Life has its own fate, and meeting may not be accidental.

0%

C++提权的几种方式(win)(二)

发表于 更新于 分类于   |   字数统计: 1.5k(字)   |   阅读时长: 6(分) Valine：

书接上回嘿嘿

常见问题

Q：注册表是什么?

A：注册表实际上是一个管理配置系统运行参数的核心数据库，它记录了安装软件与运行程序的关联关系，计算机的硬件配置等信息。可以说计算机上所有针对硬件、软件、网络的操作都是源于注册表的。可以使用 regedit.exe 这个系统提供的注册表编辑器去管理编辑注册表。

C++ 写入注册表启动项

注意：需要重启才能重新加载注册表，这边写入的是开机自启动的注册表，代码中的刷新功能没成功（还有别的刷新注册表的方式，这边没有再去做其他尝试）。并且需要注意64与32位注册表的不同。

以下尝试的几种刷新方法：

  • SendMessage(HWND_BROADCAST, WM_SETTINGCHANGE, 0, 0); //利用消息发送函数向WINDOWS发送刷新注册表的消息
  • PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL); //模拟F5刷新
  • SystemParametersInfo(SPI_SETCURSORS, 0, NULL, SPIF_SENDCHANGE); //通过给第一个参数传入一个SET属性的参数可以实现部分系统刷新功能
  • SendMessageTimeout(HWND_BROADCAST, WM_SETTINGCHANGE, 0, (LPARAM)L”Environment”, SMTO_ABORTIFHUNG, 3000, NULL); ////通知所有打开的程序注册表已修改

SendMessageTimeout与SendMessage有什么不同？

1
2
3
4
5
SendMessage : 如果指定窗口由调用线程创建，那么窗口过程会被当成一个子程序立即调用。如果指定窗口由另外一个线程创建，那么系统会切换到那个线程，并且调用合适的窗口过程。在线程之间传递的消息仅仅当接收线程执行message retrieval code才会被处理。发送线程会被堵塞直到接收线程处理完消息。但是，发送线程在等待的同时会处理收到的nonqueued messages。为了阻止这一点，使用带有SMTO_BLOCK参数的SendMessageTimeout。

SendMessage()在目标线程从其消息队列中检索到消息，然后以完整或调用的方式处理消息之前，不会退出ReplyMessage()释放SendMessage()同时继续处理消息。所以，如果SendMessage()它意味着目标线程没有处理它的消息队列，这很好地表明目标线程可能在等待其他消息时处于死锁状态。

使用SendMessageTimeOut()，我们可以设置一个等待时间。一般情况下，这个消息应该会在这个时间会返回，但异常情况就通过这个TIME来帮助我们返回，从而知道对象的线程挂起而避免自己被挂起。

64位的

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
#include <stdio.h>
#include <windows.h>
#include <iostream>
#include<string>
#pragma warning(disable : 4996)
using namespace std;

int regedit(HKEY key, const char* reg_name, const char* key_name, const char* key_value)
{	
	HKEY hkResult;
	int ret = RegOpenKeyEx(key, reg_name, 0, KEY_ALL_ACCESS, &hkResult);

	if (ret != 0) {
		return ret;
	}
	ret = RegSetValueEx(hkResult, key_name, 0, REG_EXPAND_SZ, (CONST BYTE*)key_value, 100);
	if (ret == 0)
	{
		RegCloseKey(hkResult);
		SendMessageTimeout(HWND_BROADCAST, WM_SETTINGCHANGE, 0, (LPARAM)L"Environment", SMTO_ABORTIFHUNG, 3000, NULL);
		//下面是刷新的几种方法，都没成功
        //SendMessage(HWND_BROADCAST, WM_SETTINGCHANGE, 0, 0);
		//PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL);
		//SystemParametersInfo(SPI_SETCURSORS, 0, NULL, SPIF_SENDCHANGE);
		//SystemParametersInfo(SPI_SETANIMATION, sizeof(ANIMATIONINFO), &info, SPIF_SENDCHANGE);
		return 0;
	}
	else
	{
		return ret;
	}
}

int autopen(const char* key_name, const char* process_path)
{
	char reg_name[] = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
	return regedit(HKEY_LOCAL_MACHINE, reg_name, key_name, process_path);

}
int main(void)
{
	string key_name;
	string process_path;
	cout << "注册项名称 文件路径\n";
	getline(cin, key_name);
	getline(cin, process_path);
	//cout << process_path;
	int ret = autopen(key_name.c_str(), process_path.c_str());
	if (ret == 0)
		printf("write to register succeed\n");
	else {
		printf("错误响应码：%d\n", ret);
		printf("write to register failed\n");
	}
	system("pause");
	return 0;
}

x86

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
#include <stdio.h>
#include <windows.h>
#include <iostream>
#include<string>
#pragma warning(disable : 4996)
using namespace std;


void test()
{
	char reg_name[] = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
	LPCTSTR lpSubKey = reg_name;
	HKEY hKey;
	REGSAM flag = KEY_WOW64_64KEY; //判断是否为64位
	DWORD dwDisposition = REG_OPENED_EXISTING_KEY;
	LONG lRet = RegOpenKeyEx(HKEY_LOCAL_MACHINE, reg_name, 0, KEY_ALL_ACCESS | flag, &hKey);
	//LONG lRet = ::RegCreateKeyEx(HKEY_LOCAL_MACHINE, lpSubKey, NULL, NULL, REG_OPTION_NON_VOLATILE,KEY_ALL_ACCESS, NULL, &hKey, &dwDisposition);  
	if (ERROR_SUCCESS != lRet)
	{
		return;
	}
	char setPath[]= "C:\\Windows\\system32\\cmd.exe";
	TCHAR* pchrName = setPath;
	lRet = ::RegSetValueEx(hKey, TEXT("TEST"), NULL, REG_SZ, (LPBYTE)pchrName, 100); //设置注册表项  
	if (ERROR_SUCCESS != lRet)
	{
		return;
	}
	::RegCloseKey(hKey); //与RegCreateKeyEx配对写 
	PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL);
}


int main(void){
	test();
	return 0;
}

利用CMD命令行创建计划任务

CMD 命令行下有两个命令可以创建计划任务，一个是at，另一个是schtasks。

  • at 命令仅在 Win7 及以下系统有效，支持指定任务的执行时间，支持远程创建计划任务，但不能指定任务在系统启动或用户登录时启动。与schtasks命令相比，其优势是创建计划任务所需的命令比较简单。
  • schtasks支持 Windows 全系列系统，与at命令相比，可设置的选项更加丰富，能适应更多的应用场景，同时还允许指定任务在系统启动、用户登录甚至是系统闲置时间启动。

缺点：at只能在windows7-以及windows 2008以下系统运行。并且调用at、sc等去做计划任务的话，容易被杀软监测到。效率比较低，可能得做好免杀。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
//这个是at的计划任务
#include<stdio.h>  
#include<windows.h>  
#include<lmcons.h>  
#include<lmat.h>  
#include<iostream>
#include<string>
using namespace std;

#pragma comment(lib, "netapi32.lib")

///计划任务
void Jobadd() {
    DWORD JobId, ret;
    AT_INFO ai;
    string filepath;
    string RootPath;
    string Rootapp;
    long Len;

    cin >> RootPath;
    WCHAR szFilePath[100000];
    //GetSystemDirectory(&RootPath[0], MAX_PATH);
    filepath = RootPath;
    cin >> Rootapp;
    filepath += Rootapp;
    memset(&ai, 0, sizeof(ai));
    Len = MultiByteToWideChar(CP_ACP, 0, filepath.c_str(), strlen(filepath.c_str()), szFilePath, sizeof(szFilePath));
    szFilePath[Len] = '\0';
    ai.Command = szFilePath;
    ai.DaysOfMonth = 0;
    ai.DaysOfWeek = 0x7F; //7F等于二进制的7个1，就是每周的7天全部运行  
    ai.Flags = JOB_RUN_PERIODICALLY;
    ai.JobTime = 22 * 60 * 60 * 1000 + 21 * 60 * 1000; //22点21分，这里是以毫秒为单位的，所以需要乘这些值  
    ret = NetScheduleJobAdd(NULL, LPBYTE(&ai), &JobId);
    cout << ret << endl;
    cout << NetScheduleJobAdd(NULL, LPBYTE(&ai), &JobId) << endl;
    //if (ret == ERROR_SUCCESS)
      //  std::cout << " SUCCESS!!" << std::endl;
    //else
     //   std::cout << "Error" << std::endl;

}

int main(int argc, char* argv[]) {
    Jobadd();
    return 0;
}

参考文章

Windows 注册表相关API总结

几个修改注册表后立即生效的刷新方法