未公开函数RtlAdjustPrivilege()提权
http://blog.csdn.net/sky101010ws/article/details/7194018
RtlAdjustPrivilege() 这玩意是在 NTDLL.DLL 里的一个不为人知的函数,MS没有公开,原因就是这玩意实在是太NB了,以至于不需要任何其他函数的帮助,仅凭这一个函数就可以获得进程ACL的任意权限!
下面是函数定义:
|
1
2
3
4
5
6
7 |
NTSTATUS RtlAdjustPrivilege
(
ULONG Privilege,
BOOLEANEnable,
BOOLEANCurrentThread,
PBOOLEANEnabled
)
|
参数的含义：
Privilege [In] Privilege index to change.
// 所需要的权限名称，可以到MSDN查找关于Process Token & Privilege内容可以查到
Enable [In] If TRUE, then enable the privilege otherwise disable.
// 如果为True 就是打开相应权限，如果为False 则是关闭相应权限
CurrentThread [In] If TRUE, then enable in calling thread, otherwise process.
// 如果为True 则仅提升当前线程权限，否则提升整个进程的权限
Enabled [Out] Whether privilege was previously enabled or disabled.
// 输出原来相应权限的状态（打开 | 关闭）
用法很简单:
|
1
2
3 |
#define SE_DEBUG_PRIVILEGE 0x14 //DEBUG 权限
int s;
RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE,true,false,&s);
|
RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE,1,0,NULL);
比用 AdjustTokenPrivileges 来提升进程权限方便很多，所以自己整理下备忘
这个函数封装在NtDll.dll中（在所有DLL加载之前加载），被微软严格保密，就是说你在MSDN上查不到关于他的任何信息。
常量 SE_BACKUP_PRIVILEGE = 0x11h
常量 SE_RESTORE_PRIVILEGE = 0x12h
常量 SE_SHUTDOWN_PRIVILEGE = 0x13h
常量 SE_DEBUG_PRIVILEGE = 0x14h
先来看看这个函数的定义(Winehq给出)：
NTSTATUS RtlAdjustPrivilege
(
ULONG Privilege,
BOOLEAN Enable,
BOOLEAN CurrentThread,
PBOOLEAN Enabled
)
参数的含义：
Privilege [In] Privilege index to change.
// 所需要的权限名称，可以到 MSDN 查找关于 Process Token & Privilege 内容可以查到
Enable [In] If TRUE, then enable the privilege otherwise disable.
// 如果为True 就是打开相应权限，如果为False 则是关闭相应权限
CurrentThread [In] If TRUE, then enable in calling thread, otherwise process.
// 如果为True 则仅提升当前线程权限，否则提升整个进程的权限
Enabled [Out] Whether privilege was previously enabled or disabled.
// 输出原来相应权限的状态（打开 | 关闭）, 注意：该参数赋予空指针会出错，我测试过。
附上 Delphi 定义和例子，我测试过的：
function RtlAdjustPrivilege(Privilege:ULONG;
Enable:BOOL;
CurrentThread:BOOL;
var Enabled:BOOL):DWORD; stdcall; external 'ntdll';
const
SE_BACKUP_PRIVILEGE = $11;
SE_RESTORE_PRIVILEGE = $12;
SE_SHUTDOWN_PRIVILEGE = $13; //关机权限
SE_DEBUG_PRIVILEGE = $14; //调试权限
Delphi 调用例子：
var
Enabled:BOOL;
begin
if RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE,true,false,Enabled)) = 0 then
showmessage('ok');
end;
瞬间关机代码VC
#include <windows.h>
const unsigned int SE_SHUTDOWN_PRIVILEGE = 0x13;
int main()
{
HMODULE hDll = ::LoadLibrary("ntdll.dll");
typedef int (* type_RtlAdjustPrivilege)(int, bool, bool, int*);
typedef int (* type_ZwShutdownSystem)(int);
type_RtlAdjustPrivilege RtlAdjustPrivilege = (type_RtlAdjustPrivilege)GetProcAddress(hDll, "RtlAdjustPrivilege");
type_ZwShutdownSystem ZwShutdownSystem = (type_ZwShutdownSystem)GetProcAddress(hDll, "ZwShutdownSystem");
int nEn = 0;
int nResult = RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, true, true, &nEn);
if(nResult == 0x0c000007c)
{
nResult = RtlAdjustPrivilege(SE_SHUTDOWN_PRIVILEGE, true, false, &nEn);
}
nResult = ZwShutdownSystem(2);
FreeLibrary(hDll);
return 0;
}
