Как получить хэндлы системного процесса?

@NatiF · Регистрация: 07.06.2016

Author24 — интернет-сервис помощи студентам

Добрый день. Пытаюсь получить handle какого-нибудь системного процесса. Нашел в инете пример, который выставляет своему процессу привилегию SE_DEBUG_NAME. Ошибок при установке этой привилегии не пишет. Однако хэндл системного процесса получить не дает - ошибка доступа при OpenProcess. В чем может быть дело? PID ввожу вручную. Пишу под 10-й виндой в VS.

C++

DWORD pID = 788;
    
    HANDLE  pHandle, hProc = GetCurrentProcess(), tHand = NULL;
    BOOL fEnable = 0;
    
    
    
    if (!OpenProcessToken(hProc, TOKEN_ADJUST_PRIVILEGES, &tHand)) cout << "Error OpenToken:" << GetLastError() << endl;
    TOKEN_PRIVILEGES tp;
    tp.PrivilegeCount = 1;
    if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid)) cout << "Error LookUp:" << GetLastError() << endl;
    tp.Privileges[0].Attributes = fEnable ? SE_PRIVILEGE_ENABLED : 0;
    if (!AdjustTokenPrivileges(tHand, FALSE, &tp, sizeof(tp), NULL, NULL)) cout << "Error Adjust: " << GetLastError() << endl;
    CloseHandle(tHand);
 
    pHandle = OpenProcess(PROCESS_QUERY_INFORMATION, TRUE, pID);
    if (pHandle == 0) cout << pHandle << endl << "Error OpenProcess: " << GetLastError() << endl;
    else cout << "HANDLE: " << pHandle << endl;

Убежденный · 13.06.2016, 10:37

Начиная с Windows Vista и выше, некоторые процессы могут быть "защищенными", т.е.
их не удастся открыть с некоторыми правами ни под администратором, ни под системой, и
даже SE_DEBUG_NAME здесь не поможет. В Windows 8.1 этот механизм был еще больше
усилен - "Protected Processes Light" (информация есть в блоге A. Ionescu).

И я советую на Vista и выше использовать PROCESS_QUERY_LIMITED_INFORMATION -
больше шансов, что этот флаг не фильтруется защитой для некоторых процессов.

@NatiF · 13.06.2016, 16:51 **[ТС]**

Я врубил в цикле попытки открыть все непользовательские процессы, перебирая по очереди права. Так вот у меня из около 50 процессов только 2 вернули дескриптор с правом SINHRONIZE. Все остальное - ошибка доступа. Получается, что тут не некоторые процессы защищены, а все и почти от всего. Если можно открыть процесс с правом SINHRONIZE, можно ли теоретически сделать deadlock с участием этого процесса?

Убежденный · 13.06.2016, 18:48

Сообщение от NatiF

Я врубил в цикле попытки открыть все непользовательские процессы, перебирая по очереди права. Так вот у меня из около 50 процессов только 2 вернули дескриптор с правом SINHRONIZE. Все остальное - ошибка доступа.

А ты уверен, что у тебя включается привилегия SE_DEBUG_NAME?
Можно Process Explorer-ом посмотреть, например. Дело в том, что TRUE на
AdjustTokenPrivileges еще ничего не означает, надо GetLastError еще звать и
проверять, что он ERROR_SUCCESS (см. AdjustTokenPrivileges в MSDN -
там это есть).

@NatiF · 13.06.2016, 19:46 **[ТС]**

Точняк, не устанавливается. 1300 возвращает, а это fail. Получается нет доступа к структуре TOKEN PRIVILEGES. А его нет, потому что в маркере к ней нет доступа. Тут гостевая учетка. В каком же направлении тут копать дальше?

Убежденный · 13.06.2016, 19:51

Под гостевой учеткой ты никак не откроешь системные процессы.
Если они только сами не разрешат.

@NatiF · 13.06.2016, 20:22 **[ТС]**

Самое интересное, что и из группы "Администраторы" не удается получить SE_DEBUG

Убежденный · 13.06.2016, 21:09

Сообщение от NatiF

Самое интересное, что и из группы "Администраторы"

А как ты определяешь, что у процесса есть права администратора?

@NatiF · 13.06.2016, 21:13 **[ТС]**

Никак. Предположение, что он в маркере наследует информацию от группы. А процесс запущен из группы "Администраторы"

Убежденный · 13.06.2016, 21:14

Кстати,

C++

1	BOOL fEnable = 0;

Здесь fEnable должно быть 1, т.е. включить привилегию, а не выключить.
И процесс запускать от имени администратора (правой кнопкой мыши клик
на exe файле, далее в контекстном меню выбрать "Запуск от имени
Администратора").

@NatiF · 14.06.2016, 16:57 **[ТС]**

Заработало) Спасибо. Теперь открывает кучу хэндлов на процессы с правами. И AdjustToken возвращает нуль в качестве кода ошибки. Надо еще реализовать в коде запуск от админа, ну... чтоб не мышкой)

Добавлено через 19 часов 26 минут
Пытаюсь вот такой манифест подключить к проекту. Сохранил его в UTF-8, добавил в проекте в Resourse Files. В опциях линкера отключил Generate Manifest и поставил там highestAvailable. Не работает, файл запускается в обычном режиме. Пробовал в код вставить 1 24 "C:\\addon.xml", тоже без реакции. Что может быть не так?

XML

<?xml version="1.0" encoding="utf-8" standalone="yes"?>
 
<assembly
  xmlns="urn:schemas-microsoft-com:asm.v1"
  manifestVersion="1.0">
 
  <assemblyIdentity
    type="win32"
    name="CyberDYNE"
    version="1.0.0.0"
    processorArchitecture="*">
  </assemblyIdentity>
 
  <description>File managment improved control</description>
 
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel
          level="highestAvailable"
          uiAccess="false" />
      </requestedPrivileges>
    </security>
  </trustInfo>
 
  <compatibility xmlns="urn:schemas-microsoft-com:compatibility.v1">
    <application>
 
      <!-- Windows 10 -->
      <supportedOS Id="{8e0f7a12-bfb3-4fe8-b9a5-48fd50a15a9a}"></supportedOS>
 
         </application>
  </compatibility>
 
  <application xmlns="urn:schemas-microsoft-com:asm.v3">
    <windowsSettings>
      <dpiAware
          xmlns="http://schemas.microsoft.com/SMI/2005/WindowsSettings">True/PM</dpiAware>
    </windowsSettings>
  </application>
 
</assembly>

Убежденный · 14.06.2016, 17:43

Exe в студию!

@NatiF · 14.06.2016, 17:54 **[ТС]**

Вот.

Убежденный · 14.06.2016, 19:10

В этом exe вообще нет манифеста.

@NatiF · 16.06.2016, 13:25 **[ТС]**

А в этом?

@NatiF · 17.06.2016, 13:46 **[ТС]**

Убежденный, в ресурсах вроде появился файл rights.xml, и в окошке появился rights.rc в двоичном виде. Может его еще где-то указать надо?

@NatiF · 22.06.2016, 15:05 **[ТС]**

Разобрался! Нужно было включить Generate Manifest:yes в опциях линкера. Теперь при запуске выводится окошко UAC.

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	13.06.2016, 10:37	2
	Сообщение было отмечено _lunar_ как решение Решение Начиная с Windows Vista и выше, некоторые процессы могут быть "защищенными", т.е. их не удастся открыть с некоторыми правами ни под администратором, ни под системой, и даже SE_DEBUG_NAME здесь не поможет. В Windows 8.1 этот механизм был еще больше усилен - "Protected Processes Light" (информация есть в блоге A. Ionescu). И я советую на Vista и выше использовать PROCESS_QUERY_LIMITED_INFORMATION - больше шансов, что этот флаг не фильтруется защитой для некоторых процессов. 2

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	13.06.2016, 16:51 [ТС]	3
	Я врубил в цикле попытки открыть все непользовательские процессы, перебирая по очереди права. Так вот у меня из около 50 процессов только 2 вернули дескриптор с правом SINHRONIZE. Все остальное - ошибка доступа. Получается, что тут не некоторые процессы защищены, а все и почти от всего. Если можно открыть процесс с правом SINHRONIZE, можно ли теоретически сделать deadlock с участием этого процесса? 0

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	13.06.2016, 18:48	4
	Сообщение от NatiF Я врубил в цикле попытки открыть все непользовательские процессы, перебирая по очереди права. Так вот у меня из около 50 процессов только 2 вернули дескриптор с правом SINHRONIZE. Все остальное - ошибка доступа. А ты уверен, что у тебя включается привилегия SE_DEBUG_NAME? Можно Process Explorer-ом посмотреть, например. Дело в том, что TRUE на AdjustTokenPrivileges еще ничего не означает, надо GetLastError еще звать и проверять, что он ERROR_SUCCESS (см. AdjustTokenPrivileges в MSDN - там это есть). 2

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	13.06.2016, 19:46 [ТС]	5
	Точняк, не устанавливается. 1300 возвращает, а это fail. Получается нет доступа к структуре TOKEN PRIVILEGES. А его нет, потому что в маркере к ней нет доступа. Тут гостевая учетка. В каком же направлении тут копать дальше? 0

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	13.06.2016, 19:51	6
	Под гостевой учеткой ты никак не откроешь системные процессы. Если они только сами не разрешат. 0

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	13.06.2016, 20:22 [ТС]	7
	Самое интересное, что и из группы "Администраторы" не удается получить SE_DEBUG 0

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	13.06.2016, 21:09	8
	Сообщение от NatiF Самое интересное, что и из группы "Администраторы" А как ты определяешь, что у процесса есть права администратора? 0

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	13.06.2016, 21:13 [ТС]	9
	Никак. Предположение, что он в маркере наследует информацию от группы. А процесс запущен из группы "Администраторы" 0

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	14.06.2016, 17:43	12
	Exe в студию! 0

Убежденный Ушел с форума 16473 / 7436 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	14.06.2016, 19:10	14
	В этом exe вообще нет манифеста. 0

	22.06.2016, 15:05

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	17.06.2016, 13:46 [ТС]	16
	Убежденный, в ресурсах вроде появился файл rights.xml, и в окошке появился rights.rc в двоичном виде. Может его еще где-то указать надо? 0

@NatiF 75 / 9 / 1 Регистрация: 07.06.2016 Сообщений: 131
	22.06.2016, 15:05 [ТС]	17
	Разобрался! Нужно было включить Generate Manifest:yes в опциях линкера. Теперь при запуске выводится окошко UAC. 0

Как получить хэндлы системного процесса?

Решение