Win10 Hook 进程创建的研究

最新推荐文章于 2023-05-29 00:54:01 发布

myjisgreat

最新推荐文章于 2023-05-29 00:54:01 发布

阅读量8.4k

点赞数 1

本文链接：https://blog.youkuaiyun.com/myjisgreat/article/details/53262932

版权

本文探讨了在Win10 x64系统中，由于UAC机制，单纯Hook CreateProcessInternalW无法完全监控进程创建。研究发现，关键函数在于windows_storage!CInvokeCreateProcessVerb::_CallCreateProcess和AicLaunchAdminProcess。AicLaunchAdminProcess在explorer创建管理员进程时被调用，通过hook此函数，可以实现对管理员权限进程创建的拦截。文章详细介绍了获取AicLaunchAdminProcess函数原型和地址的方法，并提到了作者的Windows Hook平台FishHook作为实现方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Win7甚至在它之前开始，想要hook进程创建已经不能简单的HookCreateProcessInternalW这一个函数了，因为Vista开始引入了UAC机制。如果一个进程想要通过UAC弹窗创建管理员进程，hook这个进程的CreateProcessInternalW已经不起作用，我在几年前的博文《Win7/VistaHook CreateProcess 的特别之处》（http://blog.youkuaiyun.com/myjisgreat/article/details/46478247）已经提到了这点变化，并且给出了解决方案，Hook SHCreateProcess。然而据我最近的研究，Win10已经没有SHCreateProcess这个函数了。所以本文以Win10 x64版本的Explorer为蓝本，研究Win10下创建进程的接口，并给出Hook进程创建的解决方案。

我首先hook了KERNELBASE!CreateProcessInternalW，通过回溯，可以找到explorer的创建进程调用栈如下：

KERNELBASE!CreateProcessInternalW

KERNELBASE!CreateProcessW+0x66

KERNEL32!CreateProces