時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
windows的身份驗(yàn)證一般最終都是在lsass進(jìn)程，默認(rèn)模塊是msv1_0.dll，而關(guān)鍵在其導(dǎo)出函數(shù)LsaApLogonUserEx2，
本程序通過注入代碼到lsass進(jìn)程hook LsaApLogonUserEx2，截取密碼。只要有身份驗(yàn)證的過程，
LsaApLogonUserEx2就會(huì)觸發(fā)，如ipc$,runsa,3389遠(yuǎn)程桌面登陸等。
程序?qū)Σ煌到y(tǒng)做了處理，在2000,2003,xp,vista上都可以截取，
在2000,2003,xp中，通過UNICODE_STRING.Length 的高8位取xor key,如果密碼是編碼過的，則通過ntdll.RtlRunDecodeUnicodeString解碼，
vista則通過AdvApi32.CredIsProtectedW判斷密碼是否編碼過，解碼用AdvApi32.CredUnprotectW。
可以自己調(diào)試器掛lsass跑一下:)
========接口：
HRESULT WINAPI DllInstall( BOOL bInstall, LPCWSTR pszCmdLine);
這是本dll導(dǎo)出的一個(gè)函數(shù)原型，請(qǐng)不要被名字蠱惑了，這個(gè)程序是綠色的。
這個(gè)函數(shù)內(nèi)部并沒有做任何自啟動(dòng)安裝的動(dòng)作，沒有修改注冊(cè)表或系統(tǒng)文件。只是想選一個(gè)符合regsvr32調(diào)用的接口而已。
第一個(gè)參數(shù)本程序沒用到，
第二個(gè)參數(shù)請(qǐng)指定一個(gè)文件路徑(注意是UNICODE的)，記錄到的數(shù)據(jù)將保存到這里（是Ansi的）。
文件路徑可以像這樣 C:\x.log，
也可以像\\.\pipe\your_pipename, \\.\mailslot\yourslot，
所以你可以自己寫loader來調(diào)用這個(gè)dll，讓dll截取到密碼時(shí)通過pipe或mailslot將數(shù)據(jù)發(fā)給你的程序。數(shù)據(jù)就是一個(gè)字符串（是Ansi的）
========測(cè)試：
你可以不急著寫自己的loader來調(diào)用，用regsvr32作為loader來測(cè)試一下：(你可能需要關(guān)閉某些主動(dòng)防御)
regsvr32 /n /i:c:\xxx.log c:\pluginWinPswLogger.dll
正常的話regsvr32彈出一個(gè)提示成功。
這時(shí)候你可以切換用戶或鎖定計(jì)算機(jī)，然后重新登陸進(jìn)去，這個(gè)過程密碼信息就被攔截下來了并保存到c:\xxx.log。
=========End
關(guān)鍵詞標(biāo)簽：windows,登陸密碼
相關(guān)閱讀
熱門文章
如何修改服務(wù)器3389端口
Win11系統(tǒng)怎么設(shè)置中文-Win11更改成中文的方法教程
Win11怎么設(shè)置同步時(shí)間-Win11手動(dòng)同步時(shí)間操作方法
Win11怎么在開始菜單添加快捷方式-開始菜單添加快捷方式操作方法
人氣排行 ［聲音故障］XP沒有聲音，丟失Windows Audio服務(wù)（AudioSrv）［警告：2003不一定適用 解決Windows 7黑屏的有效方法 windows2003中關(guān)于軟路由設(shè)置方法的具體介紹 Windows不能在本地計(jì)算機(jī)啟動(dòng)OracleDBConsoleorcl 一個(gè)空文件夾刪不掉的解決辦法 微軟Windows錯(cuò)誤代碼大全(2) 用Windows命令行實(shí)現(xiàn)自動(dòng)SSH代理 Windows 7加XP的局域網(wǎng)搭建與文件共享