[服务化实现方案.docxVIP

服务化实现方案 前提: 基于系统资源占用及产品交互上的考虑，解决多用户问题不仅实现代价较高，且效果无法做到可以接受的程度，本方案并不涉及多用户问题的解决，只专注于解决users非管理员用户权限下无法使用卫士和杀毒的问题。对于多用户场景，本方案将会判断并给出如下提示引导用户： 方案: 说明： 需要提权进程初始化时调用INIT_ENT_SERVICE_CALL，通过PIPE向服务提权模块传递命令行、进程sessionid、进程当前目录。 服务提权模块对需提权进程文件签名进行校验，然后按传递过来的sessionid、进程当前目录使用服务进程token创建进程； 提权后的进程通过INIT_ENT_SERVICE_CALL自动获取到一个hook shell，hook shell主要作用： 模拟当前用户，协助本进程获取当前用户信息； 协助本进程使用当前用户token创建子进程，降低子进程的权限，创建目标进程前还需校验下当前用户token的Mandatory Level，确保其不高于default值； 协助本进程创建system权限的子进程，主要用于打补丁进程，或有360签名确认无创建非360子进程需求的进程，由可创建列表进行控制，原则上只有加了INIT_ENT_SERVICE_CALL才允许创建高权限进程实例； Hook shell 接管的api包括： 与当前用户注册表相关的操作； 当前用户环境变量相关shell api； 创建COM实例； 创建进程； BAPI中的注册表打开和创建； WTSQuerySessionInformation由于在win7下System进程调用获取WTSUserName会返回空，hook shell将之修正为GetUserName，用于解决插件扫描问题； Hook列表见附件。 主要流程: 1，需要高权限的进程创建初始时检查自身是否有管理员权限，没有则向服务申请提权，然后进程退出。 详细流程： 需提权进程INIT_ENT_SERVICE_CALL初始化流程： 已提权进程INIT_ENT_SERVICE_CALL初始化流程： Hook代理api程序流程:  附件1: hook 列表 RegOpenKey RegOpenKeyEx RegCreateKey RegCreateKeyEx RegQueryValue RegQueryValueEx RegSetValue RegSetValueEx RegDeleteKeyEx RegDeleteValue RegDeleteKey RegCloseKey RegOpenKeyTransacted RegCreateKeyTransacted SHRegGetValue SHGetDesktopFolder SHGetFolderPath SHGetValue SHSetValue SHRegSetValue SHRegWriteUSValue SHRegSetUSValue SHRegGetUSValue GetCurrentDirectory SetCurrentDirectory SHDeleteKey SHDeleteEmptyKey SHDeleteValue ShellExecute SHRegQueryUSValue GetTempPath ShellExecuteEx CreateProcess SHGetSpecialFolderPath ExpandEnvironmentStrings GetEnvironmentStrings SearchPath CoCreateInstance CoCreateInstanceEx GetUserName SHGetSpecialFolderLocation BRegOpenKey BRegOpenKeyEx BRegCreateKey BRegCreateKeyEx WTSQuerySessionInformation WTSFreeMemory