KernelExplorer without driver

Как-то давно поставил себе цель сделать некий инструмент на подобии WinDbg и Process Hacker но без использования драйвера.
Посмотреть как далеко может пустить ОС код, запущенный из-под обычного юзера, путем повышения прав, привилегий и т.д.
Но на какое-то время забросил этот проект. И вот сейчас решил восстановить, добавил функционала, поправил ошибки.

Из возможностей на данный момент:
1. открытие дескриптора любого процесса (Protected и ProtectedLite процессы открываются только для чтения)
2. вывод информации о DACL, SACL, таблиц доступа и аудита (в планах добавление функционала для изменения этих данных)
3. полный контроль над токеном процесса (включение, отключение и удаление привилегий)
4. завершение процесса (кроме Protected и ProtectedLite процессов)
Всё что я сейчас перечислил, Process Hacker делает только с включенным драйвером.
5. создание процесса с учетной записью SYSTEM
Здесь немного подробнее расскажу. Перед созданием процесса нужно открыть процесс, на основе которого будет создан новый.
Если открывается процесс, запущенный в SessionId 0, то и новый процесс будет запущен в нулевой сессии.
Это означает, что оконную процедуру вы не увидите, т.к. у каждой сессии свая станция (Windows Station) и у каждой станции свой рабочий стол.
Если открывается процесс, запущенный в SessionId 1, то и новый процесс будет запущен в этой же сессии с оконными процедурами, но как NT_AUTHORITY\SYSTEM (будь то блокнот или ещё что), при условии если parentprocess тоже был SYSTEM.
В следующем обновлении будет реализован механизм выбора рабочего стола (с Winlogon уже экспериментировал и запускал программы на экране блокировки, т.е. чтобы что запустить программу не нужно знать логин и пароль от ОС).

На данный момент никакой нумерации билдов не виду, т.к. попутно проектирую GUI версию (на ней планирую делать нумерацию).

Немного скринов)
Собственно приглашение пользователя ввести команду (всегда начинайте с op - открытие процесса, т.к. данная команда собирает всю необходимую информацию для последующих действий)

Пример вывода информации

Манипуляции с токеном


В общем если у кого-то есть предложения по расширению функционала, буду рад выслушать.

PS: для запуска необходимы права администратора (в дальнейшем эту проблему решу так же, как и у Process Hacker), и набор библиотек VC++ runtime (проект собран на VS2019).

Вложения

KernelExplorer.7z (21.9 Кб, 37 просмотров)

1

Ещё при введении в одной строке команд ls и lp - вывод листов с сервисами и процессами : выполняются обе - без всяких доп. команд : фича очень бесящая учитывая что листаются они со скоростью улитки . В таком случае лучше сделать отдельную команду для такого сценария - ещё лучше с соотнесением процессов и сервисов ( если таковы имеются ) .

Сообщение от _lunar_ на счёт PH, когда выложу новую сборку протестируйте поведение,

оно маловероятно - я уже и забыл как это получилось 1 раз из 5-10 тестируемых ( но без доп. настроек варианта из утилиты это точно ) .

Сообщение от Wadim_Ymniy Ещё при введении в одной строке команд ls и lp - вывод листов с сервисами и процессами : выполняются обе - без всяких доп. команд : фича очень бесящая учитывая что листаются они со скоростью улитки .

и хотелось бы доп. аргумент проматывающий список сразу в самый низ как только он загрузиться : шоб перед рожей не мерцало - ну это так не очень важно конечно же : ибо в с cmd вроде такого тоже нет : если бы это было не сложно реализуемо , я был бы не против если б было - так скажем .

Добавлено через 27 минут
Если набрать неправильное наименование с командой "cp" - то первый раз выйдет ошибка , а второй раз пропустятся строки без вывода оной ( красной строчки с ошибкой ) : шо плохо - ибо если ошибку не заметить на экране , то можно и дальше сидеть .

Добавлено через 1 минуту

Сообщение от _lunar_ а всё верно, я проверку не делал на ввод пользователем.

ну это иногда хорошо : к примеру "utl 1 1 utl 2 1" : открывают сразу обе утилиты .

Добавлено через 6 минут
Если при использовании имени в команде op ошибиться 2 раза подряд - консоль сама себя закроет : это странно - почему бы её просто не перезагрузить .

Добавлено через 3 минуты

Сообщение от _lunar_ В общем если у кого-то есть предложения по расширению функционала, буду рад выслушать.

проверка подписи драйверов наверное из такого и загрузку процессора ( не ту которую диспетчер показывает ) - только баги убрать бы для начала Ну и пожалуй чтобы развёрнутая консоль была в рамках - ибо неудобно так .

0

Сообщение от Wadim_Ymniy чтобы развёрнутая консоль была в рамках

в качестве временного решения могу посоветовать использовать комбинацию Alt+Enter
консоль свернётся до оконного режима, и можно будет растянуть её как необходимо.

1

Так же есть ещё баг с командой cls - если запустить команду sw с определённой ошибкой и набрать команду очистки ( cls ) : вместо неё выполнится команда ls ( как будто "с" не считалась )

- а вот это почему происходит ? Это же не ввод юзера такой ...


https://youtu.be/T5EnwpJrKZI это на всякий случай шоб понятно было - шо неполадки с самой конослью .

....
Пытался ради интереса использовать команду "tp" на explorer и шо из этого вышло - https://youtu.be/dJzpoyd5DQk . При этом в отношении всяких простых типа USB Disk Security , MemReduct , Bravo и пр. работает как должен .

0

Добавлено через 15 секунд

Сообщение от Wadim_Ymniy Пытался ради интереса использовать команду "tp" на explorer и шо из этого вышло - https://youtu.be/dJzpoyd5DQk . При этом в отношении всяких простых типа USB Disk Security , MemReduct , Bravo и пр. работает как должен .

Более того не понял зачем эта команда вообще нужна - есть ведь уже PH в архиве с большим функционалом .

0

Wadim_Ymniy, посмотрел видео.
всё ясно - вы неправильно используете команды.
после ввода команды нужно нажимать Enter
т.е. ввели tp нажали Enter, дальше программа попросит вас ввести ID процесса
вводите ID процесса нажимаете Enter

всё через Enter

0

Сообщение от _lunar_ т.е. ввели tp нажали Enter, дальше программа попросит вас ввести ID процесса вводите ID процесса нажимаете Enter

блин блинский

Добавлено через 1 минуту
не не помогает

Добавлено через 3 минуты
тем более вы сами говорили что нет проверки ввода - можно хоть 6 команд сразу ввести и они будут работать .

0

_lunar_, а вы можете создать Win32 окно обычное, добавить туда 2 текстовых поля и кнопку, и "запайпить" туда stdin/stdout, чтобы удобнее было вводить команды?

либо сделать отдельный параметр запуска, с помощью которого вашу программу можно будет запустить в каком то более удобном терминале, а она чтобы просто stdin/stdout перенаправила.

0

MrOnlineCoder, сделать могу, но только есть ли смысл?
сейчас на работе разгребу завалы, и возьмусь уже за полноценный GUI.

0

Релизнул новую сборку с очень интересной функцией
Подробности в блоге https://www.cyberforum.ru/blog... g6994.html

0

Дабы избежать путаницы с ревизиями программы сделал некую унификацию через постоянную ссылку на Google Диск https://www.cyberforum.ru/blog... g7009.html
Все актуальные версии будут там.

0

Чтобы вообще упростить жизнь юзера реализовал автоматическое обновление программы

0

Сообщение от _lunar_ тобы вообще упростить жизнь юзера реализовал автоматическое обновление программы

и где эта версия есть ? И как это работает - с диска автоматом качается или как ?

0

Сообщение от Wadim_Ymniy и где эта версия есть ?

на Google Диске.

Сообщение от Wadim_Ymniy И как это работает

команда upd (Enter)

Сообщение от Wadim_Ymniy с диска автоматом качается или как ?

с Google Диска скачивается актуальная версия.
делать ничего не нужно, программа сама меняет обновленный файл и предлагает перезагрузиться - y (Enter).

1

жаль в утилиту нельзя ещё чего-нибудь впихнуть : к примеру проверку подписей дров и упрощённое создание сертификатов для запущенных процессов .

0

Сообщение от Wadim_Ymniy жаль в утилиту нельзя ещё чего-нибудь впихнуть

ну почему нельзя, вполне можно
и над идеей с подписями и сертификатами я уже тоже подумывал.

но на данный момент я не работаю над добавлением нового функционала, т.к. всё свободное время уходит на GUI версию.
работу провёл большую и реализовал около 80% того, что было в консольной версии.
осталось написать контрол для ListView (пока здесь небольшие проблемы возникли, возможно придётся перейти на более упрощенный контрол - ListBox, всё же писать на голом Win32 API это дело не простое) и немного расширить уже имеющийся в консольной версии функционал управления процессам и сервисами для удобства в GUI версии.

0