Nem lehetséges, hogy a Windows valamilyen agymenése miatt véletlenül a te gépeden a spooler helyi felhasználói jogokkal fut?

@domi007: SYSTEM-ként fut a teszt rendszeren is.

@buherator: És az nem elég jó neked?
Azért amit systemként nem tudsz az nincs is

@GHost: A posztban is írom, hogy a betöltött driver által ShellExec-el indított program nem SYSTEM-ként, hanem a drivert betöltő felhasználó (esetünkben limited xp user) jogkörével fut le.

megneztem en is, a watermark-os peldat alapul veve.. nyomtataskor a nyomtatast indito program tolti be a dll-t, igy a ShellExecute a progit indito user jogosultsagaival fut..

ok, ez eddig semmire nem jo.. de ugye eddig a ket altalunk kiszolgalt dll kozul egynek (wmarkps.dll) egyetlen exportalt fuggvenyet (DllMain) neztuk meg.. driver forditasa verbose logging-gal, DebugView inditasa, nyomtatas.. semmi, minden debug uzenet a nyomtatast indito processzbol jon..

tehat nyomtatassal nem tudunk SYSTEM-hez jutni*, mi a helyzet a telepiteskor? halozati nyomtato torol, ujra hozzaad, kozben DebugView kimenetet figyel.. hohoo, rakas debug uzenet a spoolsv.exe processzbol :) harom cpp-bol jonnek az uzenetek:

wmarkui\interface.cpp
wmarkui\dllentry.cpp
common\devmode.cpp

szoval ezek valamelyikebe kell pakolni a malicsusz (megtetszett a szo, meg konnyebb is leirni, mint az eredetit :) ) kodunkat.. en a wmarkui DllMain-jebe tettem egy ShellExecute-ot, jutalmam: egy kalkeksze sima user-rel, plusz ketto SYSTEM-mel..

ami a legyonyorubb az egeszben: fullra peccselt XPSP3-mal is megy!!

* illetve ez nem biztos, lehet, hogy van olyan fuggveny, ami nem irkal a debug outra, nem neztem meg..

@sghctoma: Nayon kösz, hogy megnézted, akkor nálam lesz a hiba...

Annyi különbséget látok kettőnk eljárása között, hogy én a wmarkps (és nem az ui) DllMainjét módosítottam, és telepítésnél nálam is felbukkant a néhány notepad (én azt indítottam...), de mindegyik limited userrel...

"ami a legyonyorubb az egeszben: fullra peccselt XPSP3-mal is megy!!" - ez azt jelenti, hogy MS10-061 után is? Ez igazolná azt az elgondolásomat, hogy a két probléma nem azonos eredetű.

csak abban a harom cpp-ben levo kod fut le a spoolsv processzben, a wmarkps\dllentry.cpp nincs koztuk, az csak a nyomtatast indito user jogosultsagaival fut, ezert kaptal limited user-es notepad-et..

igen, MS10-061 utan is.. es igen, ennek nincs koze az MS10-061-hez, de Kohler nem csak ezt az egy tamadast irta le a cikkeben.. a "Use A Shared Printer to Copy Data to the Target System" cimu fejezet foglalkozik azzal, amirol az MS10-061 szol..

@sghctoma: Ahh, így már minden világos! Arról a fejezetről valahogy teljesen megfeledkeztem, pedig még olvastam is annak idején... Akkor asszem elkezdek összedobni még egy posztot a témában, amiben leírom azt is, hogy hogyan használták ki a fájlírást kódfuttatásra.

Még egyszer köszi!