如何在内核模式钩子中获取调用者SID？ (视窗)

发布时间：2020-12-14 02:26:05 所属栏目：Windows 来源：网络整理

导读：我正在开发一个在 Windows中挂钩一些函数的驱动程序(强化驱动程序会阻止某些操作).问题是,我想记录试图运行这些操作的用户. 例如,我在ZwSetValueKey上放了一个钩子来过滤注册表编写. 钩子工作得很好,但我不知道如何获得调用者SID.我发现我可以使用ExGetPrevi

我正在开发一个在 Windows中挂钩一些函数的驱动程序(强化驱动程序会阻止某些操作).问题是,我想记录试图运行这些操作的用户.

例如,我在ZwSetValueKey上放了一个钩子来过滤注册表编写.

钩子工作得很好,但我不知道如何获得调用者SID.我发现我可以使用ExGetPreviousMode确定调用者的模式(即用户模式或内核模式).但是,如果调用者处于用户模式,我不确定如何确定SID.

谢谢.

解决方法

如果这是用户模式,则从GetCurrentProcess或GetCurrentThread开始,然后调用GetProcessToken或GetThreadToken.这将为您提供一个访问令牌,直接从 SID can be extracted.在内核模型中,有针对线程的PsGetCurrentProcess和ZwOpenProcessTokenEx等.

以下是用户空间的等效问题：How to get Calling-Process Windows User Access Token.

我没有测试过这个,但我希望它可以让你开始.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!