基于visual c++之windows核心编程代码分析（54）实现Winlogon注入dll

Windows Logon Process，Windows NT 用户登陆程序，管理用户登录和退出。

该进程的正常路径应是 C:\Windows\System32 且是以 SYSTEM 用户运行.我们都知道操作系统都是基于权限，而权限都是基于用户的，而这个winlogon进程就是管理用户登入登出，是不可以被结束的。winlogon是一个父进程，大多数的进程都是winlogon的子进程，如MDM.EXE、SVCHOST.EXE、ALG.EXE等等重要的进程，换句话说没有winlogon哪来正常的操作系统，怎么能启动系统。

为了监控winlogon进程中没有病毒，需要插入dll 进行安检。

dll编写就不再浪费时间，

下面我们重点实现如何插入dll.

[cpp] view plain copy print ?

1. #include "stdafx.h" 
2.  
3.  
4. #ifdef _MANAGED 
5. #pragma managed(push, off) 
6. #endif 
7. EXTERN_C __declspec(dllexport) void install(); 
8. EXTERN_C __declspec(dllexport) void uninstall(); 
9. BOOL APIENTRY DllMain( HMODULE hModule, 
10.                        DWORD  ul_reason_for_call, 
11.                        LPVOID lpReserved 
12.                      ) 
13. { 
14.     return TRUE; 
15. } 
16.  
17. #ifdef _MANAGED 
18. #pragma managed(pop) 
19. #endif 
20.  
21. void  install() 
22. { 
23.     HANDLE hToken;              // handle to process token  
24.     TOKEN_PRIVILEGES tkp;       // pointer to token structure  
25.     OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS, &hToken);  
26.     LookupPrivilegeValue(NULL, SE_DEBUG_NAME,  
27.         &tkp.Privileges[0].Luid);  
28.     tkp.PrivilegeCount = 1;  // one privilege to set     
29.     tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;  
30.     AdjustTokenPrivileges(hToken, FALSE, &tkp, 0, (PTOKEN_PRIVILEGES) NULL, 0); 
31.     HKEY hkey; 
32.     BYTE value_[MAX_PATH*2]; 
33.     char *run="SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\\winsvr";//启动项 
34.     HANDLE cf;   
35.     RegDeleteKey(HKEY_LOCAL_MACHINE,run);//先删除 
36.     RegCreateKey(HKEY_LOCAL_MACHINE,run, &hkey); //自启动 
37.     if (!hkey)//失败 
38.     { 
39.         return; 
40.     } 
41.  
42.     strcpy((char*)&value_,"c:\\dll.dll");//dll路径 
43.     RegSetValueEx(hkey,"DLLName",0,REG_EXPAND_SZ,(PBYTE)&value_,strlen((char*)&value_)); 
44.     strcpy((char*)&value_,"exe");//导出函数名 
45.     RegSetValueEx(hkey,"Logon",0,REG_SZ,(PBYTE)&value_,strlen((char*)&value_)); 
46.  
47.     //让winlogon异步处理我们的程序，避免卡在那。 
48.     DWORD dw=1; 
49.     RegSetValueEx(hkey,"Asynchronous",0,REG_DWORD,(PBYTE)&dw,sizeof(dw));    
50. } 
51. void uninstall() 
52. { 
53.     HANDLE hToken;              // handle to process token  
54.     TOKEN_PRIVILEGES tkp;       // pointer to token structure  
55.     OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS, &hToken);  
56.     LookupPrivilegeValue(NULL, SE_DEBUG_NAME,  
57.         &tkp.Privileges[0].Luid);  
58.     tkp.PrivilegeCount = 1;  // one privilege to set     
59.     tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;  
60.     AdjustTokenPrivileges(hToken, FALSE, &tkp, 0, (PTOKEN_PRIVILEGES) NULL, 0); 
61.     HKEY hkey; 
62.     BYTE value_[MAX_PATH]; 
63.     char *run="SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\\winsvr";//启动项 
64.     HANDLE cf;   
65.     RegDeleteKey(HKEY_LOCAL_MACHINE,run);//先删除 
66. } 
67. 原文地址：http://blog.youkuaiyun.com/yincheng01/article/details/7214452