代码实现操作拥有TrustedInstaller权限的注册表项

桃扇骨 2022-05-18 07:40 660阅读 0赞

转载自：[https://blog.csdn.net/yurnero123/article/details/41079707][https_blog.csdn.net_yurnero123_article_details_41079707]

前段时间要做一项工作，需要通过代码删除/编辑注册表ROOT主键下的一些CLSID的项。这些项有一个共同特点，就是他们的完全控制权限隶属于TrustedInstaller，一个虚拟出来的用户。对于隶属于TrustedInstaller用户的注册表项来说，即使获取到了system用户权限依然无法操作。

手动在注册表项上右键选择“权限”，进入后依次点选SYSTEM和Administrators观察，发现在完全控制一栏上都没有打对号，此时通过直接勾选的方式是会被拒绝的。没办法，点击高级按钮，  在弹出的窗口上方点击“更改”，然后再点击“高级” ，之后点击立即查找，在列出来的用户组里选择Administrators添加，一路确定退回到勾选完全控制的窗口，此时就可以勾选了。之后通过代码对此注册表项就可以进行操作了。

但是如何通过代码实现上述操作呢？使用普通的API直接访问是无法获取权限的，于是先在网上找找看。有一种方法是模拟鼠标点击消息，通过一层层的窗口消息模拟鼠标的操作来实现的，这个方法不能说不好，但是确实还是有点不合我意的感觉。  除此之外就是这种主流思路了：   首先使用是使用GetNamedSecurityInfo获取注册表键的DACL，然后使用BuildExplicitAccessWithName创建一个ACE，设置ACE属性后再调用SetEntriesInAcl将ACE添加到DACL中，最后使用SetNamedSecurityInfo更新键的DACL。这种方法我做过测试，发现在SetNamedSecurityInfo更新DACL时依然会被拒绝。

初步推断这种方法可能会对完全控制权限隶属于system的注册表项有效，而通过这种方法只能获取到类似于system的权限，而system在这些注册表项下依旧是无能为力。

在CSDN的某个帖子上发现了一个牛人的提示：可以通过获取文件的备份还原权限来绕过系统的DACL检测，从而直接操作文件。类似的注册表也是同样的机制。

于是自己写了两个小函数做了一下测试，发现果然成功了！

void main()
    {
    	bool bRet = true;
    	bRet = EnablePriviledge(SE_BACKUP_NAME);//这个函数是重点，让当前进程具备备份/还原的特权。
    	bRet = EnablePriviledge(SE_RESTORE_NAME);
    	if(bRet)
    	{
    		HKEY hResult = NULL;
    		DWORD dwDisposition;
    		LONG lResult = RegCreateKeyEx(HKEY_CLASSES_ROOT,
    			L"CLSID\\{52205fd8-5dfb-447d-801a-d0b52f2e83e1}\\shell\\OpenNewWindow\\command",
    			0,
    			NULL,
    			REG_OPTION_BACKUP_RESTORE,//这个是重点，传入这个参数可以直接忽视KEY_ALL_ACCESS这个参数的作用，直接以备份/还原的特权去操作注册表
    			KEY_ALL_ACCESS,
    			NULL,
    			&hResult,
    			&dwDisposition);
    		if(lResult != ERROR_SUCCESS)
    		{
    			return;
    		}	
    		//下面是我随便写的，到了这一步如果都成功的话，下面的代码就可以为所欲为了。
    		wchar_t cValue[256] = L"explorer.exe ::{20D04FE0-3AEA-1069-A2D8-08002B30309D}";
    		RegSetValueEx(hResult,L"xx",NULL,REG_SZ,(LPBYTE)cValue,sizeof(cValue));
    		lResult = RegDeleteValue(hResult,L"xx");
    		//lResult = RegDeleteValue(hResult,L"DelegateExecute");
    		ErrMsg();
    		RegCloseKey(hResult);
     
    	}
     
    }
    bool EnablePriviledge(LPCTSTR lpSystemName)
    {
    	HANDLE hToken;
    	TOKEN_PRIVILEGES tkp = {1};
    	if (OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY,&hToken))
    	{
    		if(LookupPrivilegeValue(NULL, lpSystemName,&tkp.Privileges[0].Luid))
    		{
    			tkp.PrivilegeCount = 1;
    			tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    			AdjustTokenPrivileges(hToken, FALSE, &tkp, 0,(PTOKEN_PRIVILEGES) NULL, 0); 
    			if (GetLastError() != ERROR_SUCCESS)
    			{
    				CloseHandle(hToken);
    				return false;
    			}
    		}
    		CloseHandle(hToken);
    	}
    	return true;
    }

上面的代码只是做测试用的，有些返回值的判断逻辑不够严谨。基本思路就是首先获取注册表项的备份/还原权限，然后在打开注册表项的时候传入

REG_OPTION_BACKUP_RESTORE参数可以直接绕开系统的权限检查。

[https_blog.csdn.net_yurnero123_article_details_41079707]: https://blog.csdn.net/yurnero123/article/details/41079707