOV edi, offset TheArray ;Записываем указатель на TheArray в EDI, приемник
INVOKE crt_strtok, ADDR Args, chr$(" ") ;Режем строку из переменной Args по пробелам
STOSD ;Сдвигаем указатель массива TheArray и записываем результат "Резки" из регистра EAX
MOV ebx, eax ;Заносим результат "Резки" из регистра EAX в EBX
.WHILE ebx ;Организуем цикл, пока не опустошим регистр EBX
INVOKE crt_strtok, NULL, chr$(" ") ;Продолжаем резать строку из переменной Args
STOSD ;Сдвигаем указатель массива TheArray и записываем результат "Резки" из регистра EAX
MOV ebx, eax ;Заносим результат "Резки" из регистра EAX в EBX
.ENDW ;Конец цикла
XOR ecx, ecx ;Обнуляем регистр ECX
LEA esi, Arg0 ;Получаем указатель на переменную Arg0
Next: ;Метка, если найден
CMP byte ptr [esi], DelSymbol ;Ищем пробелы в строке из переменной Arg0
JNZ Notfound ;Переходим на метку, если не найден
INC ecx ;Иначе, увеличиваем счетчик (значение регистра ECX) на 1
Notfound: ;Метка, если не найден
INC esi ;Переходим на следующий символ
CMP byte ptr [esi], 0 ;Проверяем равен ли текущий символ 0
JZ ExitLoop ;Если равен, значит конец строки, переходим на метку
JMP Next ;Иначе возвращаемся в начало цикла (переходим на метку)
ExitLoop: ;Метка, если цикл закончен (достигнут конец строки)
INC ecx ;Увеличиваем значение счетчика (значение регистра ECX) на 1
MOV esi, offset TheArray ;Получаем указатель TheArray в ESI, источник
.WHILE ecx ;Организуем цикл, пока значение регистра ECX > 0
LODSD ;Сдвигаем массив, удаляя элемент вначале (переносим его в EAX)
DEC ecx ;Уменьшаем значение регистра ECX на 1
.ENDW ;Конец цикла
.WHILE 1 ;Организуем бесконечный цикл
LODSD ;Сдвигаем массив, удаляя элемент вначале (переносим его в EAX)
.BREAK .IF !eax ;Если достигнут конец массива, выходим из цикла
PUSH eax ;Прячем значение регистра EAX в стек
INVOKE InString, 1, eax, chr$("=""") ;Проверяем наличие символов {="}
.IF sdword ptr eax >= 1 ;Проверяем, найден ли символ
.IF FirstFlag == 1 ;Проверяем значение переменной FirstFlag
DEC byte ptr [FirstFlag] ;Если оно эквивалентно 1, меняем значение этой переменной на 0
INVOKE lstrcat, ADDR tmp, chr$(" ") ;Дописываем к значению переменной tmp символ пробела
.ELSE ;Иначе (если значение отлично от 1)
INVOKE lstrcat, ADDR tmp, chr$("""""") ;Дописываем к значению переменной tmp две кавычки
INVOKE lstrcat, ADDR tmp, chr$(" ") ;Дописываем к значению переменной tmp символ пробела
.ENDIF ;Конец блока условий
POP eax ;Восстанавливаем значение регистра EAX из стека
INVOKE crt_strtok, eax, chr$("=") ;Режем строку из регистра EAX по символам {=} - получаем левую часть
MOV ebx, eax ;Заносим результат "Резки" из регистра EAX в EBX
PUSH edx ;Прячем значение регистра EDX в стек (оставшаяся часть строки после резки)
INVOKE lstrcat, ADDR tmp, eax ;Дописываем к значению переменной tmp значение регистра EAX
INVOKE lstrcat, ADDR tmp, chr$("=") ;Дописываем к значению переменной tmp символ {=}
INVOKE lstrcat, ADDR tmp, chr$("""""") ;Дописываем к значению переменной tmp две кавычки
POP edx ;Восстанавливаем значение регистра EDX из стека
INVOKE crt_strtok, edx, chr$("=") ;Продолжаем резать строку из регистра EDX - получаем правую часть
MOV ebx, eax ;Заносим результат "Резки" из регистра EAX в EBX
INVOKE lstrcat, ADDR tmp, eax ;Дописываем к значению переменной tmp значение регистра EAX
.ELSE ;Если символ не найден
INVOKE lstrcat, ADDR tmp, chr$(" ") ;Дописываем к значению переменной tmp символ пробел
POP eax ;Восстанавливаем значение регистра EAX из стека
INVOKE lstrcat, ADDR tmp, eax ;Дописываем к значению переменной tmp значение регистра EAX
.ENDIF ;Конец блока условий
.ENDW ;Конец цикла
.IF FirstFlag == 0 ;Проверяем значение переменной FirstFlag, если оно эквивалентно 0, значит командная строка содержит аргументы
INVOKE lstrcat, ADDR tmp, chr$("""") ;Дописываем к значению переменной tmp одну кавычку
.ENDIF ;Конец блока условий
INVOKE lstrcat, addr Params, addr RunFile ;Дописываем к значению Params значение переменной RunFile
INVOKE lstrcat, addr Params, addr tmp ;Дописываем к значению Params значение переменной tmp
INVOKE lstrcat, addr Params, chr$("""") ;Дописываем к значению переменной Params одну кавычку
;========================================================================
; Запуск файла от имени другого пользователя
;========================================================================
INVOKE ShellExecute, 0, addr OpenCMD, addr FileName, addr Params, 0, SW_SHOW ;Запуск cmd.exe и выполнение runas.exe
INVOKE Sleep, 100 ;Пауза 0.1 сек
INVOKE FindWindow, 0, offset WinName ;Поиск нужного окна, для организации ввода
MOV edi, eax ;Сохраняем хэндлер окна для работы
INVOKE SendMessage, edi, WM_CHAR, 'p', 0 ;Посимвольный ввод пароля
INVOKE Sleep, 10 ;с интервалом в 0.01 сек
INVOKE SendMessage, edi, WM_CHAR, 'a', 0 ;etc...
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 's', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 's', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 'w', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 'o', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 'r', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 'd', 0
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 10, 0 ;Посылаем символы перехода на следующую строку aka ENTER - 1310
INVOKE Sleep, 10
INVOKE SendMessage, edi, WM_CHAR, 13, 0
INVOKE Sleep, 10
INVOKE ExitProcess, 0 ;Завершаем работы программы
;========================================================================
END start |
(
