Win 7系统口令登录过程调试方法

2016-02-19 23:12 15 1 收藏

想要天天向上,就要懂得享受学习。图老师为大家推荐Win 7系统口令登录过程调试方法,精彩的内容需要你们用心的阅读。还在等什么快点来看看吧!

【 tulaoshi.com - Windows7教程 】

首先介绍Windows 7系统基本原理

(本文来源于图老师网站,更多请访问http://www.tulaoshi.com)

Windows7 以后 Winlogon 进程是动态的,有用户登录就会创建一个 Winlogon 进程,因此系统中完全 可能存在多个登录进程,注销后 Winlogon 进程也会随之结束。

Windbg 断点 NtCreateUserProcess 观察 Windows7 启动流程:

我整理的基本进程树如下:

smss.exe autochk.exe

smss.exe 00000000 0000003c //session 0

Csrss.exe

Wininit.exe

Services.exe

开机自启动服务进程

Lsass.exe

(本文来源于图老师网站,更多请访问http://www.tulaoshi.com)

Lsm.exe

smss.exe 00000001 0000003c //session 1

Csrss.exe

Winlogon.exe

LogonUI.exe

LogonUI.exe 负责用户认证界面,Windows7 以后不再使用 msgina.dll,而是使用多个进程配合,完成用户 认证过程,大致过程为 1、Winlogon 启动 LogonUI 等待用户输入凭证 2、Winlogon 通过 ALPC 通知 Lsass用户登录 3、Lsass 依次查询认证模块4、Lsass 返回认证结果。框图如下

Windows 7调试过程

必须要吐槽下,windows7 下 windbg 内核调试应用程序经常断不下了,害我浪费了很多功夫~~现总结 了一个稳当可靠的办法:

1、!process 0 0 查看目标进程的基本情况,主要是 Cid。

2、bp nt!KiFastCallEntry "j poi(@$teb+20) = 0x1a0"";"gc"" 把 1a0 替换成实际的 Cid 即可。

3、等断点命中后,bp winlogon!XXXXX

4、.reload /user 下,bl 看一下,确保函数解析成地址。

首先看 Winlogon 和 LogonUI 之间的交互,LogonUI.exe 就是一个壳,类似 svchost,真正的功能是通 过authui.dll模块完成的,从《Windows Internals5》介绍,winlogon 是通过 ALPC 的东西同 Lsass 通信的,但是 LogonUI 没怎么讲,我估计八成也是一样的,应该就是 RPC 调用。

RPC 调用分服务端和客户端,客户端最终 RPCRT4!NdrClientCall2 执行调用,而服务端最终会执行

RPCRT4!Invoke执行具体的函数。

我们断点 winlogon!NdrClientCall2观察下,随便输入个密码,命中:

这里我们发现 winlogon 的确使用了 RPC 调用来执行进程交互,注意这个函数名是 WluiDisplayStatus,其 实很明确的告诉我们 winlogonUIDisplayStatus,那么该 RPC 最终在哪里被执行呢?很显然是在 authui.dll 下断点 RPCRT4!Invoke 命中,而后单步跑一下,如图:

直接从 IDA 里面翻了下 authui.dll注册 RPC 服务

直接把所有的 RPC 接口函数 DUMP 出来,如下:

其中 WluirRequestCredentials很惹人关注,对应的 winlogon!WluirRequestCredentials函数如下:

Winlogon 同 logonUI 的 authui.dll 中通过一一对应的 RPC 函数完成接口调用,下面是一次错误密码测 试过程时,依次命中的调用情况:

序号函数名描述

1

winlogon!WluiRequestCredentials请求用户输入凭证,注:该函数是阻塞函数,会一直等待直到用户确认登录才返回。

2

winlogon!WluiDisplayStatus显示状态?未细究。

3

winlogon!WluiReportResult通报结果。

4

winlogon!WluiDisplayRequestCredentialsError显示登录错误提示。

我们发现基本上 LogonUI 进程没干啥活,所以的动作都是 winlogon 的 WluiXXXXXX 接口消息驱动的,

IDA 里面会发现大量的 DirectUI 界面代码。

Winlogon 使用状态机来维护整个登录过程中的各种情况处理,通过 Winlogon!StateMachineSetSignal

来完成状态切换,整个状态定义 DUMP 如下:

例如:断点 Winlogon!StateMachineSetSignal点击登录界面残障人士按钮,命中如下:

注意其中的参数二对应的是状态,查下状态 9 对应的正是 g_xWinsrv_AccessNotify_Signal,winlogon和 LogonUI 的交互基本上流程基本比较清晰了,下面我们重点研究下 winlogon 同 lsass 进程完成密码认证的一些细节。

Winlogon 同样使用 RPC 调用完成同 lsass 的交互,不同的是 windows 把这几个 RPC 调用封装成了 DLL形式,分别是 SspiCli 客户端和 SspiSrv 服务端,最终还是调用了 RPCRT4 函数,证据如下:

直接从 IDA 中 DUMP 出 SSPISRV 的 RPC 调用接口如下:

Winlogon 调用 SspiCli!LsaLogonUser完成登录,该函数最终通过RPC 调用 Lsass::SspiSrv!SspirLogonUser

其中 AuthenticationInformation 参数里面包含了登录所需的信息,具体结构如下:

Windbg 显示这里密码被加密了,哈哈,下内存写断点,命中堆栈如下:

Winlogon!WLGeneric_Request_Logon_Credz_Execute 对应的代码如下:

该函数首先通过 RequestCredentials 函数请求登录凭证,如果是本地登录模式,该函数最终会调用 WluiRequestCredentials函数执行 LogonUI 进程的 RPC 服务函数 authui!WluiRequestCredentials,请求用户输入登录凭证。

最终 authui!CRequestCredentialsCallbackData::GetCredential获取用户登录凭证,数据结构为_CRED_PROV_CREDENTIAL* 可惜没有数据结构定义。

输入qqqqqqqq调试显示 DUMP 如下:

下内存断点:Ba w1 0027e5c8+3e,命中堆栈如下:

这里 windbg 函数显示的函数 CRequestCredentialsCallbackData::GetShutdownChoice+0x63是错误的,实际 是 sub_7483CBE7 函数:

查看一下内存数据,如下:

源地址是 0027e510,长度是 000000b0 :

Ba w1 0027e510+3e,命中 查看源地址 238df78: 继续跟踪内存 Ba w1 238df78+3e

查看内存如下:

函数 KerbInteractiveUnlockLogonPack是一个可以 google 到的函数,很好。

02 024df8fc 024df924 024df928 authui!KerbInteractiveUnlockLogonPack+0x90

断点 ba w1 023888b8 命中堆栈

CredProtect 函数 MSDN 如下:

查看堆栈第二个参数,果然是明文密码:

对应的解密函数 CredUnprotect

这些内容实际在 lsass 进程里面解密,断点 ADVAPI32!CredUnprotectW命中堆栈如下:

最终的密码认证还是通过群众喜闻乐见的 msv1_0!LsaApLogonUserEx2来完成,如下:

以上是图片的记录哦!

来源:http://www.tulaoshi.com/n/20160219/1629428.html

延伸阅读
Win7系统登录iDRAC提示“登录错误(凭据失败)密码错误”的解决方法   具体方法如下: 1、打开控制面板,点击卸载程序; 2、点击左上角的查看已安装的更新; 3、找到IE11和IE语言包,右击选择卸载; 4、需要等待几分钟;,卸载完成后重启电脑后,即可重新登陆IDRAC; 5、为了避免自动更新,可以在关...
标签: 电脑入门
先看效果图,这是win7改win10登录界面后的样子: win7登陆界面修改win10的样子,只需两步:① 替换两个文件;② 更改登录背景图片。 对于有美化经验的朋友来说,是很简单的两步。不过,替换系统文件需要一点点技巧,而且存在一定风险。所以,这里有必要详细介绍一下分解动作。正在用Win7并且打算折腾的朋友跟着我来吧: 注意:你的Win7系...
标签: 电脑入门
远程登录win7系统,只能注销,断开连接,不能关机或重启。可以手动输入命令关机。 方法如下:在windows 7中有一个叫做shutdown.exe的文件,他主要负责重新启动计算机,注销计算机,关闭计算机的工作,通过他可以完成上述操作。 第一步:通过windows 7的"开始-运行-输入CMD进入命令行模式。 第二步:在命令行模式中输入shutdown /s 回车...
标签: 电脑入门
PIN码创建: Windows 8中的PIN码由四个数字组成,在电脑设置中进行创建。当我们打开设置后,点击更改电脑设置选择用户选项,在其中就会有PIN码的加密设置,点击创建PIN时,系统会要求输入登录密码,若你使用微软账户登录,输入微软账户的密码即可,若使用本地账户登录,直接输入本地账户密码即可。 接着系统会提示你输入要作为密码的4个...
Win7系统Group Policy Client服务未登录   1.在 开始菜单 搜索 regedit; 2.添加这你个用户名; 3.确定,重启电脑。 怎么解决Win7C盘越来越小的问题   通常我们在安装完Windows 7之后,C盘中主要会有如下几个文件夹,也是空间占用的主要来源: Program Files: 应用程序文件夹,一般软件...

经验教程

80

收藏

93
微博分享 QQ分享 QQ空间 手机页面 收藏网站 回到头部