OpenProcess auf x64 Bilder von Win32 App

Question

Das ist seltsam. Früher, mit Windows 7 x64, hatte ich Probleme beim Aufruf des Win32 OpenProcess gegen 64-Bit-Prozesse. Etwas herumgegoogelt und zu dem sinkenden Schluss gekommen, dass das einfach nicht passieren würde.

Dann ist eine lustige Sache passiert. Ich versuchte es gegen die Prozess-ID für explorer.exe und heiligen Karpfen, es hat funktioniert! Habe angefangen, andere Prozess-IDs darauf zu werfen, und es ist nur ein verdammtes Crapshoot.

Wie sich herausstellt, kann ich Open gegen eine gute Anzahl von x64 Prozesse nennen - Explorer, ITYPE, ipoint, taskhost, cmd, mstsc, ... usw.

Und andere Pop-5 (Zugriff wird verweigert) - winlogon, csrss, services, svchost, mdm, ...

Ich bestätige die "Bitness" und Prozess-ID mit Process Explorer. Darüber hinaus schlägt das Aufrufen von GetModuleFileNameEx für 64-Bit-Prozesse immer fehl, so dass das eine Überprüfung für 32/64 bietet.

Dies ist der Code:

' Get a handle to the process. 
hProcess = OpenProcess(PROCESS_QUERY_INFORMATION Or PROCESS_VM_READ, 0, ProcessID) 
If hProcess Then 
    ' Grab the filename for base module. 
    nChars = GetModuleFileNameEx(hProcess, 0, Buffer, Len(Buffer)) 
    ' If running in x64, http://winprogger.com/?p=26 
    If Err.LastDllError = ERROR_PARTIAL_COPY Then 
     nChars = GetProcessImageFileName(hProcess, Buffer, Len(Buffer)) 
    End If 
    ' Truncate and return buffer. 
    If nChars Then 
     GetProcessFileName = Left$(Buffer, nChars) 
    End If 
    Call CloseHandle(hProcess) 
Else 
    Debug.Print "LastDllError:"; Err.LastDllError 
End If 

Nichts Besonderes. Ich möchte nur die Prozesse für Dinge wie Dateiname oder Prozesszeiten abfragen. Hat jemand eine Idee, was unterscheidet zwischen denen, die ich öffnen kann und denen, die ich nicht kann?

Zusätzliche Informationen: Laufender Prozess als Administrator. UAC wurde deaktiviert. Ja, es ist eine 32-Bit-App. Ich hatte keine besseren Ergebnisse mit PROCESS_QUERY_LIMITED_INFORMATION.

Dank ... Karl

Answer 1

Die Prozesse, die Sie zitiert (winlogon, csrss, etc.) sind wichtige Systemprozesse und Dienstleistungen. Sie laufen unter einem anderen, privilegierten Konto. Obwohl Sie als Administrator ausgeführt werden, sind Sie nicht der Eigentümer dieser Prozesse und Sie erhalten daher keine Rechte in ihrer ACL. Wenn versucht wird, geöffnet zu werden, wird der Zugriff verweigert.

Mitglieder der Gruppe Administratoren haben jedoch SeDebugPrivilege. Dies ist im Grunde eine Überschreibung für OpenProcess und OpenThread, mit der Sie für alle Zugriffe öffnen können, auch wenn Sie keine Berechtigung in der ACL erhalten.

SeDebugPrivilege ist offensichtlich ein sehr gefährliches Privileg - Sie können Zugriffsprüfungen umgehen und die Prozesse anderer Benutzer ändern oder prüfen. Obwohl es standardmäßig in einem Token eines Administrators vorhanden ist, ist es standardmäßig nicht aktiviert. Sie müssen diese Berechtigung aktivieren, bevor Sie OpenProcess aufrufen.

Diese MSDN article gibt Beispielcode zum Aktivieren und Deaktivieren von Berechtigungen in Ihrem Token.