CreateProcessWithLogonW in Verbindung mit DEBUG_PROCESS

[Neotracer64]

Hallo,

Kann es sein, dass ich CreateProcessWithLogonW nicht in Verbindung mit dem CreationFlag DEBUG_PROCESS aufrufen kann? Ich kriege dann immer ERROR_INVALID_PARAMETER. Ohne gehts.
Das enttäuscht mich jetzt etwas.

Gibt es dafür einen Workaround? Wie kann ich den gleichen Effekt erzielen (Prozess unter anderer UserCredentials zu starten) mit dem DEBUG_PROCESS Flag?

Bin offen für Ideen. :)

Grüße,

Neotracer64

[Dezipaitor]

Nur mal so ins Blaue geschossen. Vielleicht braucht der aufrufende Prozess, also deiner, das DEBUG Privileg aktiviert?
Andere Prozesse des eigenen Logins kann man auch ohne DEBUG-Privileg debuggen. Bei Prozessen anderer Benutzer (und da fallen auch die Dienste drunter) sieht das dann schon anders aus.

[Neotracer64]

Ja, ich hab das SeDebugPrivilege. Aber ich vermute der DEBUG_PROCESS Flag ist einfach nicht kompatibel mit CreateProcessWithLogonW.
Sonst wäre er wahrscheinlich auch auf der MSDN Seite für diese Funktion aufgelistet. :/

http://msdn2.microsoft.com/en-us/library/ms682431(VS.85).aspx

[Dezipaitor]

hast du das Privileg auch aktiviert?

[Neotracer64]

Ja ganz sicher.
Der call schlägt ja auch mit dem Error ERROR_INVALID_PARAMETER fehl. :/

[Dezipaitor]

Der Fehler ERROR_INVALID_PARAMETER ist mir bei vielen Gelegenheiten entegegen gekommen. Es könnte auch sein, dass Windows gerade abstürzt und daher diesen Fehlercode zurückgibt. :wink:

Jetzt wirds wohl Zeit, dass du relevanten Quelltext hier postest... :?:

[Neotracer64]

Der einzige Grund, der mich davon abhielt den Quelltext zu posten war, dass ich es in FASM geschrieben habe.

Delphi-Quellcode:

;--------------------------------------------------------------
; CreateProcessA Callback
; -------------------------------------------------------------
proc myCreateProcessA stdcall, lpApplicationName, lpCommandLine, lpProcessAttributes, lpThreadAttributes, bInheritHandles,\
                               dwCreationFlags, lpEnvironment, lpCurrentDirectory, lpStartupInfo, lpProcessInformation
     CMP Byte [User], NULL
     JE .proceed
     invoke MultiByteToWideChar, CP_ACP, 0, User, -1, UserW, 64
     invoke MultiByteToWideChar, CP_ACP, 0, Pass, -1, PassW, 64
     invoke MultiByteToWideChar, CP_ACP, 0, [lpCommandLine], -1, lpCommandLineW , (2*MAX_PATH)+2
     ;invoke MultiByteToWideChar, CP_ACP, 0, [lpCurrentDirectory], -1, lpCurrentDirectoryW , (2*MAX_PATH)+2

     TEST EAX, EAX
     JZ .failure
     invoke CreateProcessWithLogonW, UserW, NULL, PassW, 1, NULL, lpCommandLineW ,DEBUG_ONLY_THIS_PROCESS, [lpEnvironment],\
                                          NULL, [lpStartupInfo], [lpProcessInformation]
     ret
.proceed:
    invoke CreateProcessA, [lpApplicationName], [lpCommandLine], [lpProcessAttributes], [lpThreadAttributes],\
                           [bInheritHandles], [dwCreationFlags], [lpEnvironment], [lpCurrentDirectory], [lpStartupInfo],\
                           [lpProcessInformation]
    ret
.failure:
    invoke MessageBoxA, [MainwHandle], lpTextErrorLogon, lpTitleError, MB_ICONERROR
    XOR EAX, EAX
    ret
endp

Ich hooke die Funktion CreateProcessA und möchte nun den Prozess mit User Credentials starten.
Wenn ich statt DEBUG_ONLY_THIS_PROCESS eine 0 angebe, startet der Prozess.

Also ich bin mir angesichts dieser Tatsache sehr sicher, dass DEBUG_ONLY_THIS_PROCESS / DEBUG_PROCESS nicht mit CreateProcessWithLogonW kompatibel ist.

[Dezipaitor]

wo wird das Privileg eingeschaltet?

[Neotracer64]

Ich bin ein Plugin in OllyDbg. ;)
Und OllyDbg hat dieses Privileg, da bin ich mir seeehhhrr sicher. ;)

[Dezipaitor]

Ich war mir eigentlich auch immer sicher, dass Dönerbuden immer gutes Fleisch benutzen. Aber dann kam alles doch ganz anders.... :pale:

Wenn du Dinge außer Acht lässt, dann könnte dir etwas Wichtiges entgehen.

Außerdem, ein inaktives Privileg zu haben ist genauso, als hätte man es nicht.