Life has its own fate, and meeting may not be accidental.

0%

C++提权的几种方式(win)(二)

书接上回嘿嘿

常见问题

Q:注册表是什么?

A:注册表实际上是一个管理配置系统运行参数的核心数据库,它记录了安装软件与运行程序的关联关系,计算机的硬件配置等信息。可以说计算机上所有针对硬件、软件、网络的操作都是源于注册表的。可以使用 regedit.exe 这个系统提供的注册表编辑器去管理编辑注册表。


C++ 写入注册表启动项

注意:需要重启才能重新加载注册表,这边写入的是开机自启动的注册表,代码中的刷新功能没成功(还有别的刷新注册表的方式,这边没有再去做其他尝试)。并且需要注意64与32位注册表的不同。

以下尝试的几种刷新方法:

  • SendMessage(HWND_BROADCAST, WM_SETTINGCHANGE, 0, 0); //利用消息发送函数向WINDOWS发送刷新注册表的消息
  • PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL); //模拟F5刷新
  • SystemParametersInfo(SPI_SETCURSORS, 0, NULL, SPIF_SENDCHANGE); //通过给第一个参数传入一个SET属性的参数可以实现部分系统刷新功能
  • SendMessageTimeout(HWND_BROADCAST, WM_SETTINGCHANGE, 0, (LPARAM)L”Environment”, SMTO_ABORTIFHUNG, 3000, NULL); ////通知所有打开的程序注册表已修改

SendMessageTimeout与SendMessage有什么不同?

1
SendMessage : 如果指定窗口由调用线程创建,那么窗口过程会被当成一个子程序立即调用。如果指定窗口由另外一个线程创建,那么系统会切换到那个线程,并且调用合适的窗口过程。在线程之间传递的消息仅仅当接收线程执行message retrieval code才会被处理。发送线程会被堵塞直到接收线程处理完消息。但是,发送线程在等待的同时会处理收到的nonqueued messages。为了阻止这一点,使用带有SMTO_BLOCK参数的SendMessageTimeout
2
3
SendMessage()在目标线程从其消息队列中检索到消息,然后以完整或调用的方式处理消息之前,不会退出ReplyMessage()释放SendMessage()同时继续处理消息。所以,如果SendMessage()它意味着目标线程没有处理它的消息队列,这很好地表明目标线程可能在等待其他消息时处于死锁状态。
4
5
使用SendMessageTimeOut(),我们可以设置一个等待时间。一般情况下,这个消息应该会在这个时间会返回,但异常情况就通过这个TIME来帮助我们返回,从而知道对象的线程挂起而避免自己被挂起。

64位的

1
#include <stdio.h>
2
#include <windows.h>
3
#include <iostream>
4
#include<string>
5
#pragma warning(disable : 4996)
6
using namespace std;
7
8
int regedit(HKEY key, const char* reg_name, const char* key_name, const char* key_value)
9
{	
10
	HKEY hkResult;
11
	int ret = RegOpenKeyEx(key, reg_name, 0, KEY_ALL_ACCESS, &hkResult);
12
13
	if (ret != 0) {
14
		return ret;
15
	}
16
	ret = RegSetValueEx(hkResult, key_name, 0, REG_EXPAND_SZ, (CONST BYTE*)key_value, 100);
17
	if (ret == 0)
18
	{
19
		RegCloseKey(hkResult);
20
		SendMessageTimeout(HWND_BROADCAST, WM_SETTINGCHANGE, 0, (LPARAM)L"Environment", SMTO_ABORTIFHUNG, 3000, NULL);
21
		//下面是刷新的几种方法,都没成功
22
        //SendMessage(HWND_BROADCAST, WM_SETTINGCHANGE, 0, 0);
23
		//PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL);
24
		//SystemParametersInfo(SPI_SETCURSORS, 0, NULL, SPIF_SENDCHANGE);
25
		//SystemParametersInfo(SPI_SETANIMATION, sizeof(ANIMATIONINFO), &info, SPIF_SENDCHANGE);
26
		return 0;
27
	}
28
	else
29
	{
30
		return ret;
31
	}
32
}
33
34
int autopen(const char* key_name, const char* process_path)
35
{
36
	char reg_name[] = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
37
	return regedit(HKEY_LOCAL_MACHINE, reg_name, key_name, process_path);
38
39
}
40
int main(void)
41
{
42
	string key_name;
43
	string process_path;
44
	cout << "注册项名称 文件路径\n";
45
	getline(cin, key_name);
46
	getline(cin, process_path);
47
	//cout << process_path;
48
	int ret = autopen(key_name.c_str(), process_path.c_str());
49
	if (ret == 0)
50
		printf("write to register succeed\n");
51
	else {
52
		printf("错误响应码:%d\n", ret);
53
		printf("write to register failed\n");
54
	}
55
	system("pause");
56
	return 0;
57
}

x86

1
#include <stdio.h>
2
#include <windows.h>
3
#include <iostream>
4
#include<string>
5
#pragma warning(disable : 4996)
6
using namespace std;
7
8
9
void test()
10
{
11
	char reg_name[] = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
12
	LPCTSTR lpSubKey = reg_name;
13
	HKEY hKey;
14
	REGSAM flag = KEY_WOW64_64KEY; //判断是否为64位
15
	DWORD dwDisposition = REG_OPENED_EXISTING_KEY;
16
	LONG lRet = RegOpenKeyEx(HKEY_LOCAL_MACHINE, reg_name, 0, KEY_ALL_ACCESS | flag, &hKey);
17
	//LONG lRet = ::RegCreateKeyEx(HKEY_LOCAL_MACHINE, lpSubKey, NULL, NULL, REG_OPTION_NON_VOLATILE,KEY_ALL_ACCESS, NULL, &hKey, &dwDisposition);  
18
	if (ERROR_SUCCESS != lRet)
19
	{
20
		return;
21
	}
22
	char setPath[]= "C:\\Windows\\system32\\cmd.exe";
23
	TCHAR* pchrName = setPath;
24
	lRet = ::RegSetValueEx(hKey, TEXT("TEST"), NULL, REG_SZ, (LPBYTE)pchrName, 100); //设置注册表项  
25
	if (ERROR_SUCCESS != lRet)
26
	{
27
		return;
28
	}
29
	::RegCloseKey(hKey); //与RegCreateKeyEx配对写 
30
	PostMessage(HWND_BROADCAST, WM_COMMAND, 41504, NULL);
31
}
32
33
34
int main(void){
35
	test();
36
	return 0;
37
}

利用CMD命令行创建计划任务

CMD 命令行下有两个命令可以创建计划任务,一个是at,另一个是schtasks。

  • at 命令仅在 Win7 及以下系统有效,支持指定任务的执行时间,支持远程创建计划任务,但不能指定任务在系统启动或用户登录时启动。与schtasks命令相比,其优势是创建计划任务所需的命令比较简单。
  • schtasks支持 Windows 全系列系统,与at命令相比,可设置的选项更加丰富,能适应更多的应用场景,同时还允许指定任务在系统启动、用户登录甚至是系统闲置时间启动。

缺点:at只能在windows7-以及windows 2008以下系统运行。并且调用at、sc等去做计划任务的话,容易被杀软监测到。效率比较低,可能得做好免杀。

1
//这个是at的计划任务
2
#include<stdio.h>  
3
#include<windows.h>  
4
#include<lmcons.h>  
5
#include<lmat.h>  
6
#include<iostream>
7
#include<string>
8
using namespace std;
9
10
#pragma comment(lib, "netapi32.lib")
11
12
///计划任务
13
void Jobadd() {
14
    DWORD JobId, ret;
15
    AT_INFO ai;
16
    string filepath;
17
    string RootPath;
18
    string Rootapp;
19
    long Len;
20
21
    cin >> RootPath;
22
    WCHAR szFilePath[100000];
23
    //GetSystemDirectory(&RootPath[0], MAX_PATH);
24
    filepath = RootPath;
25
    cin >> Rootapp;
26
    filepath += Rootapp;
27
    memset(&ai, 0, sizeof(ai));
28
    Len = MultiByteToWideChar(CP_ACP, 0, filepath.c_str(), strlen(filepath.c_str()), szFilePath, sizeof(szFilePath));
29
    szFilePath[Len] = '\0';
30
    ai.Command = szFilePath;
31
    ai.DaysOfMonth = 0;
32
    ai.DaysOfWeek = 0x7F; //7F等于二进制的7个1,就是每周的7天全部运行  
33
    ai.Flags = JOB_RUN_PERIODICALLY;
34
    ai.JobTime = 22 * 60 * 60 * 1000 + 21 * 60 * 1000; //22点21分,这里是以毫秒为单位的,所以需要乘这些值  
35
    ret = NetScheduleJobAdd(NULL, LPBYTE(&ai), &JobId);
36
    cout << ret << endl;
37
    cout << NetScheduleJobAdd(NULL, LPBYTE(&ai), &JobId) << endl;
38
    //if (ret == ERROR_SUCCESS)
39
      //  std::cout << " SUCCESS!!" << std::endl;
40
    //else
41
     //   std::cout << "Error" << std::endl;
42
43
}
44
45
int main(int argc, char* argv[]) {
46
    Jobadd();
47
    return 0;
48
}

参考文章

Windows 注册表相关API总结

几个修改注册表后立即生效的刷新方法